Aviso de privacidade, consentimento e cookies conforme a LGPD
Transparência é o lado visível da adequação. Um aviso copiado da internet e um banner que só aceita cookies enfraquecem a conformidade em vez de reforçá-la.
A LGPD exige que as pessoas saibam o que acontece com os seus dados. Isso aparece na prática em dois lugares muito visíveis: o aviso de privacidade, que explica os tratamentos, e a coleta de consentimento, incluindo o banner de cookies do site. São as partes da adequação que qualquer visitante ou cliente encontra, o que as torna também as mais expostas a críticas.
O problema é que muita empresa resolve esses dois pontos copiando textos e banners de terceiros. O resultado é um aviso que descreve outra empresa e um banner que não coleta um consentimento válido. Este guia mostra como fazer os dois de forma honesta e alinhada à lei.
O que um aviso de privacidade precisa dizer
O aviso de privacidade, às vezes chamado de política de privacidade, é o texto que conta ao titular, em linguagem clara, o que a empresa faz com os seus dados. Ele deve informar quais dados são coletados, com qual finalidade, com qual base legal, com quem os dados são compartilhados, por quanto tempo são mantidos e como a pessoa exerce os seus direitos, incluindo o contato do encarregado.
A qualidade de um aviso está em descrever a empresa real. Um texto genérico que fala de tratamentos que a empresa não faz, e que omite os que ela faz, é pior que inútil: numa fiscalização, ele evidencia a distância entre o que está escrito e o que acontece. O aviso deve sair do mapeamento e das bases legais definidas, não de um modelo pronto.
Quando o consentimento é válido
Quando o tratamento se apoia em consentimento, a LGPD exige que ele seja livre, informado e específico. Livre significa sem coação e sem condicionar um serviço a um consentimento que não é necessário para prestá-lo. Informado significa que a pessoa entende ao que concorda. Específico significa consentir para finalidades determinadas, não para um uso vago e amplo dos dados.
A empresa também precisa conseguir demonstrar o consentimento: registrar quando e como a pessoa concordou. Um aceite sem registro não sustenta a base no dia em que for questionado. E, por ser revogável a qualquer momento, o consentimento não deve ser a base de tratamentos que a empresa precisa manter de qualquer forma, para os quais outras bases legais são mais adequadas.
Cookies e rastreamento
Cookies e tecnologias parecidas coletam dados de navegação, e boa parte deles são dados pessoais. Cookies estritamente necessários para o site funcionar seguem uma lógica; cookies de análise, publicidade e rastreamento pedem tratamento diferente, muitas vezes apoiado em consentimento. Um banner que só oferece o botão de aceitar não coleta um consentimento livre.
Um banner de cookies alinhado à lei permite que a pessoa aceite, recuse e escolha por categoria, com a mesma facilidade para aceitar e para recusar. Ele também deve informar quais cookies o site usa e para quê, normalmente numa política de cookies ligada ao aviso de privacidade. O padrão de forçar o aceite, comum na prática, é justamente o que a lógica de consentimento livre não sustenta.
Transparência com dados de crianças e adolescentes
Se a empresa trata dados de crianças e adolescentes, a transparência precisa de cuidado extra. A LGPD trata o tema com atenção especial, colocando o melhor interesse da criança no centro e exigindo, para crianças, o consentimento específico e destacado de ao menos um dos pais ou do responsável legal, em muitos casos. As informações devem ser apresentadas de forma simples e adequada ao entendimento.
Mesmo empresas que não têm o público infantil como foco às vezes coletam esses dados sem perceber, por exemplo em um cadastro que não valida a idade. Reconhecer se há dados de menores no tratamento é parte do mapeamento e muda o que o aviso e o consentimento precisam contemplar.
Como estruturar o aviso para ser lido
Um aviso de privacidade só cumpre a função de transparência se as pessoas conseguirem entendê-lo. Texto longo e cheio de juridiquês afasta o leitor e esconde a informação que importa. Ajuda organizar o aviso em seções claras e, quando o conteúdo é extenso, oferecer um resumo direto no topo, com a versão completa logo abaixo para quem quer o detalhe.
- Quais dados a empresa coleta e de onde
- Para quais finalidades cada dado é usado
- Com qual base legal cada tratamento se apoia
- Com quem os dados são compartilhados
- Por quanto tempo os dados são mantidos
- Como a pessoa exerce seus direitos e fala com o encarregado
Versão e data de atualização
Um aviso muda quando a operação muda, e é preciso saber qual texto valia em cada momento. Registrar a data da última atualização e manter um controle de versão evita a confusão de não saber o que a empresa informava quando um dado foi coletado. Mudanças relevantes devem ser comunicadas aos titulares, não escondidas em uma revisão silenciosa.
Registrar e gerir o consentimento
Quando o consentimento é a base, a empresa precisa conseguir demonstrá-lo depois. Um aceite sem registro não sustenta a base no dia em que for questionado. Por isso vale guardar, para cada consentimento, o que a pessoa viu e ao que concordou, com data e canal.
titular: identificador interno
data_hora: quando o consentimento foi dado
finalidade: para que o dado será usado
texto_exibido: qual versão do aviso a pessoa viu
canal: onde o consentimento foi coletado
escopo: quais dados a pessoa autorizou
status: ativo ou revogadoO consentimento é revogável, e a revogação precisa ser tão fácil quanto o aceite foi. Ao receber uma revogação, a empresa para o tratamento que se apoiava naquele consentimento e registra a mudança. Guardar o histórico de concessão e de revogação é o que permite provar a base ao longo do tempo.
