Sua política de privacidade é só um texto colado do Google? Ela pode custar caro

Toda semana aparece um cliente novo com a mesma cena: site bonito, formulário de contato funcionando, e uma política de privacidade que foi baixada de template gratuito em 2021 e nunca mais aberta. Às vezes nem tem link visível. Às vezes tem, mas cita finalidade genérica tipo "para melhorar sua experiência" sem dizer qual dado é coletado, por quanto tempo fica guardado ou quem é o encarregado.

Na prática: política de privacidade não é peça decorativa de rodapé. É o documento que a ANPD vai pedir primeiro se abrir fiscalização, e é a prova de que a empresa cumpriu o dever de transparência do art. 6º, VI da LGPD. Sem ela bem feita, todo o resto da adequação desmorona: consentimento vira nulo, base legal vira discutível, e a empresa fica sem defesa nenhuma.

Os 12 itens que não podem faltar

A gente revisou dezenas de políticas de clientes nos últimos dois anos. A lista abaixo é o mínimo que sobrevive a uma fiscalização real, não o mínimo que passa num check visual rápido.

• Identificação completa do controlador: razão social, CNPJ, endereço
• Contato do encarregado (DPO), com e-mail funcional, não genérico tipo contato@
• Quais dados são coletados, categorizados por origem (formulário, cookies, navegação, WhatsApp)
• Se há coleta de dado sensível (saúde, biometria, dado de menor), declarado à parte
• Finalidade específica de cada tratamento, não "diversas finalidades"
• Base legal do art. 7º usada em cada finalidade (consentimento, contrato, legítimo interesse etc.)
• Prazo de retenção de cada categoria de dado
• Compartilhamento com terceiros: quem recebe, por quê (ex: gateway de pagamento, CRM, plataforma de e-mail)
• Transferência internacional de dados, se houver (comum em quem usa Google Analytics, Meta Ads, Mailchimp)
• Direitos do titular e como exercer (art. 18): acesso, correção, exclusão, portabilidade
• Canal e prazo de resposta ao titular: 15 dias, conforme art. 19
• Data de vigência e histórico de versões

Falta um desses itens, a política vira peça de defesa fraca. A ANPD já indicou em manifestações públicas que avalia completude do aviso de privacidade como critério de boa-fé da empresa. Documento incompleto conta contra, não a favor.

Linguagem jurídica bonita não protege ninguém

Vemos muita política escrita pra impressionar advogado, não pra informar cliente. Frase de quinze linhas com três subordinadas não cumpre o princípio da transparência do art. 6º. A LGPD exige informação "de forma clara, precisa e facilmente compreensível" (art. 9º, §1º).

Nossa leitura: se o dono da padaria que é cliente do seu cliente não entende o texto em trinta segundos, o texto está errado. Trocamos "tratamento de dados pessoais para fins de otimização de processos comerciais" por "usamos seu e-mail pra te mandar orçamento e novidade". Fica menos elegante, fica mais legal.

A política que não conversa com o formulário é papel

Esse é o erro mais comum que a gente encontra: a política existe, mas o formulário de contato não linka pra ela, não tem checkbox de aceite, e coleta CPF sem nenhuma explicação de finalidade no próprio campo.

A política precisa estar vinculada em todo ponto de coleta: formulário de contato, cadastro de newsletter, checkout de e-commerce, formulário de vaga no RH, ficha de cliente em papel na recepção. Cada um desses pontos deve:

• Ter link visível e clicável pra política vigente no momento da coleta
• Registrar o aceite com timestamp (data e hora exatas)
• Guardar qual versão da política estava ativa naquele momento

Sem esse terceiro item, a empresa não consegue provar, daqui a dois anos, que o titular concordou com a versão que estava vigente quando ele preencheu o formulário. E política muda. Muda porque a empresa passou a usar novo CRM, novo gateway de pagamento, nova ferramenta de e-mail marketing.

Versionamento: o detalhe que ninguém guarda e todo mundo precisa

Quase nenhuma empresa versiona a política de privacidade. Ela é editada direto no site, a versão antiga se perde, e não existe registro de quando cada mudança entrou em vigor.

Falando sério: isso é prova que falta em qualquer defesa administrativa. Se um titular reclamar que forneceu dado sem saber que seria compartilhado com terceiro, e a empresa não tem como provar qual texto estava no ar naquele dia, a empresa perde o argumento antes mesmo de discutir mérito.

O básico funciona: numerar versões (v1.0, v1.1, v2.0), manter arquivo interno com PDF de cada versão publicada e sua data de vigência, e guardar log de aceite vinculado à versão correspondente. Não precisa de sistema caro. Uma pasta organizada com data no nome do arquivo já resolve 90% do problema.

Quem precisa disso mesmo sendo pequeno

A Resolução CD/ANPD 02/2022 dá tratamento simplificado pra microempresa, EPP e startup em alguns pontos processuais, mas não dispensa a política de privacidade nem o encarregado. O regime facilitado é sobre prazo de resposta e formalidade de registro de incidente, não sobre ter ou não ter os documentos.

Comércio, clínica, escritório de contabilidade, imobiliária: se coleta CPF, e-mail ou telefone de cliente, precisa de política formal. Não existe "empresa pequena demais pra LGPD".

O que fazer nas próximas duas semanas

• Levante todos os pontos de coleta de dado da empresa: site, WhatsApp Business, ficha de papel, formulário de vaga
• Reescreva a política cobrindo os 12 itens listados acima, em linguagem que um cliente leigo entenda
• Adicione checkbox de aceite com link pra política em cada formulário ativo
• Configure o registro de timestamp e versão no momento do aceite (a maioria das plataformas de formulário já permite isso via campo oculto)
• Crie uma pasta de controle interno com o histórico de versões da política e data de vigência de cada uma

Duas semanas de trabalho organizado resolvem um problema que, sem estrutura, vira dor de cabeça no dia em que um cliente reclama ou a ANPD manda um ofício.