LGPD na prática para pequenas empresas: o que a lei pede do site
A LGPD exige medidas técnicas de proteção de dados. Veja o que isso significa para o site de uma clínica, loja ou escritório, sem juridiquês.
O que a lei realmente pede
O artigo 46 da LGPD é direto: o controlador deve adotar medidas de segurança, técnicas e administrativas, capazes de proteger os dados pessoais de acessos não autorizados e de situações acidentais de destruição, perda ou alteração. Não é só política escrita — é configuração de servidor, controle de acesso e registro do que foi feito.
Onde o site entra nessa história
Formulário de contato, checkout, área de cliente e blog com comentários coletam dados pessoais. Se esse site está em HTTP, com banco aberto ou com .env exposto, a empresa tem um vazamento esperando acontecer — e um incidente que poderia ter sido evitado.
Prova de diligência vale mais que promessa
Em caso de incidente, a autoridade olha o que a empresa fez antes. Um relatório datado mostrando os achados, a correção aplicada e a nova verificação é a diferença entre "não sabia" e "identifiquei e tratei". Isso não elimina a multa, mas muda completamente a conversa.
Checklist mínimo para o site
HTTPS válido e forçado; cabeçalhos de segurança ativos; nenhum arquivo de configuração acessível; banco fora da internet; painel administrativo com autenticação forte e segundo fator; backup testado (backup que nunca foi restaurado não é backup); log de acesso guardado.
Quando é preciso ir além
Dados sensíveis (saúde, biometria, financeiro), grande volume de titulares ou integração com sistemas de terceiros pedem auditoria de adequação completa: mapeamento de dados, base legal por finalidade, retenção definida, encarregado nomeado e plano de resposta a incidentes.
Comece pelo que é barato e resolve a maior parte do risco: o site. Uma avaliação de superfície mostra em minutos se você está expondo dados que a lei manda proteger.