LGPD para pequenas empresas: o que o seu site precisa ter

A LGPD chegou cercada de pânico, consultorias caras e documentos de trinta páginas que ninguém lê. Para uma empresa de dois, cinco ou quinze pessoas, isso produziu o pior resultado possível: a sensação de que o assunto é grande demais para ser resolvido e, portanto, melhor deixar para depois. Este guia faz o caminho oposto. Ele traduz a lei em decisões concretas sobre o seu site, o seu formulário, o seu WhatsApp e as suas planilhas, na ordem em que elas realmente importam.

O que a LGPD é, em linguagem de dono de empresa

Tire por um momento a palavra lei da frente e olhe o que está por baixo. A LGPD parte de uma ideia bastante simples: os dados de uma pessoa pertencem a ela, não a quem os coletou. Quando alguém preenche o seu formulário, manda uma mensagem no seu WhatsApp ou entrega o CPF na recepção, essa pessoa não está transferindo posse. Ela está emprestando informação para uma finalidade específica, e continua tendo direito de saber o que aconteceu depois.

Dessa ideia central nascem as obrigações práticas que aparecem no resto do texto. Se o dado é da pessoa, ela tem direito de saber que você o tem. Se ela emprestou para uma finalidade, você não deveria usar para outra sem avisar. Se a finalidade acabou, o dado não tem por que continuar na sua planilha. E se ela pedir para ver, corrigir ou apagar, você precisa ter uma resposta. Todas as exigências que parecem burocráticas derivam desse raciocínio.

Vale entender também três palavras que aparecem em qualquer conversa sobre o tema, porque elas destravam a leitura de qualquer material sobre a lei. Titular é a pessoa a quem o dado se refere: o seu cliente, o paciente, o candidato a vaga, o visitante do site. Tratamento é qualquer coisa que se faça com o dado, incluindo coletar, armazenar, consultar, usar, compartilhar e eliminar. E dado pessoal é qualquer informação que identifique alguém ou permita identificar, o que é mais amplo do que a maioria imagina: nome e CPF são óbvios, mas um telefone, um endereço de e-mail e até um identificador de navegador podem entrar na conta.

Sua empresa é pequena. Ainda assim a lei se aplica?

Sim. A lei não estabelece um número mínimo de funcionários ou de faturamento a partir do qual passa a valer. O que ela regula é a atividade de tratar dados pessoais no contexto de uma atividade econômica, e isso alcança o consultório com uma recepcionista, o escritório contábil com quatro pessoas e a loja que só vende pelo Instagram.

O que existe, e é uma diferença importante, é proporcionalidade. A ANPD, a Autoridade Nacional de Proteção de Dados, que é o órgão responsável por fiscalizar e orientar, reconhece a figura do agente de tratamento de pequeno porte e adota um tratamento simplificado para essas empresas em várias obrigações formais. Isso significa menos burocracia de processo, não menos responsabilidade sobre o essencial. Ninguém espera que uma clínica com três funcionários mantenha a mesma estrutura documental de um banco. Todo mundo espera que ela não deixe dados de pacientes numa planilha aberta no computador da recepção.

A confusão que atrapalha mais pequenas empresas é achar que conformidade é um documento. Não é. Conformidade é o conjunto de práticas, e o documento apenas descreve as práticas. Um site com política de privacidade impecável e uma planilha de clientes compartilhada por link público com o mundo inteiro está pior do que um site sem política nenhuma e uma operação organizada. A ordem correta é arrumar a casa, depois descrever a casa arrumada.

Onde o seu site coleta dados sem você perceber

Quase todo dono de empresa que perguntamos responde a mesma coisa quando questionado sobre quais dados o site dele coleta: o formulário de contato. Está certo, mas costuma ser a menor parte da história. Um site institucional comum, montado com as ferramentas usuais do mercado, tem entre quatro e sete pontos de coleta ativos, e a maioria funciona sem nenhuma ação deliberada do visitante.

Olhe a terceira coluna com atenção, porque ela organiza a prioridade toda. Quanto menos a pessoa percebe a coleta, maior é a sua obrigação de contar. Um formulário é honesto por natureza: quem digita sabe que está entregando informação. Um pixel de anúncio instalado numa página de tratamento médico é o oposto disso, porque a pessoa apenas leu um texto e, sem saber, alimentou um perfil publicitário em outra empresa.

