Quase todo site de empresa tem um formulário de contato, e nem sempre ele foi pensado com a LGPD na cabeça. Para um formulário simples, o que a lei pede é razoável.
Este texto é informativo e não substitui orientação jurídica. Para casos específicos, converse com um advogado da área.
Peça só o que você vai usar
O artigo 6º da LGPD lista os princípios do tratamento de dados. Um deles, o da necessidade, fala em limitar o tratamento “ao mínimo necessário” para a finalidade, com dados “pertinentes, proporcionais e não excessivos” (Lei 13.709/2018).
Traduzindo para o formulário: se você só vai responder o contato, precisa de um nome, um jeito de responder (e-mail ou telefone) e a mensagem. CPF, data de nascimento e endereço completo num formulário de “fale conosco” são difíceis de justificar.
O formulário deste site pede exatamente três campos: nome, e-mail ou WhatsApp, e a mensagem.
Diga por que está pedindo
A lei trabalha com o princípio da finalidade e da transparência. Na prática, uma frase curta perto do botão resolve: “Usamos esses dados só para responder seu contato”. E um link para a política de privacidade explicando o resto.
Qual é a base legal
O artigo 7º lista as hipóteses em que o tratamento é permitido. Para formulário de contato, as mais comuns são:
- Inciso V: quando necessário para “procedimentos preliminares relacionados a contrato” do qual o titular seja parte, a pedido do titular. É o caso de quem preenche o formulário pedindo um orçamento.
- Inciso I: consentimento. É a base mais segura se você quiser usar o mesmo contato para mandar newsletter ou promoções depois. O legítimo interesse também pode servir em alguns casos, mas exige uma avaliação documentada.
- Inciso IX: legítimo interesse, que exige avaliar se os direitos do titular não prevalecem.
O erro clássico é usar o formulário de orçamento como porta de entrada da lista de e-mail marketing sem pedir permissão. Se for fazer isso, coloque uma caixa de seleção separada, desmarcada por padrão.
Os direitos que a pessoa pode exercer
O artigo 18 garante ao titular, entre outros, o direito de pedir confirmação de que você trata dados dele, acesso, correção, eliminação de dados desnecessários e informação sobre com quem os dados foram compartilhados.
Você não precisa de um sistema complexo para isso. Precisa de um canal que funcione e de alguém que responda.
Regra especial para pequenas empresas
A LGPD exige, no artigo 41, a indicação de um encarregado (o DPO). Mas a Resolução CD/ANPD nº 2/2022 criou um regime mais leve para agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups. O artigo 11 da resolução diz que esses agentes não são obrigados a indicar encarregado, mas quem não indicar deve disponibilizar um canal de comunicação com o titular (ANPD). A dispensa não vale para quem faz tratamento de alto risco ou passa dos limites de faturamento previstos na própria resolução (art. 3º).
Um e-mail publicado na política de privacidade, que alguém realmente lê, cumpre esse papel.
Segurança básica
- Site com HTTPS em todas as páginas.
- O formulário não deve gravar mensagens em lugar desprotegido. Se não precisa guardar, não guarde.
- Proteção contra spam que não colete dado extra sem necessidade.
- Defina por quanto tempo os contatos ficam guardados e apague o que não for mais útil.
E se der errado
O artigo 52 prevê sanções que vão de advertência a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. Esse é o teto. O valor aplicado depende da gravidade, da boa-fé, da condição econômica do infrator e dos outros critérios do § 1º do mesmo artigo. Como ajustar um formulário é simples, não vale deixar para depois.
Checklist rápido
- Formulário pede só nome, forma de contato e mensagem.
- Frase curta explicando a finalidade, perto do botão.
- Link para a política de privacidade.
- Newsletter só com caixa de seleção própria, desmarcada.
- Canal para pedidos sobre dados, publicado e monitorado.
- HTTPS e nada guardado sem necessidade.
Fontes
- Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), texto compilado. Planalto (Presidência da República). consultado em outubro de 2026.
- Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (regulamento para agentes de tratamento de pequeno porte). Diário Oficial da União, publicada em 28/01/2022. consultado em outubro de 2026.