LGPD para negócio digital: obrigações desde o 1º lead

Um infoprodutor cria sua primeira landing page, conecta um formulário a uma ferramenta de e-mail marketing e recebe o primeiro cadastro: nome, e-mail, telefone. Nesse instante, antes de qualquer venda acontecer, esse negócio já se tornou agente de tratamento de dados pessoais. A LGPD (Lei 13.709/2018) não reserva suas obrigações para empresas grandes ou para quem já tem uma base robusta de contatos. Ela se aplica a partir do primeiro registro.

Esse é o ponto que costuma escapar de quem está estruturando um negócio digital: a ideia de que ‘ainda é cedo para se preocupar com LGPD’ porque a operação é pequena. A lei não distingue por volume. Distingue por conduta: houve coleta, armazenamento ou uso de dado pessoal? Se sim, há tratamento, e há obrigações.

O que conta como dado pessoal em um negócio digital

Nome, e-mail, telefone, CPF, endereço de IP e até o comportamento de navegação em uma página de vendas podem ser dados pessoais, conforme o art. 5º da LGPD. Não é preciso que a informação seja sensível para que a lei incida. Um lead que preenche um formulário para baixar um material gratuito já gerou um dado pessoal sob responsabilidade de quem o coletou.

Isso significa que ferramentas comuns do dia a dia digital — formulários de captura, pixels de rastreamento, integrações com plataformas de automação de e-mail — são, tecnicamente, pontos de tratamento de dados. Cada uma delas exige que o negócio saiba responder: para que estou coletando isso, por quanto tempo vou guardar, e com quem vou compartilhar.

Consentimento não é uma caixinha marcada por padrão

O consentimento, tratado no art. 8º da LGPD, precisa ser livre, informado e inequívoco. Isso tem consequência prática: uma caixa de aceite já marcada por padrão, ou um texto genérico do tipo ‘ao continuar você concorda com nossos termos’, tende a não atender ao padrão exigido. O titular do dado precisa entender, no momento da coleta, para que aquele dado será usado.

Em um negócio digital, isso costuma aparecer em três frentes: o formulário de captura de lead, o checkout de venda e as automações de e-mail que seguem depois da conversão. Cada uma dessas frentes pode ter uma finalidade diferente — nutrir um lead não é o mesmo que processar um pagamento —, e a base legal para tratar o dado pode variar conforme a finalidade, nos termos do art. 7º da lei.

Obrigações que nascem junto com o primeiro lead

Desde o primeiro cadastro, um negócio digital já deveria ter organizado, no mínimo:

• Uma política de privacidade acessível, que descreva que dados são coletados e para qual finalidade.
• Clareza sobre onde os dados são armazenados e por quanto tempo permanecem na base.
• Um canal para que o titular exerça os direitos previstos no art. 18 da LGPD, como solicitar a exclusão dos seus dados.
• Critério definido sobre quais ferramentas terceiras (plataformas de automação, gateways de pagamento, CRMs) recebem esses dados e sob qual finalidade.

Nenhum desses pontos exige uma estrutura complexa. Exige, sim, que sejam definidos antes de a base de leads crescer — porque corrigir a forma de coleta depois que milhares de contatos já foram captados é bem mais trabalhoso do que estruturar o processo desde o início.

Por que isso importa para quem está começando

Negócios digitais em fase inicial costumam tratar a LGPD como uma etapa futura, associada ao momento em que ‘a operação crescer’. Na prática, é o contrário: quanto antes a coleta de dados é organizada, menor o retrabalho depois. Um formulário bem desenhado, um texto de consentimento claro e uma política de privacidade correspondente à realidade do negócio evitam que o crescimento da base de leads se torne, também, o crescimento de uma exposição não avaliada.