Política de privacidade: o que precisa ter, pela LGPD

27 de julho de 2026LGPD de Todos12 min de leitura

A política de privacidade precisa ter sete informações, no mínimo, e a palavra "mínimo" é da própria lei. O Art. 9º lista finalidade, forma e duração, quem é o controlador, contato, com quem você compartilha, responsabilidades e direitos do titular. E abre dizendo "entre outras características", o que transforma a lista em um piso, não em um teto.

Uma nota de vocabulário antes de começar, porque ela evita confusão no meio do caminho. O documento que a maioria das pessoas chama de política de privacidade é o mesmo que a LGPD trata como aviso ao titular, e é o que este texto chama de Aviso de Privacidade daqui em diante. Nomes diferentes, documento único. Política de privacidade só significa outra coisa quando vem com sobrenome, como "política de privacidade por área", que aí é documento interno de governança e não fala com o titular.

A parte que muda o resultado, porém, não é a lista. É que dois desses itens não podem ser preenchidos por modelo nenhum, porque dependem de você saber o que a sua empresa faz com os dados. São justamente os dois que um cliente confere primeiro quando manda aquele questionário de fornecedor. Se o que você tem na mão é um documento baixado ou gerado, a régua de oito perguntas do texto sobre modelo de política de privacidade confere isso sem exigir conhecimento jurídico.

1. A lei pede informação, e não um documento

O Art. 9º não manda ter um arquivo, manda garantir que a pessoa consiga saber o que acontece com os dados dela. A diferença parece sutil e muda o padrão de qualidade.

Três expressões carregam obrigação. "Acesso facilitado" quer dizer que encontrar não pode dar trabalho. "Clara, adequada e ostensiva" quer dizer que precisa ser entendível e evidente, e ostensivo é o contrário de discreto: um link em cinza de oito pixels no fim da página cumpre a letra e falha na palavra. E "entre outras características" é o que transforma a lista em piso, assunto da seção 3.

Quem já se perguntou se o documento deve se chamar Política ou Aviso de Privacidade encontra a resposta em Quais documentos de LGPD a sua empresa precisa, que também mostra onde ele entra na ordem de produção.

2. Os sete itens, e o que escrever em cada um

Os incisos são curtos, e cada um tem um jeito característico de ser descumprido sem parecer. A coluna do meio da tabela é o erro que a gente mais vê em aviso publicado.

Vale um comentário sobre o quarto item, porque ele é o que mais vira reclamação. Publicar um canal e não responder é pior do que não publicar: cria expectativa, gera prova contra você e transforma um pedido simples em um caso. O que a lei espera desse canal, e em que prazo, está em cliente pediu acesso aos dados.

3. A lista é o piso, e não o teto

Esta é a leitura que quase todo material perde, e ela está em três palavras do caput: "entre outras características".

O efeito prático é direto: cumprir os sete incisos não encerra o assunto. Se a sua operação tem algo que a pessoa precisaria saber para entender o que acontece com os dados dela, isso entra, mesmo sem estar nos incisos. Alguns exemplos que costumam faltar e que a própria lei trata em outros artigos: usar sistema estrangeiro, o que é transferência internacional; usar decisão automatizada sobre pessoas; usar câmera com gravação; tratar dado sensível.

Nenhum desses aparece na lista do Art. 9º, e todos mudam o que a pessoa precisa saber. Quem usa ferramenta hospedada fora do Brasil encontra o desdobramento em transferência internacional de dados, e quem tem sistema que decide sozinho, em A LGPD garante revisão humana.

Há ainda dois parágrafos que valem conhecer, e os dois tratam da mesma preocupação. O § 1º diz que, quando o consentimento é requerido, ele é nulo se as informações tiverem conteúdo enganoso ou abusivo, ou se não tiverem sido apresentadas previamente com transparência. E o § 2º diz que, se a finalidade mudar de forma incompatível com o que foi consentido, o titular precisa ser informado previamente e pode revogar.

4. Os dois itens que nenhum modelo preenche

Aqui está o motivo de tantos avisos publicados não sobreviverem a uma pergunta simples. Cinco dos sete itens um modelo bom já traz mastigado. Dois não têm como.

A finalidade específica (inciso I) depende de saber para que a sua empresa usa cada dado. Um modelo só consegue escrever finalidades genéricas, e finalidade genérica não é finalidade: a lei pede "finalidade específica". Note que isso conversa com o princípio do Art. 6º, I, que fala em propósitos legítimos, específicos, explícitos e informados ao titular.

O uso compartilhado (inciso V) depende de saber quem são os terceiros que tratam dados por você. Sistema de gestão, contabilidade, ferramenta de disparo de e-mail, nuvem, transportadora, plataforma de pagamento. Um modelo não conhece essa lista, e quem não a tem escrita provavelmente também não tem o registro das operações, que é onde ela mora. O caminho está em RoPA para pequena empresa, e a relação com esses fornecedores, em Responsabilidade do fornecedor que acessa dados.

Essa é a razão de o aviso ser um dos primeiros documentos a serem cobrados e um dos últimos a ficarem prontos de verdade: escrever os dois itens exige ter feito o trabalho de mapear, e não existe atalho que substitua isso.

5. Quando o dado é condição para o serviço

Existe uma regra de honestidade específica para quando o dado não é opcional, e ela é fácil de cumprir e muito descumprida.

