# LGPD compliance: checklist para aplicações web

> A LGPD compliance em aplicações web exige um checklist que verifique base legal para tratamento de dados, mapeamento do ciclo de vida das informações, medidas de segurança e plano de resposta a incidentes. A auditoria prévia identifica lacunas antes de questionamentos da ANPD ou de titulares, reduzindo riscos de sanções administrativas e reforçando a governança de privacidade.

*Pingobox · Apps e Software · 14 de setembro de 2026 · Bruno Tagliari*

LGPD compliance em aplicações web exige verificar base legal, ciclo de vida dos dados, segurança e resposta a incidentes. Este checklist reúne itens acionáveis para auditar seu sistema antes que a ANPD ou um titular questione.

LGPD compliance em aplicações web não se resume a publicar uma política de privacidade. É um conjunto de verificações técnicas, jurídicas e operacionais que precisam ser feitas no código, na infraestrutura e nos processos. Este checklist serve para auditar um sistema já em produção ou validar um projeto antes do lançamento. Use como roteiro de revisão a cada mudança relevante de arquitetura, não como documento único.

A Lei 13.709/2018 (LGPD) define dados pessoais como informação relacionada a pessoa natural identificada ou identificável. Isso inclui IP, geolocalização, identificadores de dispositivo e cookies persistentes, não apenas nome e CPF. A ANPD é a autoridade competente para fiscalizar e aplicar sanções. O checklist abaixo organiza os itens por categoria, cada um com o motivo prático de estar ali.

## 1. Mapeamento e governança de dados

**Inventário de dados pessoais.** Liste quais dados a aplicação coleta, onde ficam armazenados (banco, cache, logs, backups, terceiros) e por quanto tempo. Sem esse mapa, nenhuma outra etapa é verificável.

**Base legal documentada por finalidade.** Cada tratamento precisa de uma hipótese do art. 7º ou art. 11 da LGPD. Cadastro para prestação de serviço costuma se apoiar em execução de contrato; marketing, em consentimento. Base legal trocada no meio do caminho invalida o tratamento.

**Encarregado (DPO) designado e publicado.** A identidade e o contato do encarregado devem estar acessíveis no site. A ANPD pode solicitar essa informação em procedimento de fiscalização.

**Registro das operações de tratamento.** Documento que descreve finalidade, categorias de dados, destinatários e prazos. Serve como prova de diligência em caso de questionamento.

## 2. Ciclo de vida e direitos dos titulares

**Fluxo de confirmação e acesso.** O titular pode pedir confirmação de tratamento e acesso aos dados. O sistema precisa responder em prazo razoável, não em semanas.

**Correção, anonimização, bloqueio e eliminação.** Cada direito do art. 18 precisa de um caminho técnico. Eliminação exige remover também cópias em backups ou justificar retenção legal.

**Portabilidade.** Se aplicável ao seu setor, exportar dados em formato estruturado (JSON, CSV) sem intervenção manual.

**Revogação de consentimento.** Quando a base é consentimento, o usuário deve poder revogar com o mesmo esforço com que consentiu. Botão escondido em submenu não conta.

## 3. Segurança técnica

**Criptografia em trânsito e em repouso.** TLS obrigatório em todas as rotas que trafegam dados pessoais. Criptografia de coluna ou de disco para dados sensíveis.

**Controle de acesso baseado em função.** Nem todo desenvolvedor precisa ver a tabela de usuários em produção. Privilégio mínimo reduz superfície de vazamento.

**Gestão de segredos.** Chaves de API, tokens e credenciais fora do repositório. Rotação periódica e auditoria de quem acessou.

**Logs sem dados pessoais desnecessários.** Logar payload completo de requisição é comum e problemático. Mascare CPF, e-mail e tokens antes de gravar.

**Testes de segurança regulares.** Varredura de dependências, teste de intrusão e revisão de código em pontos que tratam dados pessoais.

## 4. Cookies, rastreamento e terceiros

**Banner de consentimento com granularidade.** O usuário precisa aceitar ou recusar categorias distintas (essenciais, analytics, marketing). Consentimento pré-marcado não é válido.

**Bloqueio de scripts antes do consentimento.** Tags de analytics e pixels de anúncio não devem disparar antes da escolha. Verifique no network do navegador, não só no banner.

**Contratos com operadores.** Todo fornecedor que trata dados em seu nome (cloud, e-mail marketing, suporte) precisa de cláusula de tratamento conforme o art. 39.

**Transferência internacional.** Se os dados saem do Brasil, verifique se o destino tem proteção adequada ou se há cláusula específica.

## 5. Resposta a incidentes e governança contínua

**Plano de resposta a incidentes.** Quem detecta, quem decide, quem comunica. A ANPD e os titulares afetados devem ser notificados em prazo razoável quando houver risco relevante.

**Registro de incidentes.** Mesmo incidentes contidos sem vazamento devem ser documentados. Padrão de falha recorrente é sinal de processo fraco.

**Treinamento periódico da equipe.** Desenvolvedor que nunca leu a LGPD vai tomar decisão errada em produção. Revisão anual, no mínimo.

**Revisão do checklist a cada release relevante.** Nova feature que coleta dado novo exige reavaliação da base legal e do inventário.

## O erro mais comum

O erro mais comum é tratar LGPD compliance como projeto com data de término. A equipe publica a política de privacidade, ajusta o banner de cookies, comemora e volta ao fluxo normal. Seis meses depois, um novo microserviço loga payload completo, um fornecedor novo entra sem contrato de tratamento e ninguém revisou o inventário. Conformidade é estado contínuo, não entrega.

O segundo erro, menos visível, é confiar apenas em ferramentas de scan automático. Elas detectam cookie sem consentimento e dependência vulnerável, mas não sabem se a base legal declarada corresponde à finalidade real do tratamento. Essa parte exige leitura humana do fluxo de dados.

## FAQ

### O que é LGPD compliance em aplicações web?

É a adequação técnica e documental da aplicação à Lei 13.709/2018. Envolve mapear dados pessoais, definir base legal por finalidade, aplicar controles de segurança, gerenciar cookies e terceiros, garantir direitos dos titulares e manter plano de resposta a incidentes. Não se limita a avisos de privacidade.

### Quais dados em uma aplicação web são considerados pessoais pela LGPD?

Além de nome, e-mail e CPF, a LGPD alcança dados que identifiquem ou possam identificar alguém: endereço IP, geolocalização, identificador de dispositivo, cookies persistentes e combinações de dados de navegação. Dados sensíveis, como saúde e biometria, têm regras mais restritas.

### Preciso de encarregado (DPO) na minha empresa?

A LGPD exige que o controlador indique encarregado pelo tratamento de dados pessoais e divulgue publicamente o contato. O porte da empresa não elimina a obrigação, embora a estrutura do encarregado possa variar. A ANPD pode solicitar informações sobre essa designação.

### Qual o prazo para responder a um titular que pede seus dados?

A LGPD não fixa prazo em dias no texto legal, mas exige resposta em prazo razoável e formato claro. Na prática, prazos curtos, como alguns dias úteis, reduzem risco de reclamação à ANPD. O processo precisa estar documentado e testado.

### O banner de cookies resolve a conformidade?

Não. O banner é apenas uma peça. Ele precisa bloquear scripts antes do consentimento, oferecer escolha granular e registrar a decisão. Sem inventário de dados e base legal documentada, o banner é fachada.

### Qual a sanção por não estar em conformidade com a LGPD?

A ANPD pode aplicar advertência, multa de até 2% do faturamento do grupo no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. O valor exato depende da gravidade e da reincidência.

---

Fonte (canonical): https://www.pingobox.com.br/apps-e-software/lgpd-compliance-checklist-para-aplicacoes-web/