Política de privacidade: grátis ou adequada, o que muda

Quase todo site brasileiro tem uma política de privacidade no rodapé. Boa parte delas foi gerada em trinta segundos por um formulário que perguntou o nome da empresa, o endereço do site e mais nada. O texto que saiu de lá fala de um site genérico, lista cookies que talvez não existam, cita um encarregado que ninguém nomeou e não tem data.

Esse documento falha porque descreve um tratamento de dados que não é o seu, e descrever o seu é justamente o que a LGPD pede dele. O preço tem pouco a ver com isso: existe política gratuita correta e existe política paga genérica.

Os dois artigos que criam a obrigação

A LGPD não trata a política de privacidade como formalidade de rodapé. Ela decorre de dois comandos diretos da lei.

O art. 6º, X estabelece o princípio da responsabilização e prestação de contas: o controlador precisa ser capaz de demonstrar a adoção de medidas eficazes de cumprimento da lei. O art. 9º estabelece o direito do titular ao acesso facilitado às informações sobre o tratamento e enumera o que precisa constar de forma clara, adequada e ostensiva: finalidade específica, forma e duração do tratamento, identificação do controlador, informações de contato, uso compartilhado e responsabilidades dos agentes.

A política é o lugar onde essas informações são prestadas. Se ela descreve um tratamento que não é o seu, você não prestou contas de nada e ainda publicou um documento que contradiz o comportamento do próprio site. Essa contradição é verificável por qualquer pessoa com o DevTools aberto.

A fiscalização também não costuma ser o primeiro filtro por onde o documento passa. Um cliente corporativo manda o questionário de fornecedor, um marketplace pede a documentação de conformidade, um titular escreve perguntando o que você guarda: nos três casos a política é o primeiro documento solicitado, e nenhum deles envolve a ANPD.

O que uma política adequada precisa conter, item a item

A tabela abaixo traz o conjunto mínimo que permite a alguém entender o que acontece com os dados dela no seu site, com o motivo de cada linha estar lá.

Item	Por que ele existe
Identificação do controlador	Sem razão social, CNPJ e endereço, o titular não sabe contra quem exercer direito
Canal de contato do controlador	O art. 9º exige informação de contato; e-mail funcional, não formulário quebrado
Identidade e canal do encarregado	Art. 41: o encarregado é o canal entre titular, controlador e ANPD
Lista real de dados coletados	O titular precisa saber o que você tem, inclusive o que veio de cookie
Finalidade específica de cada tratamento	Art. 6º, I: finalidade genérica não é finalidade
Base legal de cada finalidade	Art. 7º: sem base legal declarada, o tratamento é indefensável
Compartilhamento, com quem e para quê	Art. 9º, V: uso compartilhado é informação obrigatória
Transferência internacional	Muda o regime jurídico e precisa estar declarada
Prazo de retenção por categoria	"Pelo tempo necessário" não informa nada
Direitos do art. 18 com procedimento	Direito sem canal é direito no papel
Medidas de segurança	Art. 46, de forma verificável e sem detalhe que crie risco
Data de vigência e histórico de versões	Sem versão, não existe prova de qual texto valia quando

Identificação do controlador e canal de contato

Razão social completa, CNPJ, endereço e um canal que responde. Nome fantasia sozinho não serve: quem quer exercer um direito precisa saber contra qual pessoa jurídica. Se o site é de um MEI ou de uma pessoa física que atua profissionalmente, isso precisa estar dito.

Um endereço de e-mail que ninguém lê é pior do que nenhum endereço, porque cria a aparência de canal e produz uma reclamação a mais quando o titular não recebe resposta.

Identidade e canal do encarregado

O art. 41 determina que o controlador indique o encarregado pelo tratamento de dados pessoais e que a identidade e as informações de contato dele sejam divulgadas publicamente, de forma clara e objetiva, preferencialmente no site.

A Resolução CD/ANPD nº 2/2022 dispensa agentes de pequeno porte de indicar encarregado, mantendo a exigência de um canal de comunicação com o titular. A dispensa não vale para quem faz tratamento de alto risco ou em larga escala, e publicidade comportamental costuma cair aí.

