LGPD no WordPress

LGPD WordPress é o conjunto de obrigações que a Lei Geral de Proteção de Dados (Lei 13.709/2018) impõe a qualquer site brasileiro que colete dados pessoais. Formulário de contato, comentários, checkout WooCommerce, pixel de remarketing: tudo isso é tratamento de dados. Quem opera o site precisa ter base legal, consent banner, política de privacidade clara e processo para responder pedidos dos titulares. Multas vão até 50 milhões de reais por infração.

O que é LGPD

A LGPD é a lei brasileira que regula como empresas e pessoas físicas podem coletar, armazenar e usar dados pessoais. Entrou em vigor em 2020 e é fiscalizada pela ANPD, a Autoridade Nacional de Proteção de Dados. O modelo é parecido com o GDPR europeu, mas com particularidades brasileiras.

Dado pessoal é qualquer informação que identifique uma pessoa: nome, email, CPF, endereço IP, cookie de tracking, foto. A lei exige que o site tenha uma base legal para tratar esse dado, e a mais comum em contexto de marketing é o consentimento explícito do titular.

O site WordPress entra na mira porque a maioria coleta dados de algum jeito. Comentário em post salva nome e email. WooCommerce salva CPF e endereço de entrega. Plugin de chat registra conversas. Cada um desses pontos vira um ponto de exposição em caso de auditoria ou vazamento.

O confronto com a GDPR mostra que a LGPD é menos rigorosa em alguns pontos, mas tem dentes. Empresas como Eletropaulo já receberam multas, e a ANPD vem acelerando autuações desde 2023. Ignorar não é mais opção viável para nenhum site comercial.

LGPD para sites WordPress: requisitos

O primeiro requisito é mapear todo dado pessoal que o site coleta. Faça um inventário: formulários, checkout, comentários, plugins de analytics, pixels de remarketing, integração com CRM, plugins de chat. Cada fluxo precisa ter base legal definida e finalidade explícita.

O segundo é nomear um encarregado, o DPO (Data Protection Officer). Pode ser interno ou terceirizado. Empresas pequenas podem indicar o próprio dono. O nome e contato do DPO precisam estar publicados no site, geralmente na política de privacidade.

O terceiro é segurança técnica. SSL ativo em todo o site, senhas fortes no painel, firewall de aplicação, backups criptografados, atualização constante de WordPress, plugins e temas. Vazamento por plugin desatualizado é a porta mais comum de processo.

O quarto é o processo de resposta. Se um usuário pedir para ver os dados que você tem dele, ou pedir para excluir tudo, você precisa responder em até 15 dias. Sem processo definido, o pedido vira denúncia e a denúncia vira autuação.

Consent banner e política de privacidade

O consent banner é a janela que aparece na primeira visita pedindo permissão para usar cookies não essenciais. Cookies de analytics, remarketing e personalização exigem opt-in explícito. Cookies estritamente técnicos (sessão, carrinho) não exigem.

O banner precisa oferecer escolha real. Aceitar tudo, rejeitar tudo e configurar por categoria são as três opções padrão. Botão de aceitar destacado e botão de rejeitar escondido é prática que a ANPD considera consentimento viciado e pode ser autuada.

Plugins como CookieYes, Complianz e Iubenda automatizam a parte técnica: bloqueiam scripts até o consentimento, registram a escolha do usuário com timestamp e geram a política de cookies. A integração com Google Tag Manager via Consent Mode v2 garante que o GA4 e o pixel só disparem quando autorizado.

A política de privacidade é o documento que detalha tudo: que dados são coletados, com que finalidade, com quem são compartilhados, por quanto tempo são armazenados, quais os direitos do titular e como exercê-los. Modelo genérico copiado da internet não atende, porque cada site coleta dados diferentes. Precisa ser específica.

Quem usa cookies WordPress de terceiros precisa também listar cada um deles na política, com finalidade e duração. Auditorias de compliance começam exatamente por aí.

DSR (Data Subject Requests) no WP

Data Subject Request é o pedido formal que o titular faz exercendo um direito previsto na LGPD: acesso aos dados, correção, exclusão, portabilidade ou revogação de consentimento. O WordPress tem ferramentas nativas para isso desde a versão 4.9.6, em Ferramentas → Exportar Dados Pessoais e Apagar Dados Pessoais.

O fluxo nativo cobre o básico: o usuário pede, o sistema gera um arquivo .zip com todos os dados que o WordPress conhece (comentários, posts, perfil) e envia por email. Para apagar, o processo é parecido. Plugins instalados podem registrar suas próprias rotinas de export e delete via hooks.

Para sites com WooCommerce, formulários complexos ou integrações externas, o processo precisa ser mais robusto. Plugins de compliance como o Complianz extendem o fluxo nativo, capturando dados em fontes externas como Mailchimp, RD Station, HubSpot e devolvendo tudo num único arquivo.

O prazo legal é de 15 dias para responder ao pedido. Recomendação prática: monte uma rotina interna que dispare alerta no Slack ou no email do DPO toda vez que um DSR chega, e acompanhe o status até a entrega. Documentar a resposta protege em caso de fiscalização.

Para sites que precisam de compliance robusto sem montar a stack manualmente, a FULL Services entrega o AIOS (All-In-One Security) já configurado dentro da plataforma, junto com firewall, backup criptografado e monitoramento de tentativas de acesso. É a forma de ter segurança e LGPD operando juntas, com integração ao painel e atualização automática, em vez de licenciar e configurar cada camada separada. Combine com formulário de contato WordPress que já registre consentimento e você cobre o ciclo principal de coleta.