Abrir workspace

Guia · Lei brasileira

LGPD para sites com anúncios, do jeito simples

A Lei Geral de Proteção de Dados vale para qualquer site que trata dados de pessoas no Brasil, inclusive cookies e identificadores usados por anúncios. Este guia mostra o que a lei pede, como a ANPD orienta o uso de cookies, quais são as sanções e o que um editor precisa ter no ar.

  • ✓Baseado no texto da Lei 13.709/2018 e no guia de cookies da ANPD
  • ✓Diferenças práticas entre LGPD e GDPR
  • ✓Leitura do site sem alterar nada
10hipóteses legais para tratar dados pessoais
2%do faturamento no Brasil, teto da multa simples por infração
R$ 50 milimite da multa simples por infração
2020ano em que a LGPD entrou em vigor

O que é

A lei que organiza o uso de dados pessoais no Brasil

A LGPD é a Lei nº 13.709, de 14 de agosto de 2018. Ela diz quando uma empresa pode coletar, usar, guardar e compartilhar dados pessoais, e quais direitos as pessoas têm sobre esses dados. Vale para empresas, profissionais autônomos e órgãos públicos, no mundo físico e na internet.

Dado pessoal é qualquer informação ligada a uma pessoa identificada ou identificável. Em um site, isso inclui nome e e-mail de um formulário, mas também endereço IP, identificadores de cookies e o histórico de navegação usado para mostrar anúncios. Dado pessoal sensível é uma categoria mais protegida: saúde, religião, origem racial, opinião política, vida sexual, dados genéticos e biométricos.

O titular é a pessoa dona dos dados. O controlador decide para que os dados são usados, e normalmente é o dono do site. O operador trata os dados em nome do controlador, como uma plataforma de e-mail. O encarregado é a pessoa ou empresa que faz a ponte entre o controlador, os titulares e a autoridade.

Quem fiscaliza é a ANPD. Criada como Autoridade Nacional de Proteção de Dados, ela hoje se chama Agência Nacional de Proteção de Dados, com a mesma sigla. É a ANPD que publica regulamentos e guias, recebe reclamações e aplica as sanções da lei.

Checklist

O que você precisa cumprir

O que a LGPD, a ANPD e o Google pedem de um site com anúncios que recebe visitantes do Brasil.

  1. Política de privacidade completa

    A lei garante ao titular acesso fácil à finalidade, à forma e à duração do uso dos dados, a quem é o controlador e como contatá-lo, ao compartilhamento e aos direitos do artigo 18. O Google também exige que a política diga que terceiros, como o Google, usam cookies para mostrar anúncios.

    Exemplo

    Usamos cookies próprios e de terceiros, inclusive do Google, para mostrar anúncios com base nas suas visitas a este e a outros sites.

  2. Cookies de publicidade só depois do sim

    O guia da ANPD indica o consentimento para cookies não necessários e recomenda deixá-los desativados por padrão. Se você usa tags do Google, o Consent Mode pode começar negado só para o Brasil e mudar quando a pessoa aceitar.

    gtag('consent', 'default', {
      'ad_storage': 'denied',
      'ad_user_data': 'denied',
      'ad_personalization': 'denied',
      'wait_for_update': 500,
      'region': ['BR']
    });
  3. Botão de rejeitar fácil de ver

    O guia da ANPD recomenda um botão para rejeitar todos os cookies não necessários, de fácil visualização. Ele desaconselha o banner com um único botão, sem opção de gerenciar.

    Exemplo

    Aceitar todos | Rejeitar não necessários | Configurar

  4. Nada pré-selecionado

    O guia da ANPD diz que não é recomendável usar banner com opções de autorização já marcadas. Cada finalidade começa desligada até a pessoa escolher.

  5. Revogar a qualquer momento

    A lei diz que o consentimento pode ser revogado a qualquer momento, por um procedimento gratuito e facilitado. Deixe um link fixo para a pessoa mudar a escolha.

    Exemplo

    Link no rodapé de todas as páginas: Preferências de cookies

  6. Contato do encarregado publicado

    A identidade e o contato do encarregado devem ser divulgados de forma clara e objetiva, de preferência no site. Agentes de pequeno porte dispensados de indicar encarregado precisam manter um canal com o titular.

    Exemplo

    Encarregado de dados: Maria Silva. Contato: privacidade@seusite.com.br

  7. Responder aos pedidos do titular

    A confirmação e o acesso aos dados podem ser dados na hora, em formato simplificado, ou numa declaração completa em até 15 dias do pedido. Tenha um canal para receber esses pedidos.

  8. Cuidado com crianças e dados sensíveis

    Dados de crianças pedem o consentimento de pelo menos um dos pais ou do responsável. Dados sensíveis, como saúde e religião, pedem consentimento específico e destacado, e o Google não aceita anúncios personalizados baseados neles.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem tem mensagem própria para a LGPD, então escolha uma ferramenta que siga o guia da ANPD, e use uma CMP certificada só se o site também recebe visitantes da Europa.

A quem se aplica

Três situações colocam o seu site dentro da LGPD

Basta uma delas. Não importa o tamanho do site, nem onde ficam os servidores.

Tratamento feito no Brasil

Se a coleta ou o uso dos dados acontece no território nacional, a lei se aplica.

Oferta para pessoas no Brasil

Se o objetivo é oferecer produtos ou serviços a pessoas que estão no Brasil, ou tratar dados delas, a lei se aplica mesmo para empresas estrangeiras.

Dados coletados no Brasil

Se os dados foram coletados no país, a LGPD vale para eles, mesmo que depois sejam processados lá fora.

Pequenos sites também

Blogs e pequenas empresas seguem a lei. A ANPD tem regras mais leves para agentes de pequeno porte, mas não uma dispensa geral.

Bases legais

As hipóteses legais que mais importam para um site

O artigo 7 traz 10 hipóteses para tratar dados pessoais. Para um site de conteúdo com anúncios, estas são as que aparecem no dia a dia.

Consentimento

Manifestação livre, informada e inequívoca para uma finalidade determinada. É a base indicada pela ANPD para cookies não necessários, como os de publicidade.

Legítimo interesse

Interesse real do site, desde que não passe por cima dos direitos do titular. Pode servir para cookies estritamente necessários e para medição agregada, segundo a ANPD.

Execução de contrato

Dados necessários para cumprir um contrato com a pessoa, como uma assinatura paga ou uma compra.

Obrigação legal ou regulatória

Quando uma lei obriga a guardar o dado. O Marco Civil da Internet, por exemplo, exige guardar registros de acesso a aplicações por um período.

Proteção do crédito

Usada em análise de crédito e cadastro positivo. Comum em sites financeiros, rara em sites de conteúdo.

Outras hipóteses

Políticas públicas, pesquisa, exercício de direitos em processos, proteção da vida e tutela da saúde completam a lista do artigo 7.

Cookies

O que diz o guia de cookies da ANPD

Em outubro de 2022, a ANPD publicou o Guia Orientativo Cookies e Proteção de Dados Pessoais. Ele separa os cookies em necessários e não necessários, próprios e de terceiros, de sessão e persistentes, e por finalidade: analíticos, de funcionalidade e de publicidade.

Para cookies estritamente necessários, como os que mantêm o login ou o carrinho, o guia diz que o consentimento não é a base mais apropriada. O legítimo interesse pode ser usado, desde que os requisitos da lei sejam cumpridos. Para cookies não necessários, como os de publicidade e os que acompanham o comportamento da pessoa, o consentimento é a base mais apropriada.

O guia recomenda um banner com botão para rejeitar todos os cookies não necessários, de fácil visualização, e desaconselha banners com apenas um botão de aceitar. Também não recomenda opções pré-selecionadas e orienta deixar desativados por padrão os cookies que dependem de consentimento.

Por fim, o guia pede uma Política de Cookies ou documento equivalente, que pode ser uma seção do aviso de privacidade ou uma página separada. Para publicidade, o guia afirma que o legítimo interesse dificilmente será a hipótese mais apropriada.

Direitos dos titulares

O que o visitante pode pedir ao seu site

O artigo 18 lista os direitos do titular. O site precisa de um canal para receber esses pedidos e respondê-los.

