A política de privacidade LGPD, que a própria ANPD também chama de aviso de privacidade, é o texto público em que a empresa ou o escritório explica ao titular quais dados pessoais trata, para quê, com qual base legal, por quanto tempo, com quem compartilha e como a pessoa exerce seus direitos. A Lei Geral de Proteção de Dados não exige um documento com esse nome. Exige o conteúdo, e exige a forma: o art. 9º manda que essas informações sejam dadas "de forma clara, adequada e ostensiva".
Na prática, o problema raramente é a falta de um aviso. É o aviso que ninguém consegue ler: páginas de texto corrido, copiado de um modelo, com "poderemos coletar, entre outros" em cada parágrafo. Esse texto existe, mas não informa.
O que a LGPD exige de uma política de privacidade
Transparência é princípio, não detalhe
O art. 6º da Lei nº 13.709/2018 lista os princípios que todo tratamento de dados deve seguir. Um deles é a transparência:
"VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;"
Repare nos três adjetivos: clara (entendível), precisa (sem generalidades) e facilmente acessível (fácil de encontrar e de percorrer). Um aviso de privacidade que cumpre só o primeiro, ou nenhum, não atende ao princípio.
Art. 9º: o conteúdo mínimo e a forma
O art. 9º garante ao titular "acesso facilitado às informações sobre o tratamento de seus dados", que devem ser disponibilizadas "de forma clara, adequada e ostensiva". Os incisos dizem o que informar, no mínimo:
- finalidade específica do tratamento;
- forma e duração do tratamento;
- identificação do controlador;
- informações de contato do controlador;
- uso compartilhado de dados e sua finalidade;
- responsabilidades dos agentes que farão o tratamento;
- direitos do titular, com menção expressa aos do art. 18.
Dois parágrafos do mesmo artigo pesam na redação. O §1º diz que, quando o tratamento depende de consentimento, ele será nulo se as informações tiverem conteúdo enganoso ou abusivo ou não forem apresentadas com transparência. O §3º exige destaque quando o tratamento for condição para fornecer um produto ou serviço:
"o titular será informado com destaque sobre esse fato e sobre os meios pelos quais poderá exercer os direitos do titular elencados no art. 18 desta Lei."
Destaque é uma exigência visual. A lei, aqui, pede diagramação.
Os direitos do titular (art. 18)
O aviso precisa dizer quais direitos a pessoa tem e como exercê-los. O art. 18 lista: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem os dados foram compartilhados; informação sobre a possibilidade de não consentir e suas consequências; e revogação do consentimento.
Listar os nove incisos é o mínimo. Útil é dizer, ao lado de cada um, o que a pessoa faz para pedir: qual canal, que informação enviar.
O encarregado precisa aparecer
O art. 41 obriga o controlador a indicar um encarregado e, no §1º, a divulgar sua identidade e seus contatos publicamente, "de forma clara e objetiva", de preferência no site. A Resolução CD/ANPD nº 18/2024, que regulamenta a atuação do encarregado, detalha no art. 9º: a divulgação deve ficar "em local de destaque e de fácil acesso" no site, com, no mínimo, o nome completo (se pessoa natural) ou o nome empresarial e o nome da pessoa responsável (se pessoa jurídica), além de meios de contato que permitam ao titular exercer seus direitos e à ANPD enviar comunicações. Quem não tem site pode usar outros meios, especialmente os que já usa para falar com os titulares.
Um detalhe de atualização: desde a Lei nº 15.352/2026, a ANPD passou a ser a Agência Nacional de Proteção de Dados, autarquia de natureza especial que sucede a antiga Autoridade Nacional. Avisos que citam o nome antigo merecem revisão.
Aviso de privacidade e política interna: qual a diferença
Os dois documentos costumam ser confundidos porque ambos levam "política" e "privacidade" no nome. O guia orientativo sobre cookies da ANPD define o Aviso de Privacidade (ou "Política de Privacidade") como a declaração pública do agente de tratamento sobre o tratamento de dados pessoais de forma geral. A política interna é outra coisa: faz parte do programa de governança previsto no art. 50 da LGPD, que fala em "processos e políticas internas" para garantir o cumprimento das normas.
| Aspecto | Aviso de privacidade (externo) | Política interna de proteção de dados |
|---|---|---|
| Para quem | Titulares: clientes, usuários, candidatos | Sócios, equipe, prestadores |
| Objetivo | Informar sobre o tratamento e os direitos | Definir regras, papéis e procedimentos |
| Base na LGPD | Arts. 6º, VI, 9º, 18 e 41 | Art. 50 (governança e boas práticas) |
| Onde fica | Site, aplicativo, formulários, contratos | Intranet, manual, treinamento |
| Linguagem | Simples, para leigos | Técnica, para quem executa |
| Erro típico | Copiar a política interna para o site | Não ter nenhuma |
Como fazer política de privacidade com Legal Design
Legal Design aplicado à privacidade é organizar a informação para que o titular encontre a resposta em segundos. Os Legal Design Patterns servem bem a esse tipo de documento.
