Política de privacidade LGPD: o que precisa constar

A política de privacidade, também chamada de aviso de privacidade, é o texto em que a empresa conta a clientes, usuários e visitantes como usa os dados pessoais deles. A LGPD exige que essas informações sejam claras, adequadas e ostensivas e lista o mínimo: finalidade, forma e duração do tratamento, identificação e contato do controlador, compartilhamento, responsabilidades dos agentes e direitos do titular (art. 9º). Ela só funciona se descrever o que a empresa realmente faz, por isso deve nascer do mapeamento de dados, e não de um modelo copiado.

Onde está o risco

A política é a parte mais visível da adequação. Qualquer cliente, concorrente ou fiscal pode ler. Se ela promete o que a empresa não cumpre, ou omite o que a empresa faz, o problema vira documento público.

Há um efeito jurídico direto: quando a empresa depende de consentimento, ele é nulo se as informações dadas ao titular forem enganosas, abusivas ou não tiverem sido apresentadas antes, com transparência (LGPD, art. 9º, §1º). Ou seja, uma política vaga pode derrubar a base legal de toda uma operação de marketing.

O que a lei exige

O art. 9º da LGPD dá ao titular o direito de acesso facilitado a estas informações:

• Finalidade específica. Para que cada grupo de dados é usado: entregar o pedido, emitir nota fiscal, enviar ofertas, prevenir fraude.
• Forma e duração. Como o dado é tratado e por quanto tempo fica guardado, respeitados os segredos comercial e industrial.
• Identificação do controlador. Nome empresarial e CNPJ de quem decide sobre os dados.
• Contato do controlador. Um canal que funcione para dúvidas e pedidos.
• Uso compartilhado. Com quem os dados são compartilhados e para quê: transportadoras, meios de pagamento, contabilidade, plataformas de anúncio.
• Responsabilidades dos agentes. Quem faz o quê, inclusive operadores que tratam dados em nome da empresa.
• Direitos do titular. Com menção explícita aos direitos do art. 18: confirmação, acesso, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento, revogação do consentimento, entre outros.

Três complementos costumam ser obrigatórios na prática:

• Encarregado. Identidade e contato do encarregado devem ser divulgados publicamente, de preferência no site (art. 41, §1º). Agentes de pequeno porte dispensados de indicar encarregado precisam informar o canal de comunicação com o titular (Resolução CD/ANPD 2/2022, art. 11, §1º).
• Dado como condição do serviço. Se o produto ou serviço depende do tratamento de dados, isso deve ser informado com destaque, junto com a forma de exercer os direitos (LGPD, art. 9º, §3º).
• Crianças. Quem trata dados de crianças com consentimento dos pais deve manter pública a informação sobre os tipos de dados, a forma de uso e como exercer os direitos (art. 14, §2º), em linguagem adequada ao público (art. 14, §6º). Para apps e sites usados por crianças e adolescentes, veja também o que muda com o ECA Digital.

Para sites e aplicativos, o Marco Civil da Internet também assegura ao usuário informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção dos dados, e a publicidade e clareza das políticas de uso (Lei 12.965/2014, art. 7º, VIII e XI).

Passo a passo para escrever a sua

1. Parta do mapeamento de dados. Cada processo do inventário vira um bloco da política: que dados, para quê, com que base, por quanto tempo e com quem.
2. Organize por público. Cliente, usuário do app, visitante do site, candidato a vaga. Pessoas diferentes procuram informações diferentes.
3. Escreva em linguagem simples. Frases curtas, exemplos concretos, nada de "poderemos eventualmente". O princípio da transparência pede informações claras, precisas e facilmente acessíveis (art. 6º, VI).
4. Informe a base legal de cada finalidade. A lei não exige uma tabela, mas mostrar a base de cada uso deixa claro o que depende de consentimento e o que não depende.
5. Liste as categorias de destinatários. Não precisa nomear todos os fornecedores, mas o titular deve entender para onde vão os dados. Se houver armazenamento ou envio para fora do país, diga.
6. Explique como exercer direitos. Canal, o que a pessoa precisa informar e o que acontece depois.
7. Trate os cookies à parte. Explique quais são usados e para quê, e dê controle real ao visitante (veja abaixo).
8. Coloque em lugar visível. Rodapé do site, tela de cadastro, aplicativo e pontos de coleta presenciais, quando houver.
9. Date e versione. Indique a data da última atualização e guarde as versões anteriores.

