Solicitar diagnóstico

Sites e landing pages · consultoria de LGPD

Site de consultoria de LGPD: os arts. 46 a 49 alcançam a própria página que a consultoria publica.

Um site de consultoria de adequação é, ele mesmo, uma superfície de tratamento de dado: ele recebe o formulário, o cookie, o e-mail de captura e a ferramenta de análise de tráfego. A LGPD decide o que esse site precisa demonstrar — o art. 46 pede medidas de segurança, técnicas e administrativas, aptas a proteger o dado de acessos não autorizados e de situações acidentais ou ilícitas; o art. 47 obriga quem intervém em qualquer fase do tratamento a garantir a segurança da informação; o art. 48 fixa o dever de comunicar incidente; e o art. 49 exige que os sistemas sejam estruturados para atender segurança, boas práticas e governança.

Para consultorias de adequação à LGPD e provedores de encarregado terceirizado que vão criar ou reformar o site institucional, com formulário de contato, captura de e-mail ou ferramenta de análise de tráfego.

Conversar sobre o site da minha consultoriaFazer o diagnóstico de sites e landing pages

O que os arts. 46 a 49 decidem sobre a própria página da consultoria

A LGPD trata o site de uma consultoria de adequação como agente de tratamento, não como material de venda. O art. 46, caput, manda os agentes de tratamento adotarem "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito"; o § 2º exige que essas medidas sejam observadas "desde a fase de concepção do produto ou do serviço até a sua execução". O art. 47 obriga a garantir a segurança da informação mesmo após o término do tratamento. O art. 48, caput, põe sobre o controlador o dever de comunicar à autoridade nacional e ao titular "a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares", e o § 1º lista o conteúdo mínimo dessa comunicação, em "prazo razoável, conforme definido pela autoridade nacional". O art. 49 exige que os sistemas usados no tratamento sejam "estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais". Traduzido para o site da consultoria: a régua que ela aplica no site do cliente é a régua que incide sobre o formulário, o cookie e a análise de tráfego que ela mesma publica.

Cinco pontos em que os arts. 46 a 49 condicionam o site de uma consultoria de LGPD

O eixo 1 vale para toda página que coleta dado. Os eixos 2 a 5 só entram em jogo quando o site tem formulário, integração ou ferramenta de análise — isto é, quando a própria consultoria passa a ser o controlador que ela descreve ao cliente.

Quando a consultoria publica site com formulário de contato, cookie, captura de e-mail ou ferramenta de análise de tráfego

O site de uma consultoria de LGPD é, ele mesmo, uma superfície de tratamento — e a régua que ela vende alcança a própria página

O art. 46, caput, manda os agentes de tratamento adotarem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito; o art. 47 estende a garantia da segurança da informação a qualquer pessoa que intervenha em uma das fases do tratamento, mesmo após o término.

O formulário e a análise de tráfego do próprio site entram no regime que a consultoria aplica no do cliente — e é isso que decide o que a página declara sobre si, não o material que ela escreve para vender.

Ao desenhar a nova página, o formulário, o banner de cookie ou a integração com a ferramenta de análise

As medidas de segurança são exigidas desde a concepção do site, não depois de ele estar no ar

O art. 46, § 2º, diz que as medidas do caput "deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução".

A segurança do site é decisão de projeto, tomada junto com o layout e o formulário, e não um ajuste posterior de quem já publicou — o que muda o que entra no escopo antes da primeira linha de código.

Quando o site coleta dado pessoal e existe a possibilidade de um incidente de segurança que possa acarretar risco ou dano relevante

O dever de comunicar incidente é do controlador, e o site é onde essa comunicação fica pública

O art. 48, caput, diz que "o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares".

Uma consultoria que publica canal de contato precisa decidir como o próprio site participa dessa comunicação — o que ele coleta e por onde o titular é avisado —, porque a página pública de quem vende adequação é lida por gente que entende exatamente disso.