1. Comece pelo mapa de dados, não pelo modelo
Antes de escrever, liste o que o escritório realmente faz com dados: formulário de contato, atendimento de clientes, processos, recrutamento, newsletter, cookies do site. Cada atividade vira uma linha da tabela que aparece mais adiante. Sem esse levantamento, o texto vira genérico, porque não há nada concreto para dizer.
2. Escreva em camadas
A primeira camada é um resumo de uma tela: quem é o controlador, o que é coletado, para quê, se há compartilhamento e como falar com o encarregado. A segunda camada é o texto completo, organizado por seções, com links a partir do resumo.
A lógica de camadas já aparece nas orientações da ANPD. No guia de cookies, a agência recomenda banners de primeiro nível, com informação resumida e botões de aceitar, rejeitar e configurar, e de segundo nível, com o detalhamento por categoria. O mesmo raciocínio vale para o aviso inteiro.
3. Use perguntas como títulos
O titular chega ao aviso com uma dúvida. Títulos em forma de pergunta encurtam o caminho:
- Quais dados vocês coletam?
- Para que usam meus dados?
- Com quem compartilham?
- Por quanto tempo guardam?
- Como peço para apagar ou corrigir?
- Com quem falo sobre isso?
4. Troque parágrafos por uma tabela
A tabela "dado × finalidade × base legal × prazo" resolve de uma vez os incisos I, II e V do art. 9º. A própria ANPD, no aviso de privacidade do seu site, apresenta finalidades, titulares, hipóteses legais e categorias de dados em colunas. Um exemplo fictício para um escritório:
| Atividade | Dados | Para quê | Base legal (LGPD) | Por quanto tempo |
|---|---|---|---|---|
| Formulário de contato | Nome, e-mail, telefone, mensagem | Responder ao pedido | Procedimentos preliminares a contrato (art. 7º, V) | Defina e informe o prazo real |
| Atuação em processos | Dados do cliente e da parte contrária | Defesa em juízo | Exercício regular de direitos (art. 7º, VI) | Defina e informe o prazo real |
| Newsletter | Nome e e-mail | Enviar conteúdo | Consentimento (art. 7º, I) | Até o cancelamento |
A coluna de prazo é a que mais sofre com textos vagos. "Pelo tempo necessário" não diz nada; escreva o prazo ou o critério concreto que o escritório adota. Para outros usos de tabelas em documentos, veja fluxogramas e tabelas em documentos jurídicos.
5. Ícones, sempre com legenda
Ícones ajudam a localizar seções (dados coletados, compartilhamento, prazo, direitos), desde que acompanhem o texto e não o substituam. Um ícone sozinho é ambíguo e não é lido por leitores de tela sem texto alternativo. Mais sobre o tema em ícones em contratos: quando e como usar.
6. Linguagem simples
Frases curtas, voz ativa, "nós" e "você", termos técnicos explicados na primeira vez. Compare:
Antes: "O Controlador poderá, a seu exclusivo critério, compartilhar os Dados Pessoais do Titular com terceiros parceiros, sempre que necessário para a consecução das finalidades aqui descritas, entre outras."
Depois: "Compartilhamos seu nome e e-mail com a empresa que envia nossa newsletter. Ela só pode usar esses dados para fazer o envio. Não vendemos seus dados."
A segunda versão é mais curta e mais precisa, e cumpre melhor o art. 6º, VI. Para técnicas de redação, veja linguagem simples no Direito.
Se o serviço atende crianças e adolescentes, a exigência sobe: o art. 14, §6º, pede informação "de maneira simples, clara e acessível", considerando as características do usuário e usando recursos audiovisuais quando adequado.
Checklist do aviso de privacidade
- Identifica o controlador (nome e CNPJ) e seus contatos.
- Identifica o encarregado (nome completo ou nome empresarial e responsável) com um canal que funcione.
