Conformidade LGPD: sites brasileiros 2026

Existe uma diferença entre "estar preocupado com a LGPD" e "ter feito as coisas". A primeira é comum. A segunda dá para medir.

Nós medimos. Em 52.279 sites brasileiros, verificamos oito sinais públicos de adequação à lei, coisas que qualquer visitante consegue ver ao abrir o site. A nota média foi 3,4 de 8.

Não é zero. Mas também não é o que a maioria dos donos de site imagina quando alguém pergunta se está tudo certo.

Este artigo mostra os oito sinais, o que cada um significa em português claro, e o que dá para fazer sobre cada um sem contratar ninguém.

Como medimos

A Klarim descobre sites brasileiros automaticamente e analisa cada um de forma 100% passiva. Abrimos as páginas públicas exatamente como um visitante faria, lemos o que está lá e vamos embora. Nenhuma tentativa de invasão, nenhum acesso a área logada, nenhum teste de senha. Nosso robô se identifica em cada requisição.

Isso importa por dois motivos. Primeiro, é o único jeito ético de analisar sites que não nos pediram nada.

Segundo, e mais útil para você: tudo o que medimos é exatamente o que seu cliente vê. É também o que a Autoridade Nacional de Proteção de Dados veria, se resolvesse olhar.

A amostra deste artigo são 52.279 sites com verificação de privacidade concluída.

Os oito sinais, do mais presente ao mais ausente

Sinal	Em conformidade	Taxa
HTTPS em formulários	52.228	99,9%
Cookies de terceiros só após consentimento	52.151	99,8%
Headers de segurança em formulários	38.249	73,2%
Política de privacidade	12.896	24,7%
Identificação do encarregado (DPO)	11.734	22,4%
Banner de cookies	8.296	15,9%
Política de cookies	1.579	3,0%
Canal de direitos do titular	686	1,3%

Repare no formato dessa lista. Os três primeiros são altos. Os cinco últimos despencam.

A linha divisória entre eles não é dificuldade técnica. É quem precisa fazer.

O que já está resolvido, e não é mérito de ninguém

HTTPS em formulários: 99,9%. Quando alguém digita nome e telefone no seu site, esses dados viajam até o servidor. Sem HTTPS, viajam abertos, legíveis para quem estiver no caminho, como no Wi-Fi de uma cafeteria.

Praticamente todo site brasileiro já resolveu isso. Apenas 51 dos 52.279 ainda enviam dados em texto aberto.

Por que a taxa é tão alta? Porque as hospedagens passaram a entregar o certificado de graça e ligado por padrão. Ninguém precisou decidir nada.

Cookies de terceiros antes do consentimento: 99,8% em conformidade. Este sinal verifica se o site instala rastreadores de outras empresas antes de o visitante aceitar. Só 128 sites fazem isso.

O site brasileiro típico não é uma máquina de vigilância. Na maioria dos casos, ele nem tem ferramenta suficiente instalada para isso virar um problema.

Headers de segurança em formulários: 73,2%. Aqui já aparece uma decisão humana. São instruções que o site envia ao navegador dizendo, em resumo: não deixe outro site colocar meu formulário dentro de uma página falsa.

Isso protege contra golpes em que um site clonado captura o que seu cliente digita. Três em cada quatro sites têm, quase sempre porque a plataforma já vem configurada assim. Os 26,8% restantes costumam ser sites com servidor próprio, onde ninguém ajustou.

O que quase ninguém tem, e todos precisariam decidir fazer

Política de privacidade: 24,7%. Três em cada quatro sites brasileiros não têm. É o documento que explica quais dados você coleta, para que usa, com quem compartilha e por quanto tempo guarda.

Não é opcional. Se o seu site tem qualquer formulário, você coleta dados pessoais.

Identificação do encarregado: 22,4%. A lei pede que exista uma pessoa responsável por falar com clientes e com a autoridade sobre proteção de dados.

Em empresa pequena, essa pessoa é o dono, o gerente ou o contador. Não precisa ser um cargo novo nem alguém contratado. Precisa ser um nome e um contato públicos. Mais de 77% dos sites não dizem quem é.

Banner de cookies: 15,9%. Só um em cada seis sites pergunta antes de ativar rastreamento.

E aqui vai um detalhe que quase todo mundo erra: banner que já vem com tudo marcado, ou que carrega as ferramentas de análise antes do clique, é decorativo. O consentimento precisa vir antes. Recusar precisa ser tão fácil quanto aceitar.

Política de cookies: 3,0%. É diferente do banner. O banner pergunta; a política explica quais cookies existem, o que cada um faz e quanto tempo dura. Apenas 1.579 sites de mais de 52 mil têm.

Canal de direitos do titular: 1,3%. Pouco mais de um site em cada cem oferece um caminho para o cliente pedir acesso, correção ou exclusão dos próprios dados. São 686 sites.

Esse é o número mais baixo dos oito, e não por acaso. É o único que exige um processo, não apenas um documento publicado.

O que a lei realmente pede

Sem juridiquês, a LGPD organiza a vida de um site em três obrigações.

Ser transparente. A lei espera que a pessoa consiga saber o que acontece com os dados dela antes de entregá-los. É o que a política de privacidade resolve. Aqui mora o artigo 9º, que não pede um contrato de vinte páginas, e sim informação clara e acessível.

Ter alguém responsável. O artigo 41 pede que a empresa indique um encarregado e divulgue quem é. A intenção é simples: quando surgir um problema, precisa existir uma porta para bater.

Atender pedidos. O artigo 18 dá ao cliente o direito de pedir acesso, correção, portabilidade e exclusão dos dados.

E aqui está a diferença que explica a tabela inteira