Encarregado pode ser pessoa natural ou jurídica, interna ou contratada, e não precisa ser advogado, desde que o nome esteja publicado e alguém responda por ele. Se você não sabe o que é a função, comece pelo verbete de encarregado (DPO).

A lista real de dados coletados

É o item em que a maioria das políticas geradas por formulário falha. Ele precisa cobrir três origens:

• Dados fornecidos pelo titular: cadastro, formulário de contato, checkout, currículo, chat, WhatsApp, comentário.
• Dados coletados automaticamente: endereço IP, identificadores de cookie, páginas visitadas, dispositivo, origem do tráfego.
• Dados recebidos de terceiros: marketplace, gateway de pagamento, antifraude, enriquecimento de base, plataforma de anúncio.

Cookie é dado pessoal quando permite identificar ou tornar identificável uma pessoa, e identificador de publicidade permite. Uma política que fala de "informações de navegação" sem citar cookies e identificadores está descrevendo outra coisa.

Finalidade específica de cada tratamento

"Para melhorar sua experiência" não é finalidade. Compare:

Formulação genérica	Formulação específica
Para melhorar nossos serviços	Para medir quais páginas geram carrinho abandonado
Para fins de marketing	Para enviar e-mail com ofertas de produtos da categoria comprada
Para segurança	Para detectar tentativa de fraude no checkout por padrão de comportamento
Para comunicações	Para responder ao chamado aberto pelo titular no formulário de suporte

A finalidade específica é o que dá sentido ao princípio da necessidade: só se coleta o dado que aquela finalidade exige. Sem ela declarada, ninguém consegue avaliar se a coleta é necessária, nem você.

Base legal de cada finalidade

O art. 7º traz dez hipóteses de tratamento de dado pessoal comum. Consentimento é apenas a primeira delas. As mais usadas por um negócio comum:

Finalidade típica	Base legal usual
Processar a compra e entregar o produto	Execução de contrato
Emitir nota fiscal e guardar pelo prazo fiscal	Cumprimento de obrigação legal
Prevenir fraude no checkout	Legítimo interesse (ou proteção do crédito)
Responder a reclamação e defender-se em processo	Exercício regular de direitos
Enviar e-mail marketing para quem não é cliente	Consentimento
Cookies não essenciais de marketing e estatística	Consentimento

Pedir consentimento para o que já se apoia em execução de contrato custa caro: o titular pode revogar o consentimento a qualquer tempo, e você fica sem base legal para uma operação de que depende para entregar o pedido.

O erro inverso é mais grave. O art. 8º, §4º diz que o consentimento deve se referir a finalidades determinadas e que autorizações genéricas são nulas. Uma política que diz "ao navegar, você concorda com o tratamento dos seus dados" não produz consentimento válido: falta finalidade determinada e falta manifestação inequívoca. E o art. 8º, §2º põe o ônus da prova do consentimento no controlador, ou seja, em você. O verbete de base legal detalha as hipóteses uma a uma.

Compartilhamento: com quem, incluindo operadores e plataformas de anúncio

"Podemos compartilhar com parceiros" não informa nada. Descreva por categoria e diga para quê:

• Operadores que tratam dados por ordem sua: hospedagem, plataforma de e-commerce, ERP, gateway de pagamento, antifraude, ferramenta de e-mail, atendimento.
• Plataformas de publicidade e mensuração: Google, Meta, TikTok e afins, que recebem identificadores e eventos de conversão.
• Obrigação legal ou ordem de autoridade: quando houver.
• Operações societárias: fusão, aquisição, cisão, se for o caso.

A parte que mais escapa é a de anúncio. Se o seu site envia evento de conversão para uma plataforma, isso é uso compartilhado de dado pessoal e precisa estar na política. Como isso se conecta ao consentimento é o assunto do guia do Google Consent Mode v2.

Transferência internacional

Hospedagem, e-mail, analytics ou CRM com servidores fora do Brasil (você provavelmente usa pelo menos um deles) configuram transferência internacional de dados. Ela é permitida, mas depende de uma hipótese legal específica: país com grau de proteção adequado, cláusulas contratuais padrão ou específicas, normas corporativas globais, selos e certificados, entre outras.