A primeira tarefa prática, antes de qualquer documento, é fazer o inventário do seu próprio site. Abra a lista das ferramentas instaladas, veja quem recebe os e-mails do formulário, confira se aquele chat que você testou há dois anos ainda está carregando e verifique se o pixel de uma campanha antiga continua ativo. Em quase todo diagnóstico que fazemos aparece pelo menos um rastreador esquecido, coletando há meses sem servir a ninguém. Falamos sobre o peso disso também no guia de velocidade do site, porque scripts abandonados custam desempenho além de risco.

O formulário de contato: menos campos é mais conformidade

Existe uma coincidência feliz entre privacidade e conversão que quase ninguém aproveita: formulário curto respeita mais a lei e converte melhor. Cada campo que você remove é, ao mesmo tempo, um dado a menos para proteger, um motivo a menos de abandono e uma linha a menos para justificar caso alguém pergunte por que você precisava daquilo.

O princípio jurídico por trás disso costuma ser chamado de minimização: colete apenas o necessário para a finalidade. Traduzindo para a mesa do dono da empresa, a pergunta é direta. Para responder um pedido de orçamento, você precisa mesmo de CPF? Precisa de endereço completo? Precisa de data de nascimento? Na esmagadora maioria dos casos, não. Você precisa de um jeito de responder e de uma ideia do que a pessoa quer.

Repare que quase todas as desvantagens da coluna direita se resolvem no atendimento, e não no formulário. É por isso que, quando construímos sites, o padrão é nome, contato preferido e uma mensagem curta, com os campos adicionais aparecendo apenas quando o negócio efetivamente precisa deles para operar. Discutimos esse desenho em detalhe no guia sobre WhatsApp ou formulário, que compara os dois caminhos do ponto de vista de conversão.

Há ainda um detalhe técnico que costuma passar despercebido e que importa mais do que parece: para onde vai o e-mail do formulário. Se ele cai numa caixa compartilhada que três pessoas acessam, inclusive uma que já não trabalha mais na empresa, você tem um problema de controle de acesso que nenhuma política de privacidade resolve. Definir quem recebe, quem tem acesso e o que acontece quando alguém sai da equipe vale mais do que qualquer parágrafo bem redigido.

WhatsApp: o canal que quase ninguém trata como banco de dados

Se existe um ponto cego universal nas pequenas empresas brasileiras, é este. A empresa contrata alguém para revisar a política de privacidade do site, discute banner de cookies por semanas, e ao lado disso tem um celular com três anos de conversas contendo nomes, endereços, fotos de documentos, exames, comprovantes de pagamento e relatos pessoais. O site coleta um punhado de contatos por mês. O WhatsApp acumulou um arquivo.

Não estamos sugerindo abandonar o WhatsApp. Ele é, para a maioria dos negócios locais no Brasil, o canal que mais gera resultado, e todo o nosso trabalho é construído em torno disso. O que sugerimos é tratá-lo com a mesma seriedade com que se trataria um sistema onde os dados dos clientes ficam guardados, porque é exatamente o que ele é.

• Linha de trabalho separada da pessoal. Além de organizar a vida, isso evita que o histórico da empresa saia junto quando o aparelho é trocado, perdido ou emprestado a alguém da família.
• Bloqueio de tela e do aplicativo. Um celular sem senha, com o histórico de atendimento aberto, é um vazamento esperando um esquecimento em cima do balcão.
• Cuidado com o WhatsApp Web. Sessão aberta em computador compartilhado da recepção é um dos cenários mais comuns de exposição involuntária.
• Evite receber documento e exame por mensagem. Quando houver alternativa com acesso controlado, use a alternativa. Quando não houver, apague depois de usar.
• Defina o que acontece quando alguém sai da equipe. Se o número está no celular pessoal de um funcionário, o banco de dados da empresa vai embora com ele.
• Não use lista de transmissão como se fosse marketing autorizado. Quem pediu orçamento não pediu promoção semanal, e essa distinção é justamente a diferença entre finalidades.

Cookies, analytics e pixels de anúncio sem enrolação

Cookie é apenas um arquivinho que um site guarda no navegador de quem visita. Alguns são indispensáveis para o site funcionar, como o que mantém você logado ou lembra o que está no carrinho. Outros existem para medir comportamento ou alimentar publicidade. A lei não trata esses grupos da mesma forma, e é por isso que a distinção importa tanto na prática.