- Lista cada atividade de tratamento com dados, finalidade, base legal e prazo.
- Diz com quem os dados são compartilhados e para quê.
- Explica cada direito do art. 18 e como pedir.
- Destaca quando o tratamento é condição para o serviço (art. 9º, §3º).
- Explica cookies, ou remete a uma política de cookies, com opção real de recusa.
- Tem resumo na primeira tela e títulos em forma de pergunta.
- Está em português, sem jargão não explicado.
- Tem data da última atualização e é revisado quando as atividades mudam.
Erros comuns na política de privacidade
- Copiar um modelo. O modelo descreve a operação de outra empresa. O resultado lista dados que você não coleta e omite os que coleta.
- Texto genérico. "Poderemos coletar dados como, entre outros" não informa finalidade específica, que é o primeiro inciso do art. 9º.
- Misturar termos de uso e aviso. São documentos com objetivos diferentes. O aviso explica tratamento de dados; os termos regulam o uso do serviço.
- Cookies com um botão só. O guia da ANPD desaconselha banners com apenas "aceito" quando a base é o consentimento, botões de rejeitar menos visíveis que o de aceitar e cookies não necessários ativados por padrão.
- Informação só em idioma estrangeiro. Está na lista de práticas a evitar do mesmo guia.
- Esquecer de atualizar. Mudou o fornecedor de e-mail, o sistema de atendimento ou o nome da ANPD? O aviso precisa acompanhar.
O que a LGPD efetivamente muda na vida dos titulares é tema da análise de eficácia social da LGPD. E se o aviso será publicado em PDF, vale conferir também como deixar documentos jurídicos acessíveis.
Do texto ao documento diagramado
Depois que o conteúdo está certo, a forma decide se ele será lido. Na KLSN, o escritório envia o documento (DOCX ou PDF) e recebe o PDF diagramado em Visual Law com a identidade visual do escritório, em minutos. Os dados do original, como datas, artigos de lei e CNPJ, são conferidos automaticamente com o texto enviado, e os ajustes podem ser feitos conversando com a Kiar, a assistente de Legal Design da KLSN. Veja como funciona.
Perguntas frequentes
Política de privacidade é obrigatória pela LGPD?
A LGPD não exige um documento com esse nome, mas exige que o titular tenha acesso facilitado a informações claras, adequadas e ostensivas sobre o tratamento (art. 9º). Para quem tem site, aplicativo ou formulários, o aviso de privacidade publicado é a forma usual de cumprir esse dever. A identidade e o contato do encarregado também precisam estar publicados (art. 41, §1º).
Qual a diferença entre aviso de privacidade e política de privacidade?
Na prática, os termos são usados como sinônimos para o documento público. O guia de cookies da ANPD fala em "Aviso de Privacidade (ou 'Política de Privacidade')". A diferença que importa é entre esse documento externo, dirigido ao titular, e a política interna de proteção de dados, dirigida à equipe.
Escritório de advocacia precisa de aviso de privacidade?
A LGPD se aplica a qualquer operação de tratamento feita por pessoa natural ou jurídica, nos termos do art. 3º, e as exceções do art. 4º não incluem a advocacia. Escritórios tratam dados de clientes, partes contrárias, testemunhas e candidatos. Para a atuação em processos, a base costuma ser o exercício regular de direitos (art. 7º, VI), o que não dispensa a transparência sobre o tratamento.
O aviso de privacidade precisa ter o nome do encarregado?
Sim. A Resolução CD/ANPD nº 18/2024 exige, no mínimo, o nome completo do encarregado pessoa natural, ou o nome empresarial e o nome da pessoa responsável, se for pessoa jurídica. Também é preciso informar meios de contato que permitam ao titular exercer seus direitos.
Posso usar tabelas e ícones no aviso de privacidade?
Pode, e ajudam. A lei exige informação clara, precisa e facilmente acessível, sem impor formato. A própria ANPD organiza finalidades e hipóteses legais em colunas no seu aviso. Ícones devem vir sempre acompanhados de texto.
De quanto em quanto tempo devo atualizar o aviso?
A lei não fixa periodicidade. O aviso deve refletir o tratamento real, então precisa ser revisto sempre que mudar uma finalidade, um fornecedor, um prazo de guarda ou o canal do encarregado. Se a finalidade mudar de forma incompatível com um consentimento já dado, o art. 9º, §2º, exige informar o titular antes.