A Resolução CD/ANPD nº 19/2024 regulamenta a transferência internacional e traz as cláusulas-padrão contratuais; o prazo de adequação dos contratos antigos venceu em agosto de 2025. Na política, declare três coisas: que há transferência, para quais finalidades e com base em qual mecanismo.

Prazo de retenção por categoria

"Pelo tempo necessário às finalidades" não diz nada ao titular. Uma tabela diz:

Categoria de dado	Retenção típica	Motivo
Dados de cadastro de cliente ativo	Enquanto durar a relação	Execução de contrato
Dados fiscais da venda	Prazo da legislação fiscal aplicável	Obrigação legal
Registro de consentimento de cookies	Enquanto puder ser exigida a prova	Ônus da prova é do controlador
Lead que nunca comprou	Prazo definido e revisado	Necessidade
Currículo recebido	Prazo definido, com descarte automático	Necessidade

Os prazos concretos dependem da sua operação e da legislação do seu setor. Defina-os com quem conhece o negócio e escreva só o que você vai conseguir cumprir, porque prazo publicado e descumprido pesa mais contra você do que prazo ausente.

Os direitos do art. 18 com procedimento concreto

Listar os direitos e parar aí é metade do trabalho. O titular tem direito a confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade, eliminação dos dados tratados com consentimento, informação sobre compartilhamento, informação sobre a possibilidade de não consentir, e revogação do consentimento.

Acrescente o procedimento: por onde se pede, o que se pede, o que você vai exigir para confirmar a identidade e em quanto tempo responde. Sem isso o titular escreve para o e-mail de vendas, ninguém sabe o que fazer e a resposta não sai.

Medidas de segurança de forma verificável

O art. 46 exige medidas técnicas e administrativas aptas a proteger os dados pessoais. Descreva-as em termos que possam ser conferidos internamente, sem entregar um mapa a quem quer atacar você. Frases como "adotamos os mais altos padrões de segurança do mercado" não descrevem medida nenhuma.

Escreva o que for verdade na sua operação: criptografia em trânsito, controle de acesso por perfil, autenticação em dois fatores no painel administrativo, política de senhas, registro de acessos, rotina de backup, contratos com operadores contendo obrigações de segurança.

Data de vigência e histórico de versões

Consentimento vale para a versão do texto que foi apresentada. Se você mudou a política e não versionou, não tem como demonstrar o que estava escrito quando aquele titular aceitou. Data de vigência, número de versão e um resumo do que mudou em cada revisão custam três linhas e resolvem o problema.

Os cinco defeitos típicos de uma política gratuita

Defeito	Como se manifesta	Por que importa
Texto genérico	Fala de "nossos serviços" sem descrever os seus	Não presta contas de nada (art. 6º, X)
Tradução de GDPR	Fala em "DPO" e em "interesse legítimo", cita autoridade de controle europeia e traz prazos que não vêm da LGPD	Vocabulário e regime errados; sinaliza que ninguém leu o texto
Lista de cookies inventada	Cookies que o site não usa e ausência dos que usa	Contradiz o comportamento verificável do site
Sem encarregado	Nenhum nome, nenhum canal	Descumpre o art. 41 e deixa o titular sem porta
Sem versão nem data	Documento sem carimbo temporal	Não há como provar qual texto valia quando o titular aceitou

O segundo defeito merece um parágrafo. Muitos geradores gratuitos são traduções de produtos europeus. Eles falam em DPO em vez de encarregado, tratam legítimo interesse com o teste de balanceamento do regulamento europeu, mencionam autoridade de controle do país de origem e trazem prazos de notificação de incidente que não vêm da LGPD. Nada disso torna o documento automaticamente ilegal, mas mostra a um avaliador atento, em trinta segundos, que o texto não foi escrito para a sua operação.

O terceiro defeito é o único que qualquer pessoa consegue checar sem ser advogada: abrir o site, abrir o DevTools e comparar a lista de cookies real com a lista do documento.

Política de privacidade, política de cookies e termos de uso

São três documentos com funções diferentes. Juntar tudo em um só é comum e piora o resultado, por um motivo prático antes de jurídico: eles mudam em ritmos diferentes.

Documento	O que contém	Com que frequência muda
Política de privacidade	Todo o tratamento de dados pessoais da operação	Quando muda finalidade, fornecedor ou base legal
Política de cookies	Cookies e rastreadores do site, por categoria, com finalidade e prazo	Sempre que o site ganha ou perde um script
Termos de uso	Regras da relação: conta, pagamento, entrega, troca, propriedade intelectual	Quando muda a regra comercial

A política de cookies é a que muda com mais frequência, porque ela acompanha o código do site. Um plugin novo, uma tag colocada pela agência, um chat instalado numa terça-feira: em qualquer desses casos, a lista muda. Se ela estiver dentro de um documento único com os termos de uso, cada alteração de script obriga a reversionar um documento contratual, e o resultado previsível é que ninguém atualiza nada.

O outro motivo é de leitura. O banner de cookies precisa apontar para um texto que explique os cookies daquele site, não para um documento de quarenta parágrafos em que a informação está perdida no meio. O detalhamento do regime de cookies está no guia de cookies e LGPD à luz do Guia da ANPD.

O teste de cinco minutos para auditar a sua política

Abra o seu documento e o seu site lado a lado e responda a cinco perguntas.

1. Procure o CNPJ. Se não estiver lá, o documento não identifica o controlador.
2. Procure a palavra "encarregado" e um contato. Se só houver "DPO" sem nome ou nada, você tem um problema de art. 41.
3. Compare a lista de cookies com a realidade. Abra o site em janela anônima, DevTools, Aplicativo, Cookies. Todo cookie da tela precisa estar no documento e vice-versa.
4. Procure a base legal do e-mail marketing. Se a política diz que tudo é feito com consentimento, procure onde esse consentimento foi coletado e se você consegue provar.
5. Procure a data de vigência. Sem data e sem versão, o resto perde valor probatório.

Se o documento falhar em dois ou mais itens, refazer sai mais rápido do que remendar.

De onde a lista de cookies precisa sair

Cookie é o único item da política que muda sozinho. Você não precisa fazer nada para ganhar um rastreador novo: basta a agência instalar uma tag, o tema atualizar com uma integração ou um embed de vídeo entrar numa página nova.

Por isso a política de cookies não deveria ser escrita à mão. Ela sai de um inventário do que o site carrega de verdade, e volta a sair dele quando esse inventário muda. O scanner gratuito do Concedo levanta o inventário sem cadastro: cookies, scripts e iframes de terceiros, classificados por categoria.

Depois da instalação, quem alimenta o inventário é o sensor embutido no loader, que reporta as rotas que visitantes de verdade abrem. No Concedo, a declaração de cookies do documento é apurada a partir do que os visitantes reais abriram até a hora da leitura, e o documento sai com a data dessa apuração. A regra vale com qualquer ferramenta: gere a política de cookies a partir do inventário e regenere-a quando o inventário mudar.

Quando você precisa de advogado de verdade

Gerador nenhum, incluindo o do Concedo, substitui advogado nos casos abaixo.

Situação	Por quê
Dado pessoal sensível	Art. 11 tem regime próprio, com hipóteses mais estreitas que o art. 7º
Saúde: clínica, laboratório, operadora de plano	Dado de saúde é sensível e há regulação setorial específica
Criança e adolescente	Regime específico, com melhor interesse e consentimento de responsável
Biometria, reconhecimento facial	Sensível, com risco alto e escrutínio crescente
Decisão automatizada com efeito relevante	Crédito, precificação, triagem: pede análise e direito à revisão
Transferência internacional relevante	Mecanismo contratual precisa ser escolhido e redigido
Escala, base grande ou dado de terceiros	Risco alto pede avaliação de impacto, não modelo pronto
Setor regulado	Saúde, financeiro, educação, telecom têm camadas adicionais

Um gerador resolve bem o caso comum: site institucional, loja, SaaS pequeno, tratamento previsível, sem dado sensível. Fora disso, ele entrega um ponto de partida para a conversa com quem vai assinar o parecer, o que economiza tempo e dinheiro sem substituir o parecer.

