📚 Relacionado: por que seu site nao converte • landing page que converte • design que vende vs design bonito
TL;DR
- Em fevereiro de 2026, a Lei 15.352/2026 transformou a ANPD numa agência reguladora de verdade, no mesmo patamar de Anatel e Aneel, com poder de fiscalização ampliado (Gov.br/ANPD, 2026).
- 77% dos pequenos negócios brasileiros ainda não tomaram nenhuma providência concreta de adequação à LGPD, mesmo quase cinco anos após a lei entrar em vigor (Sebrae, Agência Sebrae de Notícias, 2025).
- Um vazamento de dados custa em média R$7,19 milhões no Brasil, alta de 6,5% sobre 2025 — e um formulário de contato mal configurado é, na prática, uma porta de entrada de dados pessoais (IBM, Cost of a Data Breach Report, 2025).
Um formulário de contato parece a parte mais simples de um site institucional — nome, e-mail, telefone, uma caixa de mensagem. Só que, do ponto de vista da lei, cada um desses campos é dado pessoal, e coletá-los sem cumprir a LGPD (Lei 13.709/2018) é infração, mesmo quando ninguém nunca vaza nada. Em 2026, a ANPD deixou de ser um órgão de orientação e virou uma agência reguladora com estrutura para fiscalizar. Para quem tem site com formulário de contato, newsletter ou orçamento — ou seja, praticamente todo site institucional — isso muda o cálculo de risco.
O Que a LGPD Exige Especificamente de um Formulário de Contato?
A LGPD exige três coisas de qualquer formulário que colete dado pessoal: base legal para o tratamento, transparência sobre a finalidade, e — na maioria dos casos de site institucional — consentimento explícito do titular (Lei 13.709/2018, Art. 7º e Art. 9º). Não basta ter um campo "Aceito os termos" escondido no rodapé.
Na prática, três elementos costumam faltar nos formulários de sites institucionais brasileiros: um checkbox de consentimento que não venha pré-marcado, um link visível para a política de privacidade no mesmo momento da coleta, e uma frase clara sobre o que vai ser feito com aquele dado — só responder o contato, ou também entrar numa lista de e-mail marketing? São coisas diferentes, e a lei trata como consentimentos diferentes. Vale revisar isso junto com a própria otimização do formulário de contato para gerar mais leads: conformidade e conversão não competem entre si, andam juntas quando o formulário é bem desenhado.
Isso Vale Para Site Pequeno Também?
Sim. A LGPD não tem piso de faturamento ou tamanho de empresa para valer — um site institucional de uma clínica odontológica de bairro está sujeito às mesmas regras de base legal e transparência que um grande e-commerce, ainda que a ANPD costume aplicar critério de proporcionalidade na fiscalização de pequenos negócios.
Por Que 2026 Mudou o Jogo Para Quem Ainda Não se Adequou?
2026 mudou porque a ANPD parou de ser só um órgão consultivo. A Lei 15.352/2026, sancionada em 25 de fevereiro, transformou a Autoridade Nacional de Proteção de Dados numa agência reguladora com autonomia funcional, técnica e administrativa — o mesmo modelo institucional de Anatel, Aneel e Ancine (Gov.br/ANPD, "ANPD ganha nova estrutura e se consolida como agência reguladora", 2026).
A nova estrutura trouxe seis superintendências, entre elas uma dedicada só a Fiscalização, e 200 novos cargos de especialista em regulação e fiscalização, preenchidos por concurso público (Gov.br/ANPD, 2026). Isso significa capacidade real de abrir processo, não só publicar nota técnica. A mesma reestruturação também deu à ANPD a responsabilidade de regulamentar o ECA Digital, em vigor desde março de 2026 — mais um motivo para a agência estar com o radar ligado sobre coleta de dados online, inclusive de menores.
Um formulário de contato coleta dado pessoal mesmo quando o site não vende nada — e por isso está sujeito à LGPD como qualquer outro ponto de coleta.
O Que Isso Significa Na Prática Para uma Empresa Pequena?
