Política de Privacidade LGPD (2026): Guia Completo com Modelo para Copiar

Política de privacidade é o documento público em que você explica ao visitante do seu site o que faz com os dados dele. Desde 2020, quando a LGPD (Lei Geral de Proteção de Dados, 13.709/2018) entrou em vigor, esse documento deixou de ser “boa prática” e virou obrigação. Sem ele, qualquer coleta de dado pessoal — de e-mail em formulário a IP em analytics — é irregular.

Este guia cobre o que a LGPD exige, estrutura ideal por seção, bases legais aplicadas corretamente, os 15 itens obrigatórios, erros que a ANPD cobra em fiscalização, e entrega um template que você adapta ao seu negócio em uma hora.

O que a LGPD realmente exige

A lei não dita o texto da política — ela dita a informação que deve estar acessível ao titular dos dados. Os artigos 9 e 18 listam, em conjunto, quinze pontos obrigatórios:

1. Quais dados pessoais são coletados (identificação, contato, navegação, etc.)
2. Finalidade de cada coleta
3. Base legal que justifica o tratamento
4. Forma de coleta (formulário, cookie, integração, etc.)
5. Duração do tratamento (retenção)
6. Compartilhamento com terceiros (quem e por quê)
7. Transferência internacional de dados (se houver)
8. Medidas de segurança adotadas
9. Direitos do titular e como exercê-los
10. Canal de atendimento para o titular
11. Responsável pelo tratamento (controlador)
12. Dados do encarregado (DPO) quando aplicável
13. Tratamento de dados de menores (se aplicável)
14. Uso de cookies (detalhado)
15. Política de mudanças e data da última atualização

Estrutura padrão seção a seção

1. Introdução / Quem somos

Identifica o controlador (empresa ou pessoa responsável pelos dados) com razão social, CNPJ/CPF, endereço e contato.

2. Dados que coletamos

Liste todos os tipos de dado. Organize em categorias para clareza.

3. Finalidade

Para cada categoria, especifique o por quê. Vago (“melhorar nossos serviços”) é ruim. Específico (“enviar newsletter semanal de conteúdo solicitado”) é bom.

4. Base legal

LGPD traz 10 bases legais (art. 7). Use a mais específica para cada finalidade:

5. Compartilhamento com terceiros

Liste serviços que processam seus dados:

6. Transferência internacional

Praticamente todo site usa serviços americanos (Google, AWS, Vercel) ou europeus. Documente. A LGPD permite transferência quando o país tem nível adequado de proteção ou quando há cláusulas contratuais específicas.

7. Segurança

Descreva as medidas sem entrar em detalhe técnico que ajudaria atacantes. Exemplos aceitáveis:

• Criptografia em trânsito (HTTPS/TLS) obrigatória
• Senha armazenada em hash criptográfico
• Controle de acesso por perfis internos
• Backup periódico
• Monitoramento de logs
• Treinamento de equipe em segurança

8. Retenção de dados

Por quanto tempo você guarda os dados. Pode variar por tipo:

• Dados de contato de formulário: 2 anos após último contato
• Dados de pedido: 5 anos (obrigação fiscal)
• Newsletter: até o usuário se descadastrar
• Logs de acesso: 6 meses (Marco Civil da Internet)
• Cookies de analytics: 14 meses (padrão GA4)

9. Direitos do titular

LGPD garante 9 direitos (art. 18):

1. Confirmação da existência de tratamento
2. Acesso aos dados
3. Correção de dados incompletos
4. Anonimização, bloqueio ou eliminação
5. Portabilidade a outro fornecedor
6. Eliminação de dados tratados com consentimento
7. Informação sobre compartilhamento
8. Informação sobre possibilidade de não consentir
9. Revogação do consentimento

10. Como exercer direitos

Ofereça canal claro: e-mail dedicado, formulário ou painel de usuário. Prazo legal para atender: 15 dias.

11. Cookies

Descreva tipos e finalidades. Liste cookies específicos (exportáveis do seu próprio site). Padrão mínimo:

• Essenciais: necessários para o funcionamento (autenticação, carrinho). Não exigem consentimento.
• Funcionalidade: preferências do usuário (idioma, tema). Base legal: legítimo interesse.
• Analíticos: Google Analytics, Mixpanel. Exigem consentimento ou legítimo interesse documentado.
• Marketing: remarketing, pixel de Facebook. Sempre exigem consentimento explícito.

