Negócio pequeno precisa de política de privacidade no site?

Precisa, se o site coleta qualquer dado de quem visita. Formulário de contato, pixel da Meta, Google Analytics, formulário de lead de anúncio e lista de clientes enviada para anunciar: em todos esses casos a política de privacidade deixa de ser enfeite de rodapé. A Lei Geral de Proteção de Dados, a LGPD (Lei 13.709/2018), vale para microempresa também, e o Google e a Meta exigem a política nos próprios termos para liberar essas ferramentas. Um site só com texto, telefone e endereço, sem formulário e sem nenhuma tag, tem uma situação bem mais simples. Abaixo explico o que a lei e as plataformas pedem, o que a política precisa dizer e por que copiar a de outra empresa é arriscado. Não é parecer jurídico: no fim digo quando chamar um advogado.

A LGPD vale para negócio pequeno?

Vale. A lei não isenta empresa por tamanho. O que existe é um tratamento simplificado: a Resolução CD/ANPD nº 2/2022, da Autoridade Nacional de Proteção de Dados (ANPD), criou regras mais leves para os chamados agentes de tratamento de pequeno porte, que incluem microempresas, empresas de pequeno porte e startups.

A facilidade mais conhecida está no artigo 11 da resolução: o pequeno negócio não é obrigado a indicar um encarregado de dados (o DPO). Em troca, quem não indicar precisa oferecer um canal de comunicação com o titular dos dados. Na prática, um e-mail ou WhatsApp informado na política, por onde a pessoa pode pedir o que a lei garante a ela.

A simplificação tem limite. O artigo 3º da mesma resolução tira dela quem faz tratamento de alto risco para os titulares, e isso pesa para clínica e consultório, como explico mais abaixo.

O que a LGPD diz que o visitante tem direito de saber

A LGPD não usa a expressão "política de privacidade". Ela diz, no artigo 9º, que o titular tem direito ao acesso facilitado às informações sobre o tratamento dos dados dele, de forma clara e ostensiva. A lista do artigo é esta:

1. a finalidade específica do tratamento;
2. a forma e a duração do tratamento;
3. a identificação de quem controla os dados;
4. o contato de quem controla os dados;
5. o uso compartilhado dos dados e a finalidade;
6. as responsabilidades de quem trata os dados;
7. os direitos do titular, com menção aos do artigo 18 (confirmar que os dados existem, acessar, corrigir, pedir eliminação, revogar o consentimento, entre outros).

O artigo 6º, inciso VI, ainda põe a transparência entre os princípios da lei: informação clara, precisa e facilmente acessível. A política de privacidade é o lugar onde tudo isso fica disponível de uma vez, num endereço fixo do site. É por isso que ela virou o formato padrão.

Quando o Google e a Meta exigem política de privacidade

Mesmo sem pensar na lei, o dono de negócio esbarra na política na hora de ligar as ferramentas de anúncio. As próprias plataformas pedem:

Repare no que se repete: as plataformas não pedem apenas que a política exista. Pedem que ela fale das ferramentas que estão no site. Uma política genérica, que não cita cookie, pixel nem compartilhamento, não cumpre o que esses termos descrevem.

O que a política de privacidade de um negócio local precisa dizer

Para uma clínica, uma loja, um escritório ou um salão que recebe contato pelo site, a política costuma caber em uma página. Ela precisa responder, em linguagem simples:

• Quem é a empresa. Nome, CNPJ quando houver, endereço.
• Como falar sobre os dados. Um e-mail ou WhatsApp para pedidos sobre dados pessoais. Para o pequeno negócio sem encarregado, este é o canal de comunicação que a resolução da ANPD exige.
• Quais dados você coleta e por onde. Nome e telefone do formulário, o que a pessoa escreve no WhatsApp, dados de navegação coletados por pixel e Analytics.
• Para que você usa. Responder o contato, agendar, mandar orçamento, medir e direcionar anúncios. Uma finalidade por linha, sem "entre outras".
• Com quem compartilha. Meta, Google, o sistema de agendamento, o CRM, quem hospeda o site. Se sobe lista de clientes para anunciar, diga aqui.
• Por quanto tempo guarda. Um critério real, que você consiga cumprir.
• Quais são os direitos da pessoa e como ela pede cada um.
• Cookies e pixels. Quais o site usa e como a pessoa recusa.
• Data da última atualização.