O padrão que dominou o Brasil é o banner decorativo: uma tarja com o botão aceitar, sem alternativa visível de recusa, que dispara todos os rastreadores antes mesmo de a pessoa clicar em qualquer coisa. Esse desenho não protege ninguém e, em alguns aspectos, deixa a situação pior, porque registra que a empresa sabia da coleta e escolheu não dar controle. Um banner que serve para alguma coisa tem três características: explica em linguagem simples, permite recusar tão fácil quanto aceitar e só carrega o não essencial depois da decisão.

Vale também combater um mito recorrente: recusar rastreamento não quebra o seu marketing. Você continua sabendo quantas visitas recebeu, de onde vieram no agregado e quantos contatos gerou, porque contato gerado é um evento do seu próprio negócio, não da ferramenta de terceiro. O que muda é a precisão da atribuição individual. Para uma pequena empresa que mede resultado por número de orçamentos fechados, essa perda é bem menor do que o discurso das plataformas sugere.

Consentimento e legítimo interesse explicados sem juridiquês

Toda vez que você usa um dado pessoal, precisa ter uma justificativa prevista na lei. Essas justificativas são chamadas de bases legais, e a lei lista várias, incluindo cumprimento de obrigação legal, execução de contrato, proteção da vida e outras. Para o dia a dia de uma pequena empresa, duas concentram quase todas as dúvidas: consentimento e legítimo interesse.

Consentimento

É a autorização dada pela pessoa, de forma livre, informada e para uma finalidade específica. Parece a base mais segura, e por isso muita gente tenta usá-la para tudo, mas ela tem duas fragilidades importantes. A primeira é que pode ser retirada a qualquer momento, e quando isso acontece você precisa parar de usar aquele dado para aquela finalidade. A segunda é que você precisa conseguir demonstrar que o consentimento existiu, o que significa registro, e registro significa processo. Consentimento presumido, escondido em letra miúda ou embutido numa caixa já marcada tende a não valer.

Legítimo interesse

É quando o uso é razoavelmente esperado pela pessoa e não atropela os direitos dela. Se alguém pede um orçamento pelo seu formulário, você não precisa de um aceite formal para responder, porque responder é literalmente o que a pessoa quer que aconteça. A base existe exatamente para não transformar o óbvio em burocracia. Ela não é, porém, um curinga: exige um raciocínio de proporcionalidade e não serve para justificar qualquer coisa que dê vontade de fazer com o dado.

O que uma política de privacidade precisa ter

A política de privacidade é o documento onde você conta, em texto acessível, o que faz com os dados das pessoas. Ela não é um contrato que a pessoa assina nem uma proteção mágica contra reclamações. É uma prestação de contas. E é justamente por isso que copiar a de outra empresa é tão ruim: você acaba prestando contas de uma operação que não é a sua.

Um critério simples para avaliar a qualidade do documento: leia em voz alta e veja se um cliente entenderia. Se cada parágrafo tem quatro linhas de subordinadas e três remissões a outros itens, o texto pode até estar juridicamente correto, mas falhou na função principal, que é informar. Transparência que ninguém consegue ler não é transparência.

Um esqueleto de política de privacidade em linguagem simples

Feita a ressalva, a estrutura abaixo funciona bem porque segue a ordem das perguntas que uma pessoa realmente faria, e não a ordem de um índice legal. Responda cada bloco com a verdade da sua operação, incluindo o que hoje está mal resolvido, porque é exatamente o que está mal resolvido que precisa aparecer na conversa jurídica.

Bloco 1: quem somos e como falar com a gente

Diga a razão social, o CNPJ, a cidade e um canal de contato monitorado para assuntos de privacidade. Uma frase basta. O ponto crítico aqui não é a redação, é o canal existir de verdade e alguém saber o que fazer quando chega um pedido por ele.

Bloco 2: o que coletamos, e onde

Liste ponto por ponto, com a concretude de quem descreve o próprio site. Algo como: no formulário de contato coletamos nome, telefone, e-mail e a mensagem que você escrever; quando você clica no botão do WhatsApp, a conversa acontece no aplicativo e passamos a ter o seu telefone e o histórico das mensagens; nossas páginas usam uma ferramenta de análise que registra páginas visitadas e origem do acesso. Genérico não serve, porque genérico não informa nada.

Bloco 3: para que usamos

Uma finalidade por linha, ligada ao dado correspondente. Responder ao seu contato. Enviar o orçamento solicitado. Agendar o atendimento. Emitir documento fiscal. Melhorar as páginas do site com base em dados agregados. Se alguma finalidade envolve comunicação futura de marketing, ela precisa aparecer separada, porque é uma escolha independente.

