LGPD compliance: checklist para aplicações web

LGPD compliance em aplicações web não se resume a publicar uma política de privacidade. É um conjunto de verificações técnicas, jurídicas e operacionais que precisam ser feitas no código, na infraestrutura e nos processos. Este checklist serve para auditar um sistema já em produção ou validar um projeto antes do lançamento. Use como roteiro de revisão a cada mudança relevante de arquitetura, não como documento único.

A Lei 13.709/2018 (LGPD) define dados pessoais como informação relacionada a pessoa natural identificada ou identificável. Isso inclui IP, geolocalização, identificadores de dispositivo e cookies persistentes, não apenas nome e CPF. A ANPD é a autoridade competente para fiscalizar e aplicar sanções. O checklist abaixo organiza os itens por categoria, cada um com o motivo prático de estar ali.

1. Mapeamento e governança de dados

Inventário de dados pessoais. Liste quais dados a aplicação coleta, onde ficam armazenados (banco, cache, logs, backups, terceiros) e por quanto tempo. Sem esse mapa, nenhuma outra etapa é verificável.

Base legal documentada por finalidade. Cada tratamento precisa de uma hipótese do art. 7º ou art. 11 da LGPD. Cadastro para prestação de serviço costuma se apoiar em execução de contrato; marketing, em consentimento. Base legal trocada no meio do caminho invalida o tratamento.

Encarregado (DPO) designado e publicado. A identidade e o contato do encarregado devem estar acessíveis no site. A ANPD pode solicitar essa informação em procedimento de fiscalização.

Registro das operações de tratamento. Documento que descreve finalidade, categorias de dados, destinatários e prazos. Serve como prova de diligência em caso de questionamento.

2. Ciclo de vida e direitos dos titulares

Fluxo de confirmação e acesso. O titular pode pedir confirmação de tratamento e acesso aos dados. O sistema precisa responder em prazo razoável, não em semanas.

Correção, anonimização, bloqueio e eliminação. Cada direito do art. 18 precisa de um caminho técnico. Eliminação exige remover também cópias em backups ou justificar retenção legal.

Portabilidade. Se aplicável ao seu setor, exportar dados em formato estruturado (JSON, CSV) sem intervenção manual.

Revogação de consentimento. Quando a base é consentimento, o usuário deve poder revogar com o mesmo esforço com que consentiu. Botão escondido em submenu não conta.

3. Segurança técnica

Criptografia em trânsito e em repouso. TLS obrigatório em todas as rotas que trafegam dados pessoais. Criptografia de coluna ou de disco para dados sensíveis.

Controle de acesso baseado em função. Nem todo desenvolvedor precisa ver a tabela de usuários em produção. Privilégio mínimo reduz superfície de vazamento.

Gestão de segredos. Chaves de API, tokens e credenciais fora do repositório. Rotação periódica e auditoria de quem acessou.

Logs sem dados pessoais desnecessários. Logar payload completo de requisição é comum e problemático. Mascare CPF, e-mail e tokens antes de gravar.

Testes de segurança regulares. Varredura de dependências, teste de intrusão e revisão de código em pontos que tratam dados pessoais.

4. Cookies, rastreamento e terceiros

Banner de consentimento com granularidade. O usuário precisa aceitar ou recusar categorias distintas (essenciais, analytics, marketing). Consentimento pré-marcado não é válido.

Bloqueio de scripts antes do consentimento. Tags de analytics e pixels de anúncio não devem disparar antes da escolha. Verifique no network do navegador, não só no banner.

Contratos com operadores. Todo fornecedor que trata dados em seu nome (cloud, e-mail marketing, suporte) precisa de cláusula de tratamento conforme o art. 39.

Transferência internacional. Se os dados saem do Brasil, verifique se o destino tem proteção adequada ou se há cláusula específica.

5. Resposta a incidentes e governança contínua

Plano de resposta a incidentes. Quem detecta, quem decide, quem comunica. A ANPD e os titulares afetados devem ser notificados em prazo razoável quando houver risco relevante.

Registro de incidentes. Mesmo incidentes contidos sem vazamento devem ser documentados. Padrão de falha recorrente é sinal de processo fraco.

Treinamento periódico da equipe. Desenvolvedor que nunca leu a LGPD vai tomar decisão errada em produção. Revisão anual, no mínimo.

Revisão do checklist a cada release relevante. Nova feature que coleta dado novo exige reavaliação da base legal e do inventário.

O erro mais comum

O erro mais comum é tratar LGPD compliance como projeto com data de término. A equipe publica a política de privacidade, ajusta o banner de cookies, comemora e volta ao fluxo normal. Seis meses depois, um novo microserviço loga payload completo, um fornecedor novo entra sem contrato de tratamento e ninguém revisou o inventário. Conformidade é estado contínuo, não entrega.

O segundo erro, menos visível, é confiar apenas em ferramentas de scan automático. Elas detectam cookie sem consentimento e dependência vulnerável, mas não sabem se a base legal declarada corresponde à finalidade real do tratamento. Essa parte exige leitura humana do fluxo de dados.

FAQ

O que é LGPD compliance em aplicações web?

É a adequação técnica e documental da aplicação à Lei 13.709/2018. Envolve mapear dados pessoais, definir base legal por finalidade, aplicar controles de segurança, gerenciar cookies e terceiros, garantir direitos dos titulares e manter plano de resposta a incidentes. Não se limita a avisos de privacidade.

Quais dados em uma aplicação web são considerados pessoais pela LGPD?

Além de nome, e-mail e CPF, a LGPD alcança dados que identifiquem ou possam identificar alguém: endereço IP, geolocalização, identificador de dispositivo, cookies persistentes e combinações de dados de navegação. Dados sensíveis, como saúde e biometria, têm regras mais restritas.

Preciso de encarregado (DPO) na minha empresa?

A LGPD exige que o controlador indique encarregado pelo tratamento de dados pessoais e divulgue publicamente o contato. O porte da empresa não elimina a obrigação, embora a estrutura do encarregado possa variar. A ANPD pode solicitar informações sobre essa designação.

Qual o prazo para responder a um titular que pede seus dados?

A LGPD não fixa prazo em dias no texto legal, mas exige resposta em prazo razoável e formato claro. Na prática, prazos curtos, como alguns dias úteis, reduzem risco de reclamação à ANPD. O processo precisa estar documentado e testado.

O banner de cookies resolve a conformidade?

Não. O banner é apenas uma peça. Ele precisa bloquear scripts antes do consentimento, oferecer escolha granular e registrar a decisão. Sem inventário de dados e base legal documentada, o banner é fachada.

Qual a sanção por não estar em conformidade com a LGPD?

A ANPD pode aplicar advertência, multa de até 2% do faturamento do grupo no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. O valor exato depende da gravidade e da reincidência.