O escopo do gerador do Concedo

O gerador cobre o caso comum descrito acima. Ele monta o documento a partir do que você declara sobre a operação e, na parte de cookies, do inventário apurado no momento da leitura. Sai com data de vigência e número de versão. O registro de consentimento do banner guarda a versão da política que estava no ar quando o visitante escolheu, o que fecha o ciclo da prova. O gerador é um add-on que vale em qualquer plano, inclusive no gratuito: com ele o documento sai sem marca d'água, e o preço está em preços.

Ele não cobre as situações da tabela anterior. Também não define os seus prazos de retenção reais, não levanta o inventário dos seus operadores e contratos, não nomeia o encarregado e não decide a base legal quando o enquadramento é discutível. Essas decisões continuam sendo suas, e o gerador apenas as documenta.

Os documentos saem em português, para operação brasileira.

Como manter o documento vivo

Uma política correta em janeiro está errada em junho se ninguém olhar para ela. Quatro rotinas resolvem, e nenhuma leva mais que uma hora.

1. Gatilho por mudança de site. Toda vez que alguém instalar tag, plugin, chat ou embed, regere a lista de cookies. O sensor do loader ajuda a perceber o momento: ele reporta as rotas que os visitantes abrem, e é por elas que um rastreador novo aparece.
2. Gatilho por mudança de fornecedor. Trocou de ERP, de gateway, de ferramenta de e-mail? Mudou operador, mudou compartilhamento, mudou o documento.
3. Gatilho por mudança de finalidade. Passou a usar os dados de compra para segmentar anúncio? É finalidade nova, com base legal nova.
4. Revisão de calendário. Uma revisão semestral marcada na agenda pega o que os gatilhos deixaram passar.

Toda revisão gera versão nova, com data e resumo do que mudou. Quando a política muda de forma que afeta o consentimento de cookies, o banner precisa voltar a aparecer, porque o consentimento anterior se referia a outro texto.

Perguntas frequentes

Política gratuita é ilegal? Não. O que conta é a correspondência com a realidade: uma política gratuita que descreve o seu tratamento vale mais do que uma paga e genérica.

Posso copiar a política de um concorrente? Além do problema de direito autoral, você estaria declarando publicamente fornecedores, finalidades e prazos que não são os seus. É o defeito nº 1 da tabela, agravado.

Preciso de política de privacidade se meu site é só institucional, sem cadastro? Se ele tem formulário de contato, tem coleta. Se ele tem analytics ou pixel, tem coleta automática. Um site que não coleta absolutamente nada é raro, e mesmo ele costuma ter logs de servidor.

Preciso nomear encarregado se sou MEI? Não, se o tratamento não for de alto risco nem em larga escala (Resolução CD/ANPD nº 2/2022). O canal de comunicação com o titular continua obrigatório, e publicar um e responder por ele é a alternativa segura mesmo para quem está dispensado.

Uma política em inglês serve para o Brasil? Se o público é brasileiro, o art. 9º pede informação clara e adequada, e não há clareza em idioma que o titular não domina. Publique em português e traduza se houver público de fora.

Onde a política precisa estar? Acessível de qualquer página, tipicamente no rodapé, e linkada nos pontos de coleta: cadastro, checkout, formulário, banner de cookies. Link enterrado em uma página que só o Google encontra não é acesso facilitado.

O que muda se eu tiver um vazamento? A LGPD obriga a comunicar à ANPD e ao titular o incidente de segurança que possa acarretar risco ou dano relevante em até 3 dias úteis do conhecimento (Resolução CD/ANPD nº 15/2024). Tenha o procedimento escrito antes de precisar dele.

Próximos passos

1. Aplique o teste de cinco minutos ao documento atual. Se ele falhar em dois itens ou mais, refaça em vez de remendar.
2. Compare a lista de cookies que a sua política afirma com a que o scanner gratuito encontra no site. É a checagem que mais costuma reprovar.
3. Se você vende online, siga para o checklist de LGPD para e-commerce, que cobre os pontos de coleta do checkout, os operadores e os direitos do titular no dia a dia.
4. Marque a revisão semestral na agenda hoje, com nome e responsável.