12. Menores de idade

Se o site pode atrair menores, informe tratamento específico (art. 14 LGPD). Para sites que explicitamente não coletam de menores, declare.

13. Encarregado (DPO)

Nome e contato do encarregado. Pode ser pessoa física interna, externa ou terceirizada.

14. Mudanças nesta política

Informe como e quando você avisará sobre mudanças.

15. Data de atualização

Última linha da política. Atualize sempre que mudar algo.

Template completo para adaptar

Versão pronta que você pode usar como ponto de partida. Não copie e cole sem adaptar — cada negócio tem particularidades que precisam aparecer.

Onde publicar a política

• Footer do site: link visível em todas as páginas.
• Formulários: link direto ao lado de “aceito os termos”.
• Confirmação de cadastro: e-mail com link para leitura completa.
• Banner de cookies: link visível no call-out de consentimento.
• Apps mobile: seção “Sobre” ou menu principal.

Erros comuns que geram não conformidade

• Copiar política de concorrente: as suas operações são diferentes. Copiado, você menciona práticas que não faz e omite as que faz.
• Jargão jurídico excessivo: viola o princípio de linguagem clara.
• Sem data de atualização: indica documento abandonado.
• Sem canal para exercer direitos: uma das maiores queixas à ANPD.
• “Podemos compartilhar com parceiros” sem listar: vaga e não conforme. Liste.
• Consentimento como base legal padrão: muitas vezes execução de contrato ou legítimo interesse são corretos.
• Ignorar cookies: tratá-los como se não existissem não os elimina.
• Não mencionar transferência internacional: se usa Google/AWS, você transfere dados.

Política de privacidade vs termos de uso

Em sites pequenos, unificar política de privacidade e cookies funciona. Em sites maiores, separar documentos é preferível para clareza e manutenibilidade.

Fluxo de manutenção

Política não é “publiquei e esqueci”. Rotina mínima:

• Trimestralmente: revise seções 5 (terceiros) e 10 (cookies). São as que mais mudam com novas integrações.
• Anualmente: revisão completa. Ajuste base legal se mudou, atualize direitos se houve novo entendimento da ANPD.
• Em mudança material: atualize na hora. Novas ferramentas (novo CRM, novo provedor de analytics) exigem atualização imediata.
• Após incidente: revise medidas de segurança e adapte a política se mudou algo no processo.

ANPD: o que é e quando se envolve

A Autoridade Nacional de Proteção de Dados (ANPD) é a autoridade regulatória brasileira para LGPD. Suas atribuições:

• Fiscalizar e aplicar sanções
• Receber denúncias de titulares
• Publicar orientações e regulamentações
• Mediar entre titulares e controladores

Sanções aplicáveis:

• Advertência (frequente em primeira infração)
• Multa simples (até 2% do faturamento, teto R$ 50M)
• Multa diária
• Publicização da infração
• Bloqueio dos dados pessoais
• Eliminação dos dados
• Suspensão do funcionamento da base de dados
• Suspensão do exercício da atividade
• Proibição parcial ou total do exercício

Além da política: outras obrigações LGPD

Ter política é passo 1, não a conformidade toda. Complementos importantes:

• Registro de operações de tratamento (ROP): documento interno detalhando todas as operações com dados. Não precisa ser público, mas a ANPD pode solicitar.
• DPIA (Relatório de Impacto à Proteção de Dados): obrigatório em operações de alto risco.
• Processo de atendimento ao titular: como você recebe e responde solicitações em até 15 dias.
• Plano de resposta a incidente: em vazamento, notificar em 72 horas.
• Contratos com terceiros: incluir cláusulas de proteção de dados.
• Treinamento de equipe: documenta que você educa quem manuseia dados.

Política em uma frase

Política de privacidade é o documento público que prova sua diligência em proteção de dados — e a primeira coisa que a ANPD e seus usuários verificam. Em 2026, estar sem ela é exposição desnecessária: uma hora adaptando um modelo bom resolve 95% da exigência. O custo de não ter é ordens de magnitude maior que o de ter.