Tratamento feito no Brasil
Se a coleta ou o uso dos dados acontece no território nacional, a lei se aplica.
Guia · Lei brasileira
A Lei Geral de Proteção de Dados vale para qualquer site que trata dados de pessoas no Brasil, inclusive cookies e identificadores usados por anúncios. Este guia mostra o que a lei pede, como a ANPD orienta o uso de cookies, quais são as sanções e o que um editor precisa ter no ar.
O que é
A LGPD é a Lei nº 13.709, de 14 de agosto de 2018. Ela diz quando uma empresa pode coletar, usar, guardar e compartilhar dados pessoais, e quais direitos as pessoas têm sobre esses dados. Vale para empresas, profissionais autônomos e órgãos públicos, no mundo físico e na internet.
Dado pessoal é qualquer informação ligada a uma pessoa identificada ou identificável. Em um site, isso inclui nome e e-mail de um formulário, mas também endereço IP, identificadores de cookies e o histórico de navegação usado para mostrar anúncios. Dado pessoal sensível é uma categoria mais protegida: saúde, religião, origem racial, opinião política, vida sexual, dados genéticos e biométricos.
O titular é a pessoa dona dos dados. O controlador decide para que os dados são usados, e normalmente é o dono do site. O operador trata os dados em nome do controlador, como uma plataforma de e-mail. O encarregado é a pessoa ou empresa que faz a ponte entre o controlador, os titulares e a autoridade.
Quem fiscaliza é a ANPD. Criada como Autoridade Nacional de Proteção de Dados, ela hoje se chama Agência Nacional de Proteção de Dados, com a mesma sigla. É a ANPD que publica regulamentos e guias, recebe reclamações e aplica as sanções da lei.
Checklist
O que a LGPD, a ANPD e o Google pedem de um site com anúncios que recebe visitantes do Brasil.
A lei garante ao titular acesso fácil à finalidade, à forma e à duração do uso dos dados, a quem é o controlador e como contatá-lo, ao compartilhamento e aos direitos do artigo 18. O Google também exige que a política diga que terceiros, como o Google, usam cookies para mostrar anúncios.
Usamos cookies próprios e de terceiros, inclusive do Google, para mostrar anúncios com base nas suas visitas a este e a outros sites.
O guia da ANPD indica o consentimento para cookies não necessários e recomenda deixá-los desativados por padrão. Se você usa tags do Google, o Consent Mode pode começar negado só para o Brasil e mudar quando a pessoa aceitar.
gtag('consent', 'default', {
'ad_storage': 'denied',
'ad_user_data': 'denied',
'ad_personalization': 'denied',
'wait_for_update': 500,
'region': ['BR']
});O guia da ANPD recomenda um botão para rejeitar todos os cookies não necessários, de fácil visualização. Ele desaconselha o banner com um único botão, sem opção de gerenciar.
Aceitar todos | Rejeitar não necessários | Configurar
O guia da ANPD diz que não é recomendável usar banner com opções de autorização já marcadas. Cada finalidade começa desligada até a pessoa escolher.
A lei diz que o consentimento pode ser revogado a qualquer momento, por um procedimento gratuito e facilitado. Deixe um link fixo para a pessoa mudar a escolha.
Link no rodapé de todas as páginas: Preferências de cookies
A identidade e o contato do encarregado devem ser divulgados de forma clara e objetiva, de preferência no site. Agentes de pequeno porte dispensados de indicar encarregado precisam manter um canal com o titular.
Encarregado de dados: Maria Silva. Contato: privacidade@seusite.com.br
A confirmação e o acesso aos dados podem ser dados na hora, em formato simplificado, ou numa declaração completa em até 15 dias do pedido. Tenha um canal para receber esses pedidos.
Dados de crianças pedem o consentimento de pelo menos um dos pais ou do responsável. Dados sensíveis, como saúde e religião, pedem consentimento específico e destacado, e o Google não aceita anúncios personalizados baseados neles.
Na prática
Ferramentas oficiais
O Google não exige CMP certificada nem tem mensagem própria para a LGPD, então escolha uma ferramenta que siga o guia da ANPD, e use uma CMP certificada só se o site também recebe visitantes da Europa.
A quem se aplica
Basta uma delas. Não importa o tamanho do site, nem onde ficam os servidores.
Se a coleta ou o uso dos dados acontece no território nacional, a lei se aplica.
Se o objetivo é oferecer produtos ou serviços a pessoas que estão no Brasil, ou tratar dados delas, a lei se aplica mesmo para empresas estrangeiras.
Se os dados foram coletados no país, a LGPD vale para eles, mesmo que depois sejam processados lá fora.
Blogs e pequenas empresas seguem a lei. A ANPD tem regras mais leves para agentes de pequeno porte, mas não uma dispensa geral.
Bases legais
O artigo 7 traz 10 hipóteses para tratar dados pessoais. Para um site de conteúdo com anúncios, estas são as que aparecem no dia a dia.
Manifestação livre, informada e inequívoca para uma finalidade determinada. É a base indicada pela ANPD para cookies não necessários, como os de publicidade.
Interesse real do site, desde que não passe por cima dos direitos do titular. Pode servir para cookies estritamente necessários e para medição agregada, segundo a ANPD.
Dados necessários para cumprir um contrato com a pessoa, como uma assinatura paga ou uma compra.
Quando uma lei obriga a guardar o dado. O Marco Civil da Internet, por exemplo, exige guardar registros de acesso a aplicações por um período.
Usada em análise de crédito e cadastro positivo. Comum em sites financeiros, rara em sites de conteúdo.
Políticas públicas, pesquisa, exercício de direitos em processos, proteção da vida e tutela da saúde completam a lista do artigo 7.
Cookies
Em outubro de 2022, a ANPD publicou o Guia Orientativo Cookies e Proteção de Dados Pessoais. Ele separa os cookies em necessários e não necessários, próprios e de terceiros, de sessão e persistentes, e por finalidade: analíticos, de funcionalidade e de publicidade.
Para cookies estritamente necessários, como os que mantêm o login ou o carrinho, o guia diz que o consentimento não é a base mais apropriada. O legítimo interesse pode ser usado, desde que os requisitos da lei sejam cumpridos. Para cookies não necessários, como os de publicidade e os que acompanham o comportamento da pessoa, o consentimento é a base mais apropriada.
O guia recomenda um banner com botão para rejeitar todos os cookies não necessários, de fácil visualização, e desaconselha banners com apenas um botão de aceitar. Também não recomenda opções pré-selecionadas e orienta deixar desativados por padrão os cookies que dependem de consentimento.
Por fim, o guia pede uma Política de Cookies ou documento equivalente, que pode ser uma seção do aviso de privacidade ou uma página separada. Para publicidade, o guia afirma que o legítimo interesse dificilmente será a hipótese mais apropriada.
Direitos dos titulares
O artigo 18 lista os direitos do titular. O site precisa de um canal para receber esses pedidos e respondê-los.
Saber se o site trata dados dela e ver quais são.
Corrigir dados incompletos, errados ou desatualizados.
Pedir que dados desnecessários, excessivos ou tratados fora da lei sejam anonimizados, bloqueados ou apagados.
Levar os dados para outro fornecedor de serviço ou produto.
Saber com quais empresas e órgãos os dados foram compartilhados, como redes de anúncios.
Retirar o consentimento a qualquer momento, de forma gratuita e facilitada, e ser informada sobre a possibilidade de não consentir.
O que fazer
Sanções
As sanções do artigo 52 valem desde 1º de agosto de 2021. A ANPD define o valor de cada caso pelo seu regulamento de dosimetria.
Com prazo para o site adotar medidas de correção.
Até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.
Para forçar a correção de uma irregularidade, respeitando o mesmo limite total.
Tornar a infração pública depois de confirmada, o que afeta a reputação do site.
Bloquear ou apagar os dados pessoais ligados à infração.
Suspender o banco de dados ou a atividade de tratamento, e até proibir total ou parcialmente o tratamento de dados.
Linha do tempo
As datas que mais pesam para quem tem site no Brasil.
A Lei nº 13.709 é publicada com um prazo de adaptação antes de entrar em vigor.
As regras de bases legais, direitos e obrigações passam a valer.
A ANPD ganha o poder de aplicar advertências, multas e as demais sanções do artigo 52.
A ANPD publica o Guia Orientativo Cookies e Proteção de Dados Pessoais.
A ANPD aprova as regras para calcular e aplicar as sanções administrativas.
A Resolução CD/ANPD nº 18 detalha a indicação e as atividades do encarregado.
A ANPD é transformada em agência reguladora e passa a se chamar Agência Nacional de Proteção de Dados.
LGPD e GDPR
A LGPD foi inspirada no GDPR, mas há diferenças que mudam a configuração do site.
Vale para dados tratados no Brasil ou de pessoas no Brasil.
Vale para pessoas no EEE, e tem leis parecidas no Reino Unido e na Suíça.
Na prática
Exemplos baseados na LGPD e nas recomendações do guia de cookies da ANPD.
No ConsentMode
A LGPD não cita banners. O guia da ANPD recomenda pedir consentimento para cookies não necessários, como os de publicidade. Se o site usa só cookies necessários, o banner de consentimento não é exigido, mas a transparência na política continua.
Não. A política de consentimento de usuários da UE do Google vale para o EEE, o Reino Unido e a Suíça. Para o Brasil, as políticas do Google pedem uma política de privacidade que explique o uso de cookies e dados pelos anúncios.
O controlador deve indicar um encarregado. A ANPD permite que agentes de pequeno porte deixem de indicar, desde que mantenham um canal de comunicação com o titular. Verifique com o jurídico se o seu negócio se enquadra.
O guia da ANPD diz que, para publicidade, o legítimo interesse dificilmente será a hipótese mais apropriada. Para cookies de publicidade, o consentimento é a base indicada.
Em boa parte, sim, porque os princípios são parecidos. O cuidado é usar regiões: a mensagem europeia do TCF não precisa aparecer no Brasil, e a política de privacidade precisa citar a LGPD e os direitos do artigo 18.
Não. A auditoria mostra o que o site faz, com prints, e indica o que costuma ser corrigido. A decisão jurídica fica com o seu advogado ou encarregado.
Biblioteca
Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:
A auditoria confere banner, cookies, política de privacidade e anúncios, e entrega um plano de correção.