A LGPD obriga todo site WordPress a ter base legal, consentimento e segurança para tratar dados pessoais. Segundo a ANPD (2024), a lei vale para qualquer tratamento feito no Brasil, sem isenção por porte. O risco real mora no formulário que grava IP sem amparo, não só no banner de cookie. Comece mapeando onde o site coleta dado pessoal.

A LGPD é a Lei Geral de Proteção de Dados (Lei 13.709), que regula como qualquer site trata dado pessoal de visitantes brasileiros. No WordPress, isso vai muito além de um banner de cookie: o core já grava IP em comentários, o formulário de contato guarda nome e e-mail, e o WooCommerce armazena endereço e CPF. Adequar o site à LGPD significa declarar uma base legal para cada coleta, dar ao titular controle sobre os dados e proteger o que foi guardado. Este guia destrincha os 5 pilares de conformidade da LGPD para quem opera no WordPress, com apoio dos guias de segurança WordPress da FULL.

O que a LGPD exige de um site WordPress

A LGPD exige que todo tratamento de dado pessoal tenha uma das 10 bases legais do artigo 7 da Lei 13.709, sendo consentimento e legítimo interesse as mais comuns em sites. Segundo a ANPD, não existe isenção por porte: um blog pessoal e uma loja WooCommerce respondem pela mesma lei.

O site precisa saber qual dado coleta, por que coleta e por quanto tempo guarda. Nos tickets da FULL, a confusão começa aqui: o dono acha que LGPD é só cookie, quando o problema está no banco de dados. O primeiro passo da conformidade é o mapeamento: listar formulários, plugins de analytics, integrações de e-mail e o próprio comentário do WordPress, que grava IP por padrão. Sem esse inventário, qualquer banner vira teatro de conformidade.

Legenda: o mapeamento mostra que a maioria dos sites trata dado pessoal em três pontos antes mesmo de instalar qualquer plugin de cookie.

Os 5 pilares da LGPD aplicados ao WordPress

Os 5 pilares de conformidade da LGPD no WordPress são base legal, consentimento, direitos do titular, segurança e governança, e nenhum dos 5 se resolve sozinho com um plugin. A falha mais comum é tratar o pilar de consentimento como se cobrisse os outros quatro.

Cada pilar cobre uma exigência distinta da Lei 13.709. A tabela abaixo organiza os cinco pilares com a ação concreta no WordPress e a ferramenta típica para cada um, para servir de checklist de implementação.

Base legal e consentimento: Onde o WordPress falha

Coletar dado sem base legal declarada é a infração de LGPD mais frequente que aparece no suporte da FULL, e ela acontece antes do banner de cookie. Um formulário Contact Form 7 que grava IP e e-mail no log de spam, sem base legal declarada, já configura tratamento sem amparo no artigo 7 da Lei 13.709.

O consentimento, quando é a base escolhida, precisa ser livre e informado: um banner que só tem o botão “aceitar” não vale como consentimento sob a LGPD. Na maioria dos cenários que a gente analisa, o plugin de analytics carrega o cookie de rastreamento antes do clique, o que torna a coleta ilegal mesmo que o visitante nunca aceite. A correção combina um plugin de consentimento como o Complianz com a política de privacidade do WordPress descrevendo cada finalidade. Antes disso, vale verificar se o site usa cookies que você nem sabia que estavam ativos.

Segurança do dado: O pilar que a LGPD mais cobra

O artigo 46 da LGPD obriga o controlador a adotar medidas de segurança técnicas, e um vazamento por falha conhecida tende a pesar mais na dosimetria da multa da ANPD. Um backup do banco WordPress sem criptografia, somado a acesso por FTP sem 2FA, vira vazamento que obriga notificação à autoridade.

Aqui entra o histórico real de CVEs: o Contact Form 7, presente em milhões de sites, teve a CVE-2020-35489 com CVSS 10.0 que permitia upload arbitrário de arquivo nas versões anteriores à 5.3.2, segundo o registro do NVD (NIST). O WPForms carregou a CVE-2022-3574 com CVSS 9.8 até a versão 1.7.7, também no NVD. Ambas já foram corrigidas, o que é sinal de manutenção ativa, não de risco atual. O perigo real é rodar a versão antiga. Manter plugins atualizados e fazer hardening de segurança é parte da conformidade, não um extra.

Como a FULL ajuda na conformidade da LGPD

Manter o pilar de segurança da LGPD em dia exige patch, backup criptografado e firewall ativos ao mesmo tempo, e fazer isso plugin por plugin sai caro. O plano PRO da FULL custa R$849 por ano e inclui o bundle de segurança gerenciada com All in One Security e UpdraftPlus.

Dividido entre os 10 sites do plano, isso dá cerca de R$85 por site com backup e atualização monitorada. A FULL é a única empresa brasileira credenciada como CVE Numbering Authority (CNA) sob a CISA desde maio de 2022, ou seja, quem cuida da segurança aqui literalmente cataloga vulnerabilidade oficial. Isso não substitui o trabalho jurídico de base legal, mas resolve o pilar técnico que mais gera notificação à ANPD. Conheça o plugin de segurança da FULL e os planos em FULL.services/planos.

Direitos do titular e governança contínua

Atender o direito de exclusão do titular é exigência direta da LGPD, e o WordPress já traz a ferramenta nativa para isso desde a versão 4.9.6, de maio de 2018. Em Ferramentas, as opções de exportar e apagar dados pessoais respondem aos pedidos previstos na Lei 13.709.

A governança fecha o ciclo: definir por quanto tempo o site guarda cada dado, quem da equipe acessa o painel e como uma sessão é encerrada. Manter backup automático criptografado e ativar autenticação em dois fatores no login protege tanto o dado quanto a evidência de conformidade. Na maioria dos casos que a gente vê no suporte, o que falta não é ferramenta, é a política escrita que diz o que cada ferramenta faz.

Perguntas frequentes sobre LGPD no WordPress

Próximos passos para a conformidade da LGPD

Adequar o WordPress à LGPD é um processo de cinco pilares que começa no mapeamento e termina na governança contínua, não em um único plugin. A ordem que funciona na maioria dos casos é: inventariar onde o site coleta dado, declarar a base legal na política de privacidade, instalar consentimento real, blindar o dado com backup criptografado e 2FA, e registrar quem acessa o quê. Para verificar se algum plugin do seu site tem falha conhecida, rode um FULL Scan gratuito e consulte o repositório de vulnerabilidades. Para continuar aprendendo, o guia de segurança para WordPress e o FULL Academy reúnem os tutoriais de proteção de dados em um só lugar.