Se quiser ver um exemplo com essa estrutura, a política de privacidade deste site segue esses tópicos, do responsável pelos dados aos cookies e pixels.

Por que copiar a política de privacidade de outra empresa é arriscado

Copiar parece o caminho rápido, e quase sempre gera um texto que não descreve o seu negócio. Os problemas que mais aparecem:

• Ferramentas erradas. A política copiada cita sistemas que você não usa e omite os que você usa. Se o seu site tem pixel da Meta e o texto não fala dele, falta o aviso que o termo da Meta pede.
• Promessa falsa. Muita política genérica diz que "nenhum dado é compartilhado com terceiros". Num site com pixel ou Analytics, isso não é verdade, e a política passa a afirmar o contrário do que o site faz.
• Prazo e processo que ninguém segue. O texto promete responder pedidos em certo prazo, ou eliminar dados em certo período, e a empresa nem sabe disso.
• Nome e contato de outra empresa. Acontece mais do que parece, e é o tipo de erro que o cliente percebe.

Gerador de política e modelo pronto servem como ponto de partida. A regra é conferir cada frase com o que o seu site e o seu atendimento fazem de verdade, e reescrever o que não bater.

Onde colocar a política de privacidade no site

A política precisa estar onde a pessoa procura e onde as plataformas conferem:

• No rodapé de todas as páginas, com link para um endereço próprio do site, como /politica-de-privacidade/.
• Perto do formulário, com uma frase curta dizendo para que o contato vai ser usado e o link para a política.
• No formulário de lead da Meta e do Google Ads, no campo que cada plataforma oferece para o link.
• No aviso de cookies, quando o site usa pixel ou Analytics. Os termos da Meta pedem que a pessoa saiba como recusar a coleta para anúncios, e o aviso é o caminho mais direto para isso.

Se você está montando ou revisando a página que vai receber o anúncio, a política entra na mesma revisão do formulário e do botão de WhatsApp. Juntei os outros pontos em sua página está pronta para receber anúncio?.

Clínica e consultório: dado de saúde muda a conta

Em saúde, a política simples não basta. A LGPD trata o dado referente à saúde como dado pessoal sensível (artigo 5º, inciso II), com regras próprias no artigo 11. Na resolução da ANPD, dado sensível é um dos critérios usados para classificar um tratamento como de alto risco, e quem faz tratamento de alto risco perde parte das facilidades do pequeno porte.

O formulário de uma clínica que pergunta "qual o seu problema de pele?" já está coletando dado de saúde. Nesse caso, a política e o próprio formulário devem ser feitos com orientação jurídica. As restrições de anúncio para saúde estão em posso usar a lista de clientes para anunciar?.

Quando chamar um advogado

Eu cuido de site, anúncio e medição, e não dou parecer jurídico. Procure um advogado quando:

• o negócio coleta dado de saúde, de criança ou outro dado sensível;
• você sobe lista de clientes para anunciar e não sabe qual base legal da LGPD usar;
• o site coleta mais do que contato, como documento, endereço completo ou pagamento;
• você recebeu pedido ou reclamação de alguém sobre os dados dele.

Fora desses casos, uma política escrita a partir da lista acima, conferida com o que o site faz e revisada quando você liga uma ferramenta nova, resolve o essencial.

O próximo passo

Abra o seu site e responda três perguntas: ele tem formulário, pixel ou Analytics? A política existe e está no rodapé? Ela cita as ferramentas que estão instaladas? Se alguma resposta for não, resolva antes de ligar a próxima campanha.

Se a página que recebe os seus anúncios precisa ser refeita, isso é parte do serviço de landing pages. Se quiser conversar sobre o seu caso, me chame pelo contato.