Ao redigir como o site descreve o que acontece em caso de incidente

A comunicação de incidente tem conteúdo mínimo definido em lei, não escolhido pelo material de marketing

O art. 48, § 1º, exige que a comunicação seja feita em "prazo razoável, conforme definido pela autoridade nacional", e mencione, no mínimo: a descrição da natureza dos dados pessoais afetados; as informações sobre os titulares envolvidos; a indicação das medidas técnicas e de segurança utilizadas; os riscos relacionados ao incidente; os motivos da demora, se a comunicação não foi imediata; e as medidas adotadas para reverter ou mitigar os efeitos do prejuízo.

O texto do site se limita ao que a lei fixa: nem promete um prazo que a norma não define, nem resume a comunicação a uma frase de efeito — a lista do § 1º vira roteiro do que a página precisa saber responder.

Ao escolher as ferramentas que recebem o dado do site — gestor de conteúdo, agenda, CRM ou ferramenta de análise

Os sistemas que recebem o dado do formulário precisam ser estruturados para atender segurança e boas práticas

O art. 49 diz que "os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares". O art. 48, § 3º, manda avaliar, no juízo de gravidade, a comprovação de medidas técnicas que tornem os dados afetados ininteligíveis.

A pergunta do site de uma consultoria não é só o que ele coleta, mas para quais sistemas o dado vai e se a estrutura desses sistemas corresponde ao que a própria página descreve como método.

O que acompanhar quando o site da consultoria passa a ser o objeto

Um site de consultoria de LGPD acrescenta ao acompanhamento comum de site uma checagem que costuma ficar fora do briefing: o próprio site é uma superfície de dado, e cada superfície tem medida, sistema e um caminho de comunicação a descrever.

A checagem inicial é o inventário do que o próprio site coleta e para onde isso vai: que campo o formulário envia, que cookie é gravado, que e-mail fica capturado e o que a ferramenta de análise de tráfego recebe. O inventário separa o que é superfície do site da consultoria do que é material do cliente — porque é a primeira que a régua dos arts. 46 a 49 alcança de imediato.

Feito o inventário, cada superfície é confrontada com o art. 46 (medidas técnicas e administrativas) e com o art. 49 (estrutura dos sistemas que recebem o dado), e o site passa a ter um caminho descrito para o art. 48: quem é avisado, por onde, e com que conteúdo mínimo, antes de qualquer incidente acontecer.

  • Superfícies de coleta do próprio site listadas: formulário, cookie, captura de e-mail e ferramenta de análise de tráfego.
  • Sistemas que recebem o dado de cada superfície nomeados — gestor de conteúdo, agenda, CRM ou análise de tráfego.
  • Medidas técnicas e administrativas conferidas contra cada superfície do site, não só contra o material feito para o cliente.
  • Caminho de comunicação do art. 48 descrito antes de qualquer incidente acontecer.
  • Conteúdo mínimo do art. 48, § 1º usado como lista do que o site precisa saber responder.

Quando o site da própria consultoria não é o problema desta rodada

Em cenários assim, mexer hoje no site da consultoria não muda o que está em jogo, e o esforço pertence ao material que ela entrega ao cliente.
  • A consultoria não tem site de captação: o contato chega por indicação, e a página publicada é só uma apresentação sem formulário nem ferramenta de análise.
  • O site publica apenas telefone e e-mail em texto, sem campo que envie dado para um sistema.
  • A conversa sobre o site do cliente já está travada por outro motivo — escopo, orçamento ou prazo — e não pelo que a página da consultoria coleta.
  • Ainda não se decidiu o que o site precisa produzir (contato, agendamento ou leitura do método), e sem isso nenhuma decisão sobre coleta é verificável.
  • A página pública fala só de serviço, sem descrever coleta, e não há intenção de descrever.

O que costuma escapar é o formulário que a própria consultoria publica para receber quem procura adequação: ele coleta o dado de contato de uma pessoa que está justamente a procura de quem trate disso — e raramente passa pela mesma revisão que o material feito para o cliente.

O primeiro passo: tratar o site da consultoria como superfície de tratamento

O trabalho começa pelo que a página já coleta, antes de qualquer mudança de layout. Enquanto o site é lido como vitrine, o formulário, o cookie e a análise de tráfego ficam fora do escopo — e são exatamente eles que os arts. 46 a 49 alcançam.