Repare que a lei não proíbe condicionar. Ela obriga a dizer. Se você não consegue prestar o serviço sem determinado dado, isso é legítimo e deve estar escrito com destaque, em vez de ser apresentado como uma escolha que não existe. O oposto disso é a caixinha que finge ser opcional e trava o cadastro quando desmarcada.

Vale a distinção com o excesso: condicionar o serviço ao que é necessário é permitido; condicionar ao que não é necessário contraria o princípio da necessidade do Art. 6º, III. E, no caso de criança, existe vedação expressa de condicionar a participação em atividades ao fornecimento de dados além do estritamente necessário, no Art. 14, § 4º, explicada em Dados de criança e de adolescente.

6. Onde publicar, e o caso das crianças

O padrão é o acesso facilitado do caput, e ele não exige site.

Para quem tem site, um link visível no rodapé de todas as páginas resolve, e vale conferir se ele aparece também nas páginas onde o dado é coletado, que é onde a informação faz diferença. Para quem não tem site, um quadro no balcão, uma página entregue no cadastro ou o texto no verso da ficha cumprem a mesma função. O que não cumpre é existir só no computador de alguém.

Quem trata dados de crianças tem uma regra a mais, e ela é de publicidade: o Art. 14, § 2º manda manter pública a informação sobre os tipos de dados coletados, a forma de utilização e os procedimentos para exercer os direitos do Art. 18. É obrigação autônoma, que não depende de autorização de ninguém, e é das mais esquecidas por escola, curso e consultório. Quem fornece produto ou serviço de tecnologia tem ainda as regras próprias do ECA Digital, que é outra lei.

Por fim, o aviso do site costuma vir acompanhado de outra conversa, que é a dos cookies. São documentos diferentes com regras diferentes, e o segundo está em Banner de cookies na LGPD.

7. Perguntas frequentes

O que a LGPD exige que esteja na política de privacidade?

O Art. 9º lista sete informações: finalidade específica do tratamento, forma e duração do tratamento, identificação do controlador, informações de contato do controlador, informações sobre o uso compartilhado de dados e a finalidade, responsabilidades dos agentes que realizarão o tratamento, e os direitos do titular com menção explícita aos direitos do Art. 18. E o próprio caput diz entre outras características, então essa lista é o mínimo.

A lista do Art. 9º é tudo o que preciso escrever?

Não, é o piso. O caput do Art. 9º diz que as informações devem ser disponibilizadas acerca de, entre outras características previstas em regulamentação para o atendimento do princípio do livre acesso, e então lista os sete itens. Tratar a lista como teto é o erro mais comum: se a sua operação tem algo que a pessoa precisaria saber para entender o que acontece com os dados dela, isso entra, mesmo sem estar nos incisos.

Preciso mesmo dizer com quem compartilho os dados?

Precisa. O inciso V do Art. 9º manda informar o uso compartilhado de dados pelo controlador e a finalidade desse compartilhamento. É o item que mais falta nos avisos copiados de modelo, porque exige saber quem são os seus fornecedores que tratam dados: sistema de gestão, contabilidade, ferramenta de disparo, nuvem, transportadora. Sem essa lista você não consegue escrever o item, e provavelmente também não tem o registro das operações.

Posso condicionar o serviço ao fornecimento de dados?

Pode, quando o dado for realmente necessário, mas você tem que dizer isso na cara. O Art. 9º, § 3º determina que, quando o tratamento de dados pessoais for condição para o fornecimento de produto ou de serviço ou para o exercício de direito, o titular seja informado com destaque sobre esse fato e sobre os meios pelos quais poderá exercer os direitos do Art. 18. O que não vale é apresentar como opcional o que é obrigatório.

Onde o Aviso de Privacidade precisa ficar?

Em lugar de acesso facilitado, porque é isso que o caput do Art. 9º garante ao titular, e de forma ostensiva. Na prática, um link visível no rodapé do site resolve para quem tem site, e um quadro no balcão ou um aviso entregue no cadastro resolve para quem não tem. Quem trata dados de crianças tem uma regra extra: o Art. 14, § 2º manda manter pública a informação sobre tipos de dados, forma de utilização e como exercer os direitos.

É obrigatório ter política de privacidade no site?

Se o site coleta qualquer dado pessoal, sim. A obrigação vem do Art. 9º, que garante ao titular acesso facilitado às informações sobre o tratamento, e não de uma regra específica para sites. Formulário de contato, cadastro, compra, newsletter e ferramenta de estatística que registra o visitante são tratamento de dados, e cada um precisa estar explicado em lugar de fácil acesso. Um site que só mostra informação, sem formulário e sem ferramenta de terceiro, não coleta dado e não tem o que avisar, mas isso é raro: quase todo site carrega algo que registra quem entra. O jeito de cumprir é um link visível no rodapé de todas as páginas, e o texto é o mesmo Aviso de Privacidade da empresa, com uma seção para o que o site faz, não um documento inventado só para a internet.

Existe um modelo oficial de política de privacidade?

Não existe, e é bom que não exista. A LGPD diz no Art. 9º o que a política precisa informar, e a ANPD não publicou modelo para empresa privada, porque o documento só cumpre a lei quando descreve o que a sua empresa faz de verdade: quais dados, para quê, por quanto tempo, com quem compartilha. Um modelo genérico erra justamente nisso, porque descreve uma empresa que não é a sua, e política que não bate com a prática é o defeito mais fácil de provar em uma fiscalização. O caminho é partir do registro das operações, que já tem essas respostas, e escrever a partir dele.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 6º, 9º e 14, § 2º

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.