Bloco 4: com quem compartilhamos

Aqui mora a omissão mais frequente. Você compartilha mais do que imagina: com quem hospeda o site, com quem fornece o e-mail, com a ferramenta de análise, com a plataforma de anúncio, com o sistema de agendamento, com o contador. Descreva por categoria e deixe claro que não vende dados, se for o caso, porque essa é a pergunta silenciosa de quem lê.

Bloco 5: por quanto tempo guardamos

Dê um critério objetivo por categoria, mesmo que aproximado, em vez da fórmula vazia pelo tempo necessário. Contato que não virou cliente, um período definido. Cliente ativo, enquanto durar a relação mais o prazo exigido por normas fiscais e setoriais. Documentos com prazo legal próprio, o prazo da norma. E o mais importante: só escreva o prazo que você vai efetivamente cumprir.

Bloco 6: seus direitos e como exercer

Liste em linguagem direta o que a pessoa pode pedir e diga exatamente como: escreva para tal endereço, informe seu nome e o contato usado, e respondemos dentro de tal prazo. Um direito que a pessoa não sabe como exercer é um direito enfeitado.

Bloco 7: cookies e ferramentas

Explique o que carrega, para que serve e como recusar o que não é essencial. Se o seu site tem banner, o texto da política e o comportamento do banner precisam contar a mesma história. Divergência entre os dois é o tipo de detalhe que qualquer análise minimamente atenta encontra em segundos.

Bloco 8: alterações e data

Diga que a política pode mudar e coloque a data da última revisão. Documento sem data transmite abandono, e abandono é justamente o oposto da mensagem que a página deveria passar.

Prazos de guarda: por quanto tempo ficar com os dados

Esta é a pergunta que mais recebe resposta errada na internet, geralmente na forma de um número inventado. A lei não fixa um prazo universal, e não fixaria, porque o prazo correto depende da finalidade e das normas específicas que incidem sobre cada tipo de documento. O princípio é que o dado é guardado enquanto a finalidade existir, e depois eliminado ou anonimizado, salvo quando outra norma obriga a manter.

E é aí que a vida real complica, porque outras normas obrigam bastante. Legislação fiscal, trabalhista, regras contábeis, normas sanitárias e resoluções de conselhos profissionais impõem prazos próprios que convivem com a LGPD. Prontuário de paciente, documentação contábil de empresa e registro de atendimento em psicologia têm regras específicas de cada área. Não citamos números aqui de propósito: esses prazos precisam ser confirmados com um profissional da sua área e com um advogado, porque errar para menos pode significar descumprir outra obrigação.

O que você consegue fazer sozinho, sem advogado, é a parte mais negligenciada: escrever numa página só quanto tempo cada categoria de dado fica com você, e então efetivamente apagar o que passou. Não precisa ser sofisticado. Precisa existir e ser cumprido.

Os direitos de quem entrega dados a você

A lei garante um conjunto de direitos ao titular, e a sua obrigação prática é conseguir responder quando alguém os exerce. Em uma pequena empresa isso quase nunca acontece, e justamente por isso pega todo mundo desprevenido quando acontece.

• Confirmação e acesso. Saber se você tem dados dela e quais são. É o pedido mais comum, e o mais fácil de atender quando existe inventário.
• Correção. Pedir para corrigir dado errado, incompleto ou desatualizado. Simples de fazer e raramente problemático.
• Eliminação. Pedir a exclusão. Costuma esbarrar em obrigações legais de guarda, e nesses casos você apaga o que pode e explica o que ficou e por quê.
• Portabilidade. Pedir os dados em formato utilizável para levar a outro fornecedor, dentro do que a regulamentação prevê.
• Informação sobre compartilhamento. Saber com quem você compartilhou. É aqui que a política mal escrita cobra o preço.
• Revogação do consentimento. Retirar a autorização dada, o que deve ser tão fácil quanto foi concedê-la.
• Oposição. Discordar de um tratamento feito com outra base legal, o que exige avaliação caso a caso.

O procedimento interno que resolve tudo isso cabe em cinco linhas: confirme que é a própria pessoa pedindo, localize onde os dados estão, verifique se existe obrigação legal de manter algo, execute o que for possível e responda por escrito explicando o que foi feito. O ponto de falha quase sempre é o segundo, localizar onde os dados estão, porque ninguém mapeou. É por isso que o inventário é o primeiro passo de qualquer conformidade que funcione.

Dados sensíveis: quando o cuidado precisa subir de nível

A lei separa uma categoria de dados que merecem proteção mais estrita, porque o uso indevido pode gerar discriminação ou dano sério. São informações sobre saúde, vida sexual, dados genéticos e biométricos, origem racial ou étnica, convicção religiosa, opinião política e filiação a sindicato ou organização de caráter religioso, filosófico ou político.

Para o site de uma pequena empresa, a consequência prática dessa tabela é quase sempre a mesma e é simples de aplicar: não construa nenhum caminho no site que peça ou convide dado sensível. Nada de campo perguntando o motivo da consulta, nada de upload de exame, nada de seleção de especialidade que revele condição de saúde no endereço da página. O site serve para gerar a conversa; o conteúdo sensível pertence ao ambiente profissional adequado.

O que muda por setor: saúde, contabilidade e psicologia

Em alguns setores a LGPD é a camada de cima, não a única camada. Sigilo profissional, normas de conselhos de classe e regras específicas de guarda de documentos já existiam antes dela e continuam valendo, muitas vezes com exigências mais rigorosas. Ignorar isso é o erro mais caro que vemos: a empresa contrata uma adequação genérica de LGPD e segue descumprindo a norma do próprio conselho.

Saúde: o sigilo veio antes e é mais rígido

Uma clínica lida com dado sensível por definição, e o problema raramente está no que ela coleta de propósito. Está no que o site coleta por acidente: o campo de mensagem onde o paciente escreve o que sente, a lista de especialidades no endereço da página que vai parar na ferramenta de análise, o e-mail de contato que três pessoas da recepção acessam do mesmo computador. O desenho seguro é sempre reduzir: nome, contato, preferência de horário. O resto acontece no telefone ou no sistema clínico. Tratamos desse desenho com detalhe na página de sites para clínicas.

Contabilidade: você responde por dados de gente que nunca te procurou

O escritório contábil tem uma posição incomum: recebe dados de funcionários, sócios e dependentes das empresas atendidas, pessoas que nunca contrataram nada dele. Folha, admissões, documentos, dados bancários. Isso torna a definição de papéis e limites um assunto contratual que precisa ser desenhado juridicamente. Do lado do site, porém, a solução é surpreendentemente simples: o site de um contador não deveria receber documento nenhum. Ele existe para gerar conversa e demonstrar competência, assunto que aprofundamos na página de sites para contadores e no guia sobre como trocar de contador, que discute justamente a transferência de arquivos entre escritórios.

Psicologia: sigilo, conselho e um campo de texto perigoso

Em psicologia, dois riscos se somam. O primeiro é o campo aberto do formulário, que funciona como convite involuntário para a pessoa relatar sofrimento antes de existir qualquer vínculo profissional, criando registro sensível num canal inadequado. A solução é um formulário mínimo com orientação explícita pedindo para não incluir informações clínicas. O segundo risco é de divulgação: as regras do conselho restringem uma série de práticas comuns em marketing, como depoimentos e promessa de resultado, e isso independe da LGPD. Escrevemos sobre esse conjunto de restrições em divulgação em psicologia e as regras do conselho, e o desenho de site correspondente está na página de sites para psicólogos.

Seus fornecedores tratam dados por você, e isso é problema seu

Você não trata dados sozinho. Quem hospeda o seu site, quem fornece o seu e-mail, o sistema de agendamento, a ferramenta de disparo, a plataforma de anúncio e a agência que cuida do seu marketing tocam nesses dados em algum momento. Terceirizar a execução não terceiriza a responsabilidade, e essa é uma das descobertas mais desconfortáveis para quem acha que contratou e esqueceu.

• Saiba quem são. Uma lista simples com hospedagem, e-mail, análise, anúncio, agendamento e sistema de gestão já cobre a maioria dos casos.
• Verifique o que está no contrato. O que cada um pode fazer com os dados e por quanto tempo guarda deveria estar escrito em algum lugar.
• Cuide dos acessos. Todo fornecedor que já teve senha do seu site e não trabalha mais com você deveria ter perdido o acesso no dia da saída.
• Fique atento à transferência internacional. Boa parte das ferramentas armazena dados fora do Brasil, e isso tem tratamento próprio na lei que merece conversa jurídica.
• Exija propriedade das contas. Domínio, hospedagem e contas de anúncio no seu nome, sempre. É uma questão de continuidade e também de controle sobre os dados.

Esse último item é um daqueles pontos onde privacidade e boa prática comercial andam juntas, e vale mencionar porque é comum encontrar o oposto no mercado. Uma agência que mantém o domínio, a hospedagem e as contas no próprio nome não está apenas criando dependência comercial: está sentada sobre dados que são dos clientes do cliente. Falamos desse critério na hora de escolher parceiro na página da nossa agência de marketing digital.

