Resposta rápida: a LGPD exige política de privacidade para sites estrangeiros?
A LGPD não contém uma regra universal dizendo que todo site privado deve ter um documento literalmente chamado “Política de Privacidade”. O que existe são deveres de transparência e informação. Na prática, um aviso de privacidade bem estruturado é a forma mais comum de organizar essas informações para visitantes, clientes e usuários.
Para uma empresa estrangeira sujeita à LGPD, o documento precisa explicar a operação real — não apenas adaptar um template do GDPR.
Principais conclusões
- O foco jurídico é transparência, não o nome do documento.
- Art. 9º traz informações mínimas relevantes.
- O aviso deve refletir finalidades, duração, controlador, compartilhamentos e direitos.
- Base legal é importante para governança, embora não apareça como item literal obrigatório em todos os casos do Art. 9º.
- Cookies, marketing, transferências e decisões automatizadas devem ser descritos quando relevantes.
- Um aviso não substitui data map, ROPA, contratos, segurança ou fluxo de direitos.
O que o Art. 9º exige informar?
A LGPD garante ao titular acesso facilitado às informações sobre tratamento. Entre os elementos do Art. 9º estão:
- finalidade específica;
- forma e duração do tratamento, observados segredos comercial e industrial;
- identificação do controlador;
- informações de contato do controlador;
- informações sobre uso compartilhado e finalidade;
- responsabilidades dos agentes que realizarão tratamento; e
- direitos do titular, com menção expressa aos direitos do Art. 18.
O aviso deve ser claro, adequado e ostensivo, conforme o contexto.
A política precisa listar bases legais?
A base legal não aparece como item literal da lista mínima do Art. 9º da mesma forma que finalidade e identidade do controlador. Ainda assim, documentar bases internamente é essencial, e divulgar a base pode ser boa prática em muitos cenários, especialmente quando melhora transparência.
Evite transformar o aviso em tabela jurídica difícil de entender. O documento público precisa equilibrar precisão e linguagem acessível.
Identidade do controlador
Uma empresa estrangeira deve deixar claro qual entidade é responsável pelo tratamento. Evite frases vagas como “nós e nossas afiliadas” quando não é possível ao titular saber quem decide a finalidade.
Inclua nome empresarial ou identificação adequada, canal de contato e, quando aplicável, informações do encarregado.
Finalidades específicas
Substitua “usamos dados para melhorar nossos serviços” por descrições mais concretas, por exemplo:
- criar e administrar conta;
- processar pedidos ou assinaturas;
- fornecer suporte;
- prevenir fraude e abuso;
- medir uso do produto;
- enviar comunicações de marketing;
- cumprir obrigações legais;
- defender direitos;
- operar segurança e logs.
Um mesmo dado pode ser usado para várias finalidades, mas cada uma deve ser justificável e documentada.
Categorias de dados
Embora não seja necessário transformar o aviso em inventário técnico exaustivo, é útil organizar categorias como:
- dados de identificação e contato;
- conta e autenticação;
- cobrança e pedidos;
- suporte e comunicações;
- dados técnicos e de dispositivo;
- cookies e eventos de uso;
- dados fornecidos pelo cliente em SaaS;
- marketing e preferências;
- dados sensíveis quando realmente tratados.
Compartilhamento com terceiros
Explique categorias de destinatários e finalidades. Em alguns contextos, nomear fornecedores críticos pode aumentar transparência; em outros, categorias são mais sustentáveis.
O importante é não escrever “não compartilhamos seus dados” se o site utiliza nuvem, analytics, gateway, CRM, e-mail ou atendimento de terceiros.
Direitos dos titulares
O aviso deve explicar como exercer direitos, incluindo confirmação, acesso, correção e outros direitos do Art. 18 aplicáveis ao contexto.
Crie canal visível e operacional. Uma caixa de e-mail que ninguém monitora não é um processo de direitos.
Confirmação e acesso: cuidado com o prazo
O Art. 19 prevê duas formas para confirmação/acesso: resposta simplificada imediatamente ou declaração clara e completa em até 15 dias.
Não escreva no aviso que “todos os direitos serão respondidos em 15 dias” se isso não corresponde ao regime jurídico aplicável a cada pedido.