A leitura inicial mapeia cada superfície de coleta do próprio site e o sistema que a recebe, separando o que é do site da consultoria do que é material do cliente. Para cada superfície, confere-se o que o art. 46 exige em medidas técnicas e administrativas e se a estrutura do sistema que recebe o dado atende ao que o art. 49 pede.

Com o mapa feito, as medidas de segurança do art. 46, § 2º entram na fase de concepção do site — formulário, integração e análise de tráfego —, e o site passa a descrever o caminho de comunicação do art. 48 com o conteúdo mínimo do § 1º. O texto fica dentro do que a norma afirma, sem prometer conformidade nem prazo que a lei não fixa.

  • Inventário do que o próprio site coleta, superfície por superfície.
  • Sistemas que recebem cada dado nomeados junto da superfície que os alimenta.
  • Medidas de segurança tratadas na fase de concepção do site (art. 46, § 2º), não em ajuste posterior.
  • Caminho de comunicação de incidente descrito (art. 48) com o conteúdo mínimo do § 1º.
  • Texto do site conferido contra o que a norma afirma, sem prometer conformidade nem prazo que a lei não fixa.

O que consultorias de LGPD querem saber antes de mexer no próprio site

O site da própria consultoria de LGPD entra na LGPD?

Entra. O art. 46, caput, fala em "agentes de tratamento", sem excluir quem presta serviço de adequação, e o art. 47 estende a garantia da segurança da informação a "qualquer outra pessoa que intervenha em uma das fases do tratamento". Se o site tem formulário, cookie ou ferramenta de análise, ele coleta dado pessoal — e a régua incide sobre ele como incidiria sobre o site de um cliente.

O que precisa constar na comunicação de um incidente de segurança?

O art. 48, § 1º, exige, no mínimo: a descrição da natureza dos dados pessoais afetados; as informações sobre os titulares envolvidos; a indicação das medidas técnicas e de segurança utilizadas, observados os segredos comercial e industrial; os riscos relacionados ao incidente; os motivos da demora, caso a comunicação não tenha sido imediata; e as medidas adotadas para reverter ou mitigar os efeitos do prejuízo.

Qual é o prazo para comunicar um incidente?

A lei não fixa um número de dias: o art. 48, § 1º, diz que a comunicação "será feita em prazo razoável, conforme definido pela autoridade nacional". Quem define o prazo é a ANPD, não o site da consultoria — e é por isso que a página não deve prometer prazo de resposta próprio como se fosse exigência legal.

Isso é o mesmo que a página de tráfego pago para consultoria de LGPD trata?

Não. A irmã de mídia paga trata do encarregado (DPO) pelo art. 41 da LGPD e pelas Resoluções CD/ANPD 2/2022 e 18/2024 — o dever de indicar encarregado e quem pode exercer a função. Esta página trata dos arts. 46 a 49: segurança da informação e comunicação de incidente no próprio site. Outro artigo, outro objeto.

Publicar uma política de privacidade no site atende ao que o art. 46 pede?

Não sozinha. O art. 46 exige medidas de segurança, técnicas e administrativas, aptas a proteger o dado de acessos não autorizados e de situações acidentais ou ilícitas, e o § 2º manda observá-las desde a concepção do serviço. A política é uma declaração sobre o tratamento; a medida de segurança é o que estrutura o site por trás dela.

Citar a LGPD na página já demonstra segurança?

A exigência do art. 49 recai sobre a estrutura dos sistemas que tratam o dado — "estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança" —, não sobre a menção à lei no texto. O que o art. 48 pede em caso de incidente, por sua vez, é comunicação com conteúdo definido, não a citação da sigla.

Para continuar

Antes de redesenhar o site da consultoria, vale olhar o que ele coleta de quem procura adequação.

A conversa começa pelo que o site já coleta — formulário, cookie, captura de e-mail, análise de tráfego —, para quais sistemas isso vai e como a página descreveria a comunicação de um incidente.

Conversar sobre o site da minha consultoriaFazer o diagnóstico de sites e landing pages

Nenhuma proposta é enviada antes da conversa.