Checklist LGPD para Sites e E-commerces Brasileiros: Evite Notificações e Riscos

Os 4 pontos que clientes, concorrentes e órgãos verificam primeiro

1) Certificado SSL/HTTPS ativo sem conteúdo misto; 2) Página pública de Política de Privacidade identificando o controlador e canal do encarregado (DPO); 3) Aviso transparente de cookies/pixels de anúncios; 4) Cabeçalhos HTTP de proteção contra clickjacking e vazamento de dados (`Strict-Transport-Security`, `X-Content-Type-Options`).

O que a Resolução CD/ANPD nº 2/2022 realmente dispensa (e o que ela jamais perdoa) nas PMEs

Existe uma meia-verdade perigosa circulando entre agências digitais brasileiras: a ideia de que microempresas, empresas de pequeno porte e startups estariam 'isentas da LGPD'. O regulamento oficial da Autoridade Nacional de Proteção de Dados para Agentes de Pequeno Porte (Resolução CD/ANPD ↗ nº 2/2022) concede flexibilizações administrativas pontuais — especificamente a dispensa de indicar formalmente um Encarregado pelo Tratamento de Dados Pessoais (DPO pago mensalmente) e prazos em dobro no atendimento de solicitações e comunicações de incidentes — desde que o negócio não realize tratamento de alto risco em larga escala ou de dados sensíveis críticos sem salvaguardas.

Entretanto, o artigo 11 dessa mesma Resolução crava obrigações inegociáveis: todo site comercial, mesmo de um consultório individual ou pequena loja online, DEVE disponibilizar um canal eletrônico direto e visível para atender direitos dos titulares (confirmação, correção e exclusão do Art. 18 da Lei 13.709/2018), publicar Política de Privacidade transparente informando finalidades e compartilhamentos reais com terceiros, e adotar medidas técnicas mínimas de segurança e criptografia em trânsito.

Dosimetria de sanções da ANPD (Resolução nº 4/2023), Procons e notificações extrajudiciais

Com a entrada em vigor plena do Regulamento de Dosimetria e Aplicação de Sanções Administrativas (Resolução CD/ANPD nº 4/2023), a fiscalização deixou o campo teórico e passou a classificar infrações em leves, médias e graves com cálculo matemático de penalidades que vão desde advertência com prazo de medidas corretivas até multa simples de até 2% do faturamento da pessoa jurídica no Brasil (limitada a R$ 50 milhões por infração), publicização da infração — que destrói a reputação corporativa no Google — e bloqueio ou eliminação dos bancos de dados irregulares (Art. 52 da LGPD).

Na rotina real das pequenas e médias empresas, porém, a dor de cabeça costuma chegar ainda antes da ANPD por três frentes cotidianas: notificações de órgãos de defesa do consumidor (Procons estaduais e Senacon), auditorias de compliance de grandes empresas privadas que barram fornecedores B2B cujos sites vazam dados sem HTTPS/política adequada, e disputas comerciais ou trabalhistas em que a ausência de registro de consentimento ou base legal válida invalida o uso de bases de leads.

Cookies não essenciais e Google Consent Mode v2: como proteger o tráfego pago sem infringir a lei

Colocar uma barrinha decorativa no rodapé dizendo 'Ao navegar neste site você concorda com nossos cookies' com apenas um botão 'Entendi' viola frontalmente o Guia Orientativo de Cookies e Proteção de Dados Pessoais da ANPD! Para cookies estritamente necessários ao funcionamento técnico (como manter o carrinho de compras aberto ou autenticar login de sessão), aplica-se legítimo interesse/execução técnica dispensando consentimento prévio, embora exija transparência na política.

Já para cookies não essenciais de publicidade comportamental, retargeting entre sites e perfilamento de audiência (Google Ads, Meta Pixel, TikTok Pixel, Hotjar/Clarity), o artigo 7º, I e o artigo 8º da LGPD exigem manifestação livre, informada e inequívoca — o que obriga o banner a oferecer botões reais de Aceitar, Rejeitar não essenciais e Configurar preferências, mantendo scripts de marketing bloqueados até o clique afirmativo! Para não perder a otimização das suas campanhas pagas, a solução técnica moderna é implementar o Google Consent Mode v2 (`ad_storage`, `ad_user_data`, `ad_personalization` e `analytics_storage`), que respeita a escolha do usuário enquanto preserva modelagem agregada anônima de conversões.

Os 5 cabeçalhos HTTP de cibersegurança que blindam formulários de clientes (Art. 46 da LGPD)

Ter o cadeado SSL/TLS verde no navegador é apenas o degrau zero do artigo 46 da LGPD (dever de adotar medidas técnicas aptas a proteger os dados pessoais de acessos não autorizados e interceptações). Quando nosso scanner audita servidores brasileiros em Apache, Nginx, LiteSpeed ou Cloudflare, mais de 75% reprovam nos cinco cabeçalhos de resposta HTTP recomendados pelo OWASP que levam cinco minutos para ativar no `.htaccess` ou painel de borda. O primeiro é `Strict-Transport-Security` (HSTS), que impede ataques de downgrade forçando o navegador a falar exclusivamente via HTTPS criptografado. O segundo, `X-Frame-Options: SAMEORIGIN` (ou diretiva `frame-ancestors`), barra golpes de clickjacking em que fraudadores embutem seu formulário dentro de um iframe invisível.

O terceiro, `X-Content-Type-Options: nosniff`, bloqueia execução maliciosa por adivinhação de tipo MIME. O quarto, `Referrer-Policy: strict-origin-when-cross-origin`, evita que parâmetros sensíveis na URL vazem para domínios externos ao clicar em um link. E o quinto, `Content-Security-Policy` (CSP), restringe quais origens externas podem rodar scripts na sua página, neutralizando roubo de dados digitados em formulários via XSS (Cross-Site Scripting).