Significa que a chance de uma reclamação de titular virar processo administrativo, e não só um pedido de esclarecimento, aumentou. A ANPD prevê tratamento diferenciado para micro e pequenas empresas em alguns aspectos regulatórios, mas isso não é isenção — é prazo e proporcionalidade, não ausência de responsabilidade. É o mesmo tipo de risco silencioso que já discutimos ao falar do custo real de um site ruim: o problema não aparece todo santo dia, mas quando aparece, custa mais do que teria custado prevenir.
Quanto Custa Não Se Adequar?
Não se adequar custa de duas formas: multa administrativa, e o custo direto de um eventual vazamento. A multa simples da LGPD pode chegar a 2% do faturamento da empresa no último exercício, limitada a R$50 milhões por infração (Lei 13.709/2018, Art. 52). Para a maioria dos sites institucionais de pequenas empresas, o valor prático da multa tende a ser bem menor que o teto — mas o teto existe, e a fiscalização agora tem estrutura para chegar até ele.
O outro lado do custo é o vazamento em si. O custo médio de uma violação de dados no Brasil chegou a R$7,19 milhões em 2025, uma alta de 6,5% sobre os R$6,75 milhões de 2024 (IBM, Cost of a Data Breach Report, 2025). Phishing foi o vetor de ataque mais comum, respondendo por 18% dos casos, com custo médio de R$7,18 milhões por incidente (IBM, 2025). Um formulário de contato mal protegido — sem validação, guardando dado em texto puro, exposto a bots — é exatamente o tipo de porta de entrada que engorda essa estatística.
A multa da LGPD e o custo de um vazamento raramente aparecem lado a lado, mas resolvem o mesmo problema por ângulos diferentes: a multa é o risco de ser pego sem estar em conformidade; o custo do vazamento é o risco de estar em conformidade no papel e falhar na execução técnica. Um formulário de contato bem configurado reduz os dois ao mesmo tempo, porque a maior parte da adequação — consentimento, transparência, finalidade — também é o que evita que o formulário vire porta de entrada de ataque.
Pequenas Empresas Têm Algum Tipo de Proteção Especial?
Têm regras diferenciadas de prazo e proporcionalidade na fiscalização, mas 77% dos pequenos negócios brasileiros ainda não tomaram nenhuma providência concreta de adequação, e apenas 5% dos empreendedores afirmam conhecer bem a lei, segundo pesquisa do Sebrae (Agência Sebrae de Notícias, "LGPD ainda é desconhecida para maioria dos pequenos negócios", 2025). Isso deixa a maioria exposta justamente no momento em que a fiscalização ganhou estrutura.
Preencher um formulário de contato parece um gesto trivial para o visitante — mas cada campo enviado é dado pessoal sob a LGPD, com regras próprias de coleta, uso e descarte.
Sites Institucionais e E-commerce Seguem as Mesmas Regras?
Sim, os princípios são os mesmos — base legal, transparência, finalidade específica —, mas o volume e o tipo de dado tratado muda o nível de exigência prática. Um site institucional que só coleta nome, e-mail e telefone num formulário de contato tem uma superfície de risco menor que um e-commerce que processa CPF, endereço e dado de pagamento, mas isso não isenta o site institucional: a mesma base legal e o mesmo dever de transparência se aplicam a qualquer dado pessoal coletado, pouco importa o volume.
Isso também vale para integrações comuns em site institucional — formulário conectado a uma planilha do Google, a um CRM, a uma ferramenta de e-mail marketing. Cada uma dessas integrações é um novo ponto onde o dado pessoal transita, e cada uma precisa estar coberta pela mesma política de privacidade que o visitante aceitou no formulário original. É o tipo de cláusula que deveria constar no mesmo contrato que já trata de garantia, prazo e o que toda agência deveria oferecer — conformidade com a LGPD não é um adicional à parte, é parte do escopo básico de um site institucional.
Dos seis itens do checklist a seguir, o checkbox de consentimento não pré-marcado e o prazo de retenção definido tendem a ser os mais fáceis de esquecer — não por serem tecnicamente difíceis, mas porque nenhum construtor de formulário popular os ativa por padrão. Exigem ajuste manual deliberado, o que os torna o primeiro lugar para checar numa auditoria rápida.
Checklist Prático: 6 Itens Para Colocar Seu Formulário em Conformidade
Um formulário de contato consegue chegar perto da conformidade básica sem virar um projeto jurídico caro, resolvendo seis pontos técnicos e um de redação:
- Checkbox de consentimento não pré-marcado, separado do botão de enviar — o titular precisa optar ativamente, não apenas não recusar.
- Link visível para a política de privacidade no mesmo formulário, não só no rodapé do site.
- Frase clara de finalidade: "seus dados serão usados apenas para responder este contato" é diferente de "você também receberá nossa newsletter" — não misture as duas sem dois consentimentos.
- Prazo de retenção definido: dado de lead que não virou cliente não precisa ficar guardado para sempre.
- Canal de contato do encarregado de dados (DPO) visível, ainda que seja um e-mail simples — a LGPD exige um ponto de contato para o titular exercer seus direitos.
- Validação técnica do formulário contra bots e scraping, reduzindo a superfície de ataque que alimenta as estatísticas de vazamento.
Nenhum desses itens exige reconstruir o site do zero. A maior parte é ajuste de configuração e de texto — o tipo de correção que custa mais caro quando feito depois de uma notificação da ANPD do que quando feito antes. É também um dos pontos que vale incluir no checklist anti-furada antes de fechar com qualquer agência de site: perguntar, por escrito, se o formulário entregue já nasce em conformidade com a LGPD ou se isso fica por conta do cliente depois. Se seu site atual já apresenta algum desses seis pontos em aberto, dá para entrar em contato e revisar o formulário antes que vire um problema maior.
A política de privacidade não é um documento decorativo — ela precisa refletir exatamente o que o formulário do site faz com o dado coletado.
Perguntas Frequentes
Um site institucional pequeno realmente precisa se preocupar com a LGPD?
Sim. A lei não tem piso de faturamento ou de porte de empresa — qualquer site que colete dado pessoal, mesmo um formulário simples de contato, está sujeito à LGPD. A fiscalização tende a priorizar casos maiores, mas 77% das pequenas empresas ainda não se adequaram, segundo o Sebrae, o que deixa a maioria exposta (Agência Sebrae de Notícias, 2025).
Quanto pode custar uma multa da LGPD?
A multa simples pode chegar a 2% do faturamento da empresa no último exercício, limitada a R$50 milhões por infração (Lei 13.709/2018, Art. 52). Para a maioria das pequenas empresas, o valor efetivo tende a ser proporcional ao porte, mas a estrutura de fiscalização da ANPD, ampliada pela Lei 15.352/2026, aumentou a chance de um caso pequeno virar processo.
Basta ter uma política de privacidade no site para estar em conformidade?
Não. A política de privacidade é uma peça do processo, não o processo inteiro. A LGPD também exige base legal para cada coleta, consentimento explícito quando aplicável, finalidade clara e um canal para o titular exercer direitos como exclusão e correção do dado.
O que muda com a ANPD virar agência reguladora em 2026?
A ANPD ganhou autonomia funcional, técnica e administrativa comparável a Anatel e Aneel, seis superintendências (incluindo uma de Fiscalização) e 200 novos cargos de especialista via concurso público (Gov.br/ANPD, 2026). Na prática, isso significa mais capacidade real de abrir e conduzir processos administrativos, não apenas publicar orientação.
Conclusão
A LGPD não é novidade em 2026, mas a capacidade de fiscalização é. Se você ainda está decidindo como escolher uma agência de criação de sites, conformidade com a LGPD é uma pergunta tão básica quanto prazo e portfólio — não um detalhe técnico para resolver depois.
Este texto foi escrito por Eduardo Mendonça, à frente da Desenvolve Sites, com base nas fontes oficiais listadas abaixo — nenhum dado deste artigo foi estimado ou inventado. Com a ANPD reestruturada como agência reguladora e 77% das pequenas empresas ainda sem nenhuma providência concreta, a distância entre "ter um formulário de contato" e "ter um formulário de contato em conformidade" deixou de ser um detalhe técnico para virar um risco financeiro mensurável — seja pela multa, seja pelo custo médio de R$7,19 milhões de um vazamento de dados no Brasil. Nenhum dos seis ajustes do checklist acima exige refazer o site. Exige, antes de mais nada, olhar para o formulário de contato como o ponto de coleta de dados que ele sempre foi.