Encarregado
Quando houver encarregado indicado, sua identidade e contato devem ser divulgados de forma clara e objetiva, preferencialmente no site do controlador.
Agentes de pequeno porte dispensados da indicação ainda precisam oferecer canal de comunicação com titulares.
Cookies e rastreamento
Se o site utiliza cookies, pixels, analytics ou publicidade, o aviso deve conectar-se ao mecanismo de escolhas e ao inventário. Pode haver política de cookies separada ou seção específica.
Explique categorias, finalidades, terceiros relevantes, duração e como o usuário pode controlar preferências.
Marketing
Diferencie comunicações transacionais de marketing. Explique e-mail promocional, CRM, WhatsApp, remarketing e públicos personalizados quando existirem.
Ofereça saída clara e registre supressão quando necessário.
Transferências internacionais
Para empresas estrangeiras, transferências são frequentemente parte central da operação. O aviso deve refletir países ou categorias de destinos relevantes e salvaguardas de forma coerente com a Resolução 19/2024.
Quando SCCs brasileiras são usadas, a regulamentação traz obrigações específicas de transparência em português e disponibilização das cláusulas sob determinadas condições.
Decisões automatizadas e IA
Se o produto utiliza decisões exclusivamente automatizadas que podem afetar interesses do titular, avalie Art. 20 e transparência associada.
Nem toda personalização precisa de uma seção dramática sobre “IA”. Descreva o tratamento concreto, sua finalidade e impacto.
É preciso nomear todos os fornecedores?
Não existe regra universal de que o aviso deva listar nominalmente todo suboperador. A escolha depende do contexto e das obrigações específicas. Contudo, a organização precisa ter internamente uma lista precisa dos fornecedores, papéis e países.
Estrutura prática de aviso de privacidade
- Quem somos / controlador.
- Escopo do aviso.
- Dados que coletamos.
- Como os dados são coletados.
- Finalidades do tratamento.
- Bases legais, quando apropriado divulgar.
- Cookies e tecnologias semelhantes.
- Compartilhamento e fornecedores.
- Transferências internacionais.
- Retenção e exclusão.
- Segurança.
- Direitos dos titulares.
- Encarregado/canal.
- Crianças e adolescentes, se relevante.
- Decisões automatizadas, se relevante.
- Alterações no aviso.
- Data da última revisão.
10 erros comuns
1. Copiar política do GDPR e trocar o nome da lei
A LGPD possui terminologia, direitos e regulamentações próprias.
2. Declarar que não compartilha dados enquanto usa dezenas de fornecedores
O aviso precisa acompanhar o data map.
3. Listar consentimento como base de tudo
Consentimento é apenas uma das bases.
4. Dizer que todo pedido será respondido em 15 dias
Evite generalizar o prazo do Art. 19.
5. Esconder contato do encarregado
Quando aplicável, a divulgação deve ser clara e objetiva.
6. Omitir cookies e publicidade
Se existem pixels, analytics ou remarketing, o aviso deve ser coerente com eles.
7. Omitir transferências internacionais
Muito comum em sites globais e SaaS.
8. Usar prazo de retenção “enquanto necessário” sem critério interno
A frase pública precisa ser sustentada por cronograma de retenção real.
9. Prometer exclusão absoluta sem considerar hipóteses de conservação
A LGPD prevê conservação em determinadas situações.
10. Tratar a política como o programa de conformidade inteiro
O aviso deve ser a saída de um processo de compliance, não o começo e fim dele.
Com que frequência atualizar?
A LGPD não estabelece uma regra universal de atualização anual. Use gatilhos de mudança: nova finalidade, fornecedor, país, produto, cookie, uso de IA, base legal, mudança regulatória ou alteração relevante no fluxo.
Perguntas frequentes
Um site estrangeiro precisa de aviso em português?
Se atende pessoas no Brasil, oferecer informação acessível em português é uma prática importante. Além disso, regras específicas de transferências podem exigir informações em português.
Posso usar gerador automático de política?
Como ponto de partida, talvez. Mas o documento precisa ser validado contra a operação real.
A política de privacidade precisa ser aceita por checkbox?
Um aviso de privacidade é principalmente instrumento de transparência; não deve ser confundido automaticamente com mecanismo de consentimento.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil