Se você tem um formulário de contato no seu site — e praticamente todo LGPD site profissional deveria ter —, você já está coletando dados pessoais. Nome, e-mail, telefone: tudo isso é dado pessoal segundo a Lei Geral de Proteção de Dados. E a maioria dos sites que eu analiso no briefing chega até mim sem nenhuma camada mínima de adequação. Não porque o dono do negócio seja descuidado, mas porque ninguém nunca explicou de forma prática o que precisa estar lá.
Este post não é consultoria jurídica. Sou desenvolvedor, não advogado. Mas depois de mais de 170 sites entregues, já vi padrões claros do que separa um site adequado de um que acumula risco sem saber. Vou te mostrar o que eu implemento por padrão e por quê.
Por que a LGPD importa para o seu site, mesmo sendo um negócio pequeno
A LGPD (Lei nº 13.709/2018) se aplica a qualquer operação de tratamento de dados pessoais realizada no Brasil — sem distinção de porte. Isso significa que um consultório solo, uma loja local ou um profissional liberal que captura leads pelo site está sujeito às mesmas obrigações gerais que uma grande empresa.
A diferença na prática é a escala da multa e da fiscalização, mas o risco reputacional de um vazamento ou de uma reclamação formal à ANPD é igual para todos. Mais do que isso: um site sem política de privacidade e sem checkbox de consentimento transmite desconfiança para o visitante — e desconfiança mata conversão antes de qualquer ação regulatória.
LGPD site profissional: os três elementos que todo formulário precisa ter
Quando estruturo um site com formulário de captação de leads, três elementos são inegociáveis do ponto de vista de adequação mínima à LGPD.
1. Checkbox de consentimento explícito
Consentimento explícito é a base legal mais usada para tratamento de dados em sites de negócios — e ele precisa ser ativo, não presumido. Isso significa que o campo não pode vir pré-marcado. O usuário precisa marcar a caixa por conta própria, lendo o que está aceitando.
O texto junto ao checkbox precisa ser direto: algo como “Concordo com o armazenamento dos meus dados para contato conforme a Política de Privacidade.” Com link para a política. Simples assim. Não precisa de juridiquês. Precisa de clareza.
Do ponto de vista técnico, isso é um campo obrigatório no formulário — se não marcado, o envio não é concluído. No Elementor com o módulo de formulários nativo, isso é configurado em menos de dois minutos. Não há desculpa para não ter.
2. Política de privacidade real e acessível
Política de privacidade é o documento que explica ao visitante quais dados você coleta, para que os usa, por quanto tempo os armazena e como ele pode solicitar a exclusão. A maioria dos sites que vejo ou não tem esse documento, ou tem um texto genérico copiado da internet que não reflete a realidade daquele negócio.
Uma política funcional precisa responder no mínimo:
- Quais dados são coletados (nome, e-mail, telefone, cookies de analytics…)
- Para qual finalidade (contato comercial, envio de orçamento, newsletter…)
- Por quanto tempo esses dados ficam armazenados
- Com quem são compartilhados (se você usa CRM, ferramenta de e-mail marketing, pixel do Meta…)
- Como o titular pode solicitar acesso, correção ou exclusão dos seus dados
Esse documento precisa ter uma URL própria (ex: /politica-de-privacidade) e estar linkado no rodapé do site e no texto do checkbox. Não basta existir — precisa ser encontrado.
3. Controle de cookies com banner funcional
Se o seu site usa Google Analytics, Meta Pixel, Microsoft Clarity ou qualquer outra ferramenta de rastreamento, você está coletando dados via cookies antes de qualquer formulário ser preenchido. Isso também entra no escopo da LGPD.
O banner de cookies não precisa ser um popup invasivo que arruína a experiência. Precisa ser um aviso claro, com a opção de aceitar ou recusar cookies não essenciais, e que só dispare os scripts de rastreamento após o aceite. Plugins como o Complianz ou o Cookie Yes fazem isso de forma integrada ao WordPress e não impactam o PageSpeed de forma relevante quando configurados corretamente.
Armazenamento de dados de leads: onde ficam e por quanto tempo
Todo formulário submetido armazena dados em algum lugar. O problema é que a maioria dos sites armazena leads de forma indefinida em locais que o dono do negócio sequer sabe acessar — geralmente na tabela de entradas do banco de dados do WordPress, ou direto no painel do plugin de formulários.
Algumas boas práticas que aplico nos projetos de LGPD site profissional:
- Definir prazo de retenção: leads que não avançaram para nenhuma negociação em 12 meses podem ser deletados. Documente isso na sua política.
- Centralizar em CRM ou planilha controlada: saber exatamente onde cada lead está armazenado facilita atender a pedidos de exclusão.
- Não reter dados no banco do WordPress por tempo indeterminado: configure o plugin de formulários para encaminhar os dados por e-mail ou para um CRM e, opcionalmente, deletar do banco após X dias.
Não é necessário um sistema complexo. É necessário que você saiba responder: “onde estão os dados de quem preencheu meu formulário nos últimos 6 meses?” Se não souber, esse é o primeiro problema a resolver.
O que acontece com sites que ignoram isso
O risco mais imediato não é a multa da ANPD — que existe, mas a fiscalização ativa sobre pequenas operações ainda é limitada. O risco real e imediato é outro: perda de conversão.
Visitantes mais exigentes — e cada vez mais há um número maior deles — abandonam formulários sem checkbox de consentimento. Anunciantes que rodam tráfego pago para o site podem ter campanhas interrompidas por não-conformidade com as políticas da Meta ou do Google, que exigem página de privacidade válida. E um lead que percebe que seus dados sumiram em algum lugar sem controle dificilmente volta a fazer negócio.
Adequação à LGPD, nesse sentido, não é só compliance — é parte da estrutura de confiança de um LGPD site profissional que converte. Falo sobre isso com mais detalhe quando abordo SEO técnico que configuro por padrão em todo site, porque privacidade e rastreamento andam juntos na configuração correta de analytics.
Como eu trato isso nos projetos que entrego
Por padrão, em todo site que desenvolvo com formulário de captação, eu já incluo no escopo: configuração do checkbox de consentimento, criação da página de política de privacidade com estrutura básica adaptada ao negócio do cliente, e instalação e configuração de plugin de gestão de cookies integrado às ferramentas de analytics do projeto.
Não entrego site com formulário ativo sem essas três camadas. Não porque seja exigência do cliente — muitos nem sabem que precisam disso quando me contratam — mas porque faz parte de construir algo que funciona sem criar problema futuro. Se você quer entender melhor o que entra em cada etapa do processo, explico detalhadamente como funciona meu processo de criação de site em 7 dias.
Vale lembrar também que adequação à LGPD é uma das camadas que diferenciam um site genérico de um projeto com estrutura real de negócio por trás. Isso está diretamente ligado ao que discuto em criação de sites profissionais: o guia completo — onde explico o que considerar antes de contratar qualquer desenvolvedor.
O mínimo que você precisa revisar agora no seu site
Se você já tem um site no ar, faça essa auditoria rápida:
- Seus formulários têm checkbox de consentimento desmarcado por padrão, com link para política de privacidade?
- Você tem uma página de política de privacidade com URL própria, linkada no rodapé?
- Seu site tem banner de cookies que bloqueia scripts de rastreamento até o aceite?
- Você sabe onde os dados dos seus leads estão armazenados e por quanto tempo?
Se a resposta for “não” para dois ou mais itens, o site precisa de ajuste. Não é um projeto complexo — é configuração e estrutura, que é exatamente o que faço. A adequação à LGPD site profissional não exige refazer tudo do zero. Exige saber o que configurar e onde.
Quer um site que já sai adequado desde o primeiro dia?
Se você está planejando criar ou reformular seu site, posso garantir que ele saia com toda a estrutura mínima de LGPD configurada — sem que você precise se preocupar com isso depois. Me chama no WhatsApp e conversamos sobre o seu projeto.
→ Falar com Leonardo no WhatsApp
Perguntas frequentes sobre LGPD em sites profissionais
A LGPD se aplica a pequenos negócios e profissionais autônomos com site?
Sim. A LGPD (Lei nº 13.709/2018) se aplica a qualquer operação de tratamento de dados pessoais realizada no Brasil, independentemente do porte do negócio. Um profissional autônomo ou pequena empresa que coleta nome, e-mail ou telefone por formulário no site já está sujeito à lei.
Quais são os elementos mínimos de LGPD que um site profissional precisa ter?
Todo site com formulário de captação precisa de três elementos básicos: (1) checkbox de consentimento explícito e desmarcado por padrão em todos os formulários; (2) página de política de privacidade com URL própria, linkada no rodapé; e (3) banner de cookies que bloqueie scripts de rastreamento (Analytics, Meta Pixel etc.) até o visitante aceitar.
O que precisa constar na política de privacidade do meu site?
A política de privacidade precisa informar quais dados são coletados, para qual finalidade, por quanto tempo ficam armazenados, com quem são compartilhados (CRMs, ferramentas de e-mail marketing, pixels de anúncio) e como o visitante pode solicitar acesso, correção ou exclusão dos seus dados.
Por quanto tempo posso guardar os dados de leads captados pelo meu site?
Não existe um prazo único definido pela LGPD para todos os casos, mas a boa prática é definir e documentar um período de retenção na sua política de privacidade — por exemplo, excluir leads sem negociação ativa após 12 meses. O importante é que você saiba onde os dados estão armazenados e consiga atender a pedidos de exclusão.