Política de privacidade e LGPD no site da pequena empresa

Se o site da sua empresa coleta qualquer dado pessoal (nome e telefone num formulário, e-mail para orçamento, cookies de análise ou de anúncios), a LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) vale para ele, mesmo que a empresa seja um MEI. A forma mais simples de cumprir a parte da transparência é ter uma página de privacidade que diga, em português claro, quais dados você coleta, para quê, por quanto tempo guarda, com quem compartilha e como a pessoa pode falar com você para pedir acesso, correção ou exclusão.

Para pequena empresa, a boa notícia é que a ANPD (a Autoridade Nacional de Proteção de Dados) tem regras mais leves para microempresas, empresas de pequeno porte e MEI. A má notícia é que elas não dispensam o básico. Este texto é informativo, não é consultoria jurídica: se o seu negócio trata dados de saúde, de crianças ou em grande volume, converse com um advogado.

A LGPD vale para o site de uma empresa pequena?

Vale sempre que houver tratamento de dados pessoais com fins econômicos. Para a lei, dado pessoal é qualquer informação ligada a uma pessoa identificada ou identificável: nome, telefone, e-mail, endereço, CPF, até a foto. E tratamento é quase tudo que se faz com esses dados: coletar, guardar, usar, compartilhar, apagar.

No site de uma empresa pequena, os dados costumam aparecer em:

• formulário de contato ou orçamento (nome, telefone, e-mail, mensagem);
• cookies e ferramentas de terceiros, como contadores de visita, pixel de redes sociais, mapas e vídeos incorporados;
• cadastro ou área do cliente, quando existe;
• pedidos pelo WhatsApp, que levam o número do cliente até você.

Um site só com texto, fotos e um link de WhatsApp, sem formulário e sem nenhuma ferramenta de análise, coleta muito pouco. Mesmo assim, o atendimento que vem depois (a conversa, o orçamento, a nota) envolve dados e segue a lei.

O que muda para MEI e pequena empresa

A Resolução CD/ANPD nº 2/2022 criou regras específicas para os agentes de tratamento de pequeno porte. Ela inclui microempresas, empresas de pequeno porte e o MEI, além de startups e pessoas físicas que tratam dados com fins econômicos. As principais flexibilizações:

Duas ressalvas importantes da própria resolução:

• Não vale para tratamento de alto risco. A resolução considera alto risco quando há, ao mesmo tempo, um critério geral (como grande escala) e um específico (como dados sensíveis, de crianças e adolescentes ou de idosos, vigilância de áreas públicas ou decisões automatizadas). Também ficam de fora empresas com receita acima do limite da Lei Complementar nº 123/2006, a lei das micro e pequenas empresas.
• A dispensa não afasta a lei. Os princípios da LGPD, as bases legais e os direitos dos titulares continuam valendo para todos.

O que a página de privacidade deve dizer

O artigo 9º da LGPD lista as informações que a pessoa tem direito de receber sobre o uso dos seus dados. Traduzindo para o site de uma empresa pequena, a página deve responder:

1. Quem é o responsável: nome da empresa, CNPJ e um contato.
2. Quais dados são coletados: por exemplo, "nome, telefone e a mensagem que você escreve no formulário".
3. Para quê: "para responder o seu pedido de orçamento". Seja específico. "Para melhorar nossos serviços" não diz nada.
4. Por quanto tempo os dados ficam guardados e o que acontece depois.
5. Com quem são compartilhados: o serviço que hospeda o site e recebe o formulário, a ferramenta de e-mail, o contador, se for o caso.
6. Cookies e ferramentas de terceiros que o site usa, se usa.
7. Os direitos da pessoa e como exercê-los.
8. O canal de contato para assuntos de dados.

O artigo 6º lista os princípios que devem guiar tudo isso, entre eles finalidade (usar para o motivo informado), necessidade (coletar só o que precisa) e transparência. Na prática: se o formulário pede CPF para um simples orçamento, pergunte-se se precisa mesmo.

Quais direitos o cliente tem

O artigo 18 da LGPD garante ao titular, entre outros, o direito de:

• confirmar se a empresa tem dados dele e acessar esses dados;
• corrigir dados incompletos ou errados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
• pedir eliminação dos dados tratados com base no consentimento;
• saber com quem os dados foram compartilhados;
• revogar o consentimento, quando o uso depende dele.

Para uma empresa pequena, isso se resume a: ter um contato que funcione, saber onde estão os dados de cada cliente (planilha, e-mail, celular) e conseguir apagar quando alguém pedir e não houver motivo legal para guardar.

E os cookies? Preciso daquele aviso?

Cookies são pequenos arquivos que o site grava no navegador. Alguns são necessários para o site funcionar; outros servem para contar visitas, mostrar anúncios ou acompanhar a pessoa entre sites.

A ANPD publicou em 2022 um guia orientativo sobre cookies. Segundo a cobertura do Canaltech na época, o guia trata o consentimento e o legítimo interesse como bases legais possíveis e liga o legítimo interesse aos cookies necessários, o que deixa os cookies de publicidade, na prática, dependentes de consentimento. O guia também recomenda políticas e avisos de cookies e desaconselha telas que escondem as opções do visitante.

Na prática, para o site de uma empresa pequena:

• Se o site não usa cookies de análise nem de anúncios, há pouco a pedir ao visitante, e a página de privacidade pode dizer isso.
• Se usa (pixel de rede social, anúncios, ferramentas de análise de terceiros), o aviso de cookies passa a fazer sentido, com opção clara de aceitar ou recusar.
• Cada ferramenta nova que entra no site deve entrar também na página de privacidade.

Se tiver dúvida sobre o seu caso, o guia completo está no site da ANPD.

O que acontece se não cumprir

O artigo 52 da LGPD prevê sanções que vão de advertência, com prazo para corrigir, até multa simples de até 2% do faturamento, limitada a 50 milhões de reais por infração, além de outras medidas, como a publicação da infração. Para uma empresa pequena, o risco mais comum não é a multa máxima. É a reclamação de um cliente, a perda de confiança e o problema de não saber responder quando alguém pergunta "como você conseguiu meu número?".

Um roteiro simples para o seu site

1. Liste o que o site coleta: campos do formulário, ferramentas instaladas, cookies.
2. Corte o que não precisa. Menos dados, menos risco.
3. Escreva a página de privacidade com as 8 respostas acima, na linguagem que você usaria com um cliente.
4. Coloque um link para ela no rodapé e perto do botão de enviar do formulário, com uma frase curta como "Usamos seus dados só para responder o seu pedido".
5. Defina o canal: um e-mail ou WhatsApp para assuntos de dados.
6. Cuide do que vem depois do site: quem acessa a planilha de clientes, por quanto tempo você guarda as conversas.
7. Revise a página quando mudar algo no site.

Não copie a política de outro site. Ela descreve o que outra empresa faz, e pode prometer coisas que você não faz ou esquecer coisas que você faz. Se estiver contratando alguém para fazer o site, pergunte se a página de privacidade está incluída e quem escreve o texto.

A página de privacidade é um dos sinais que mostram que a empresa é organizada. Outros estão em o que um site profissional precisa ter e em como deixar o site mais profissional. Se o seu site tem formulário e botão de WhatsApp, veja também botão de WhatsApp no site: como funciona.

Resumo

• Site que coleta dado pessoal (formulário, cookies de análise ou anúncio) está sujeito à LGPD, inclusive o de MEI.
• A ANPD tem regras mais leves para pequeno porte: sem obrigação de encarregado, mas com canal de comunicação; prazos em dobro; registros e segurança simplificados.
• A página de privacidade diz quem é o responsável, que dados coleta, para quê, por quanto tempo, com quem compartilha, quais os direitos e como entrar em contato.
• Colete só o necessário e explique cada ferramenta que o site usa.
• Este texto é informativo. Casos com dados sensíveis ou grande volume pedem orientação jurídica.