Checklist prático
- Escrever o aviso de privacidade a partir do mapeamento real
- Informar dados, finalidade, base legal, compartilhamento e retenção
- Incluir o contato do encarregado e como exercer direitos
- Coletar consentimento livre, informado e específico quando for a base
- Registrar quando e como o consentimento foi dado
- Oferecer um banner de cookies que permita recusar tão fácil quanto aceitar
- Publicar uma política de cookies ligada ao aviso
- Dar tratamento especial a dados de crianças e adolescentes
- Organizar o aviso em seções claras, com resumo e versão completa
- Registrar a data da última atualização e o controle de versão do aviso
- Guardar o registro de cada consentimento com data, texto e canal
- Permitir revogar o consentimento com a mesma facilidade do aceite
Boas práticas
- Descreva a empresa real, não um modelo genérico
- Reserve o consentimento para o que é de fato opcional
- Registre o consentimento para conseguir demonstrá-lo
- Equilibre aceitar e recusar cookies com a mesma facilidade
- Verifique se há dados de menores antes de definir o aviso
- Escreva o aviso em camadas: um resumo direto e o texto completo em seguida
- Guarde a versão do aviso e do texto de consentimento que a pessoa viu
Erros comuns
Copiar o aviso de privacidade de outra empresa
O texto descreve tratamentos inexistentes e omite os reais.
Banner de cookies que só permite aceitar
O consentimento não é livre e não se sustenta se questionado.
Coletar consentimento sem registrar
A empresa não consegue demonstrar a base quando for cobrada.
Ignorar dados de crianças coletados sem querer
O tratamento de menores fica sem o cuidado que a lei exige.
Publicar o aviso sem data nem controle de versão
Ninguém sabe qual texto valia quando um dado foi coletado.
Dificultar a revogação de um consentimento que foi fácil de dar
O consentimento perde a característica de ser livre e revogável.
Quando procurar apoio especializado
O texto do aviso e a estratégia de consentimento são trabalho jurídico, mas dependem de saber exatamente quais dados o site e os sistemas coletam, inclusive via cookies e scripts de terceiros. A GUARDIASEC ajuda a levantar essa coleta técnica, revelando o que realmente é capturado, para que o aviso reflita a operação e o banner cubra os cookies certos.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Qual a diferença entre aviso e política de privacidade?
Na prática, os termos costumam se referir ao mesmo documento: o texto que explica ao titular como a empresa trata os seus dados. Alguns usam aviso de privacidade para a versão voltada ao público e política de privacidade para o documento mais completo. O que importa não é o nome, e sim que o texto informe dados, finalidades, bases legais, compartilhamento, retenção e como exercer direitos.
Preciso de banner de cookies no meu site?
Se o site usa cookies que coletam dados pessoais além dos estritamente necessários para funcionar, como cookies de análise, publicidade e rastreamento, você precisa informar e, em geral, obter consentimento. O banner deve permitir recusar com a mesma facilidade com que se aceita. Cookies puramente essenciais para o funcionamento seguem uma lógica diferente, mas ainda devem ser informados.
Um banner que só tem o botão aceitar é válido?
Para os cookies que dependem de consentimento, não. O consentimento precisa ser livre, e forçar o aceite como única saída retira essa liberdade. O banner deve oferecer aceitar, recusar e configurar por categoria de forma equilibrada. Esse é um dos pontos mais visíveis e mais criticados da adequação, porque fica exposto a qualquer visitante.
Posso mudar o aviso de privacidade quando quiser?
Você pode e deve atualizar o aviso sempre que a operação mudar, como ao adotar um novo tratamento ou fornecedor. O cuidado é comunicar mudanças relevantes aos titulares e não usar a atualização para ampliar usos sem base. Um aviso desatualizado, que não reflete mais o que a empresa faz, é tão problemático quanto não ter aviso nenhum.
O que preciso guardar para provar um consentimento?
Vale registrar quando a pessoa concordou, para qual finalidade, qual versão do aviso ou do texto ela viu, em qual canal e a que dados o consentimento se refere. Esse conjunto permite demonstrar que o consentimento foi livre, informado e específico. Um aceite sem esse registro é frágil, porque a empresa não consegue reconstruir ao que a pessoa concordou.
Como faço a revogação do consentimento na prática?
Oferecendo um caminho tão simples quanto o do aceite, sem obrigar a pessoa a longas etapas. Ao receber a revogação, a empresa interrompe o tratamento que se apoiava naquele consentimento e registra a data. Dados que a empresa mantém por outra base legal, como uma obrigação legal de guarda, seguem existindo, e vale explicar isso ao titular.
Preciso versionar o aviso de privacidade?
É muito recomendável. Como o aviso muda quando a operação muda, manter a data da última atualização e um histórico de versões permite saber qual texto valia em cada momento. Isso importa se um titular ou a ANPD perguntarem o que a empresa informava quando determinado dado foi coletado.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.