Cookies: o que a ANPD orienta

O guia orientativo da ANPD sobre cookies, publicado em 2022, separa os cookies estritamente necessários, que fazem o site funcionar, dos demais, como os de análise e de publicidade. Para os necessários, o guia considera que o consentimento não é a base legal apropriada. Para os que dependem de consentimento, recomenda:

• não usar opções pré-marcadas nem supor aceite porque o usuário continuou navegando;
• não oferecer só o botão "aceito" sem opção de gerenciar;
• dar o mesmo destaque aos botões de aceitar e de rejeitar;
• permitir rejeitar todos os cookies não necessários;
• oferecer um jeito simples de revogar o consentimento.

Política de privacidade x outros documentos

Erros comuns

• Copiar o modelo de outra empresa. Promete práticas que você não tem e omite as que tem. Escreva a partir do seu mapeamento.
• Usar texto genérico demais. "Seus dados podem ser compartilhados com parceiros" não informa nada. Diga quais categorias de parceiros e para quê.
• Esconder a política. Link escondido ou documento em PDF difícil de abrir vai contra o acesso facilitado que a lei exige.
• Não atualizar. Nova ferramenta de marketing, novo fornecedor ou novo produto mudam o tratamento. Se a finalidade muda e a base é o consentimento, o titular deve ser avisado antes e pode revogar (art. 9º, §2º).
• Confundir aviso com consentimento. Publicar a política não é o mesmo que obter consentimento. Quando ele for a base, precisa ser livre, informado e inequívoco, obtido à parte.
• Esquecer os direitos do art. 18. A lei exige menção explícita. Liste os direitos e explique como pedir.

Checklist

Perguntas frequentes

Toda empresa precisa ter política de privacidade? A LGPD não usa esse nome, mas exige que o titular tenha acesso facilitado às informações do art. 9º. Para quem tem site, aplicativo ou coleta dados de clientes, a forma mais prática de cumprir essa exigência é um aviso de privacidade publicado e acessível.

Posso usar um modelo pronto da internet? Pode servir de roteiro, mas não de texto final. O conteúdo precisa refletir os dados, finalidades, fornecedores e prazos da sua empresa. Um modelo copiado tende a prometer o que não acontece e a omitir o que acontece.

Política de privacidade e política de cookies precisam ser separadas? Não há obrigação de separar, mas muitas empresas separam porque os cookies mudam com frequência e exigem um mecanismo próprio de consentimento no site. O importante é que o visitante encontre a informação e consiga gerenciar suas escolhas.

De quanto em quanto tempo devo atualizar? Sempre que houver mudança relevante no tratamento: nova finalidade, novo fornecedor, novo produto, nova coleta. Além disso, uma revisão periódica, junto com a revisão do mapeamento, ajuda a manter o texto fiel à operação.

Preciso informar o nome de todos os fornecedores? A lei pede informações sobre o uso compartilhado e a finalidade. Em geral, informar as categorias de destinatários e o motivo atende ao objetivo. O titular pode pedir a informação das entidades com as quais houve compartilhamento (art. 18, VII).

Próximo passo

O guia LGPD na prática mostra a sequência que dá base a uma boa política, do mapeamento à revisão dos contratos. Se a empresa é pequena e está começando, veja LGPD em pequenas empresas: por onde começar. Para escrever ou revisar a política, o banner de cookies e os documentos relacionados, o Dados em Conformidade reúne essas entregas com escopo definido. Mais conteúdo em LGPD.

Fontes

• Lei 13.709/2018 (LGPD), arts. 6º, VI; 9º; 14, §§ 2º e 6º; 18; e 41, §1º (texto atualizado até a Lei 15.352/2026).
• Lei 12.965/2014 (Marco Civil da Internet), art. 7º, VIII e XI.
• Resolução CD/ANPD 2/2022, art. 11, §1º.
• ANPD, Guia Orientativo "Cookies e proteção de dados pessoais", outubro de 2022 (gov.br/anpd).

Conteúdo informativo. Não substitui consulta a um advogado.