Vazamento e incidente: o que fazer antes de precisar

Incidente de segurança não é só o filme do hacker invadindo servidor. Na pequena empresa, os casos reais são bem mais prosaicos: o celular do atendimento roubado, o e-mail enviado para a pessoa errada com uma lista de clientes em cópia aberta, a planilha compartilhada por link público, o ex-funcionário que continua com acesso à caixa de entrada, o computador da recepção infectado.

A lei prevê que incidentes com risco relevante aos titulares sejam comunicados à ANPD e às pessoas afetadas, em prazo e forma definidos pela regulamentação. Não vamos afirmar prazos exatos aqui, porque esse detalhe é regulamentar e muda: se acontecer com você, essa é uma conversa imediata com advogado. O que importa preparar antes é a capacidade de reagir com alguma ordem.

• Contenha. Corte o acesso, troque senhas, desconecte sessões abertas.
• Registre. Anote o que aconteceu, quando, quais dados e quantas pessoas podem ter sido afetadas.
• Avalie o risco. Dado sensível ou financeiro muda completamente a gravidade da situação.
• Consulte um advogado imediatamente. A decisão sobre comunicar é jurídica, não técnica.
• Comunique com transparência quando for o caso, sem minimizar e sem inventar explicação.
• Corrija a causa. Incidente que se repete transforma um acidente em negligência.

Os erros mais comuns em sites de pequenas empresas

• Formulário pedindo CPF sem motivo. Herança de modelos prontos. Se você não emite nada naquele momento, não há por que pedir.
• Política copiada de outro site. Descreve a operação de terceiros e promete o que você não cumpre. Vira prova contra você.
• Banner de cookies que não recusa nada. Dispara tudo antes do clique e oferece apenas o botão aceitar. Teatro, não conformidade.
• Pixel esquecido de campanha antiga. Continua coletando e compartilhando há meses sem servir a ninguém. Aparece em quase toda auditoria que fazemos.
• E-mail do formulário caindo em caixa compartilhada. Inclusive com acesso de quem já saiu da empresa. Controle de acesso é conformidade.
• Campo aberto convidando a descrever o problema de saúde. Em clínicas e consultórios, é o erro mais sério e o mais fácil de corrigir.
• Depoimento e foto de cliente sem autorização escrita. Especialmente grave em setores com sigilo profissional.
• Página de política sem canal de contato real. Um endereço que ninguém monitora transforma um direito em obstáculo.
• Planilha de clientes compartilhada por link aberto. Prático, silencioso, e um dos vazamentos mais comuns que existem.
• Achar que privacidade é só um documento. A política descreve a prática. Se a prática não existe, o documento não protege.

Vale notar que quase todos esses erros são de construção, não de má intenção, e é exatamente por isso que insistimos que a solução começa no desenho do site. Um site montado para coletar pouco simplesmente não produz a maioria desses problemas. Os fundamentos desse desenho estão no guia sobre o que um site profissional precisa ter.

Checklist do site

Checklist da prática do dia a dia

Árvore de decisão: por onde começar hoje

Perguntas frequentes

Resumo

A LGPD, a Lei nº 13.709/2018, aplica-se também a empresas pequenas, com obrigações proporcionais ao porte, e a ANPD é o órgão que fiscaliza e orienta. Para o dono de uma empresa de dois a quinze pessoas, isso se traduz em um número muito menor de decisões do que o discurso do mercado sugere. Coletar menos. Explicar em linguagem simples. Definir quanto tempo guarda e cumprir. Conseguir responder quando alguém pedir os próprios dados.

No site, os pontos de coleta são o formulário, o botão de WhatsApp, os cookies, as ferramentas de análise e os pixels de anúncio. Nos quatro últimos, a pessoa raramente percebe o que está acontecendo, e por isso a obrigação de transparência é maior justamente onde quase ninguém cuida. Fora do site, o maior acervo de dados pessoais de uma pequena empresa brasileira quase sempre está no WhatsApp, e ele merece o mesmo cuidado que se daria a qualquer sistema de clientes.

Em saúde, contabilidade e psicologia, a lei é a camada de cima. Sigilo profissional e normas de conselho continuam valendo e muitas vezes exigem mais. Quando houver conflito ou dúvida, siga a regra mais restritiva e busque orientação oficial da sua área.