Confirmação e acesso

Saber se o site trata dados dela e ver quais são.

Correção

Corrigir dados incompletos, errados ou desatualizados.

Anonimização, bloqueio ou eliminação

Pedir que dados desnecessários, excessivos ou tratados fora da lei sejam anonimizados, bloqueados ou apagados.

Portabilidade

Levar os dados para outro fornecedor de serviço ou produto.

Informação sobre compartilhamento

Saber com quais empresas e órgãos os dados foram compartilhados, como redes de anúncios.

Revogar o consentimento

Retirar o consentimento a qualquer momento, de forma gratuita e facilitada, e ser informada sobre a possibilidade de não consentir.

O que fazer

O que um editor brasileiro precisa ter no ar

  1. Política de privacidade completaExplique quais dados o site coleta, para quê, com qual base legal, com quem compartilha (inclusive Google e redes de anúncios), por quanto tempo guarda e como o titular exerce os seus direitos.
  2. Política de cookiesListe os tipos de cookies, a finalidade de cada um e se são próprios ou de terceiros. Pode ser uma seção da política de privacidade.
  3. Banner quando houver cookies não necessáriosSe o site usa cookies de publicidade ou de rastreamento, mostre um banner com botões de aceitar e rejeitar visíveis e as opções desmarcadas.
  4. Caminho para mudar a escolhaDeixe um link fixo, como Preferências de cookies no rodapé, para o visitante revogar ou ajustar o consentimento a qualquer hora.
  5. Encarregado ou canal de contatoIndique o encarregado e publique o contato dele no site. A Resolução CD/ANPD nº 18, de julho de 2024, detalha esse papel. Agentes de pequeno porte podem ser dispensados de indicar encarregado, mas precisam manter um canal de comunicação com o titular.
  6. Segurança e incidentesProteja os dados com medidas técnicas e comunique à ANPD e aos titulares os incidentes de segurança que possam causar risco ou dano relevante.

Sanções

O que a ANPD pode aplicar

As sanções do artigo 52 valem desde 1º de agosto de 2021. A ANPD define o valor de cada caso pelo seu regulamento de dosimetria.

Advertência

Com prazo para o site adotar medidas de correção.

Multa simples

Até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.

Multa diária

Para forçar a correção de uma irregularidade, respeitando o mesmo limite total.

Publicização

Tornar a infração pública depois de confirmada, o que afeta a reputação do site.

Bloqueio ou eliminação

Bloquear ou apagar os dados pessoais ligados à infração.

Suspensão e proibição

Suspender o banco de dados ou a atividade de tratamento, e até proibir total ou parcialmente o tratamento de dados.

Linha do tempo

Da aprovação da lei à agência reguladora

As datas que mais pesam para quem tem site no Brasil.

  1. 14 de agosto de 2018

    LGPD é sancionada

    A Lei nº 13.709 é publicada com um prazo de adaptação antes de entrar em vigor.

  2. 18 de setembro de 2020

    Lei entra em vigor

    As regras de bases legais, direitos e obrigações passam a valer.

  3. 1º de agosto de 2021

    Sanções passam a valer

    A ANPD ganha o poder de aplicar advertências, multas e as demais sanções do artigo 52.

  4. Outubro de 2022

    Guia de cookies

    A ANPD publica o Guia Orientativo Cookies e Proteção de Dados Pessoais.

  5. Fevereiro de 2023

    Regulamento de dosimetria

    A ANPD aprova as regras para calcular e aplicar as sanções administrativas.

  6. Julho de 2024

    Regras do encarregado

    A Resolução CD/ANPD nº 18 detalha a indicação e as atividades do encarregado.

  7. 2026

    ANPD vira agência

    A ANPD é transformada em agência reguladora e passa a se chamar Agência Nacional de Proteção de Dados.

LGPD e GDPR

Parecidas, mas não iguais

A LGPD foi inspirada no GDPR, mas há diferenças que mudam a configuração do site.

LGPD (Brasil)

Vale para dados tratados no Brasil ou de pessoas no Brasil.

  • 10 hipóteses legais, incluindo proteção do crédito
  • Multa limitada a R$ 50 milhões por infração
  • Guia de cookies da ANPD com recomendações práticas
  • O Google não exige CMP certificada nem Consent Mode para o tráfego do Brasil
  • Regras de cookies estão em guia orientativo, não em lei específica
  • O banner continua necessário quando há cookies não necessários

GDPR (Europa)

Vale para pessoas no EEE, e tem leis parecidas no Reino Unido e na Suíça.

  • 6 bases legais
  • Regra de cookies em lei própria, a Diretiva ePrivacy
  • Diretrizes detalhadas do EDPB sobre consentimento
  • Multas de até 20 milhões de euros ou 4% do faturamento mundial
  • Google exige CMP certificada com TCF para anúncios personalizados
  • Sinais do Consent Mode v2 exigidos para recursos de anúncios

Na prática

O que pode e o que não pode em um site brasileiro

Exemplos baseados na LGPD e nas recomendações do guia de cookies da ANPD.

Pode

  • Carregar cookies necessários, como login e segurança, sem pedir consentimento
  • Mostrar um banner com Aceitar e Rejeitar no mesmo nível para cookies de publicidade
  • Usar a mensagem europeia do TCF só para visitantes da Europa e um banner próprio para o Brasil
  • Publicar a política de privacidade e a de cookies no rodapé de todas as páginas
  • Indicar um e-mail de contato do encarregado ou canal de atendimento ao titular
  • Manter os anúncios normais do Google para o público brasileiro

Não pode

  • Banner com um único botão de Aceitar ou Ok para cookies de publicidade
  • Opções de cookies já marcadas para o visitante
  • Política de privacidade copiada de outro site, sem citar o Google e os parceiros
  • Dizer que o site não coleta dados quando há anúncios e Analytics
  • Exigir aceite total dos cookies para liberar o conteúdo
  • Negar todos os sinais de consentimento para o Brasil sem necessidade

No ConsentMode

O que a auditoria confere sobre LGPD no seu site

  • Abre o site como um visitante do Brasil e mostra em print se há banner, quais botões ele tem e se as opções vêm marcadas.
  • Lista os cookies e as tags de anúncios e de análise que carregam antes e depois da escolha.
  • Confere se a política de privacidade existe, se está no rodapé e se cita Google, cookies, parceiros, direitos e contato do encarregado.
  • Verifica se a configuração europeia está vazando para o Brasil, negando anúncios sem necessidade.
  • Entrega um plano de correção em ordem de prioridade, sem substituir a orientação jurídica.

Perguntas frequentes sobre a LGPD

Todo site brasileiro precisa de banner de cookies?

A LGPD não cita banners. O guia da ANPD recomenda pedir consentimento para cookies não necessários, como os de publicidade. Se o site usa só cookies necessários, o banner de consentimento não é exigido, mas a transparência na política continua.

O Google exige Consent Mode para o tráfego do Brasil?

Não. A política de consentimento de usuários da UE do Google vale para o EEE, o Reino Unido e a Suíça. Para o Brasil, as políticas do Google pedem uma política de privacidade que explique o uso de cookies e dados pelos anúncios.

Preciso nomear um encarregado?

O controlador deve indicar um encarregado. A ANPD permite que agentes de pequeno porte deixem de indicar, desde que mantenham um canal de comunicação com o titular. Verifique com o jurídico se o seu negócio se enquadra.

Posso usar legítimo interesse para anúncios?

O guia da ANPD diz que, para publicidade, o legítimo interesse dificilmente será a hipótese mais apropriada. Para cookies de publicidade, o consentimento é a base indicada.

Uma configuração feita para o GDPR serve para a LGPD?

Em boa parte, sim, porque os princípios são parecidos. O cuidado é usar regiões: a mensagem europeia do TCF não precisa aparecer no Brasil, e a política de privacidade precisa citar a LGPD e os direitos do artigo 18.

O ConsentMode dá parecer jurídico?

Não. A auditoria mostra o que o site faz, com prints, e indica o que costuma ser corrigido. A decisão jurídica fica com o seu advogado ou encarregado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja o seu site como um visitante brasileiro vê

A auditoria confere banner, cookies, política de privacidade e anúncios, e entrega um plano de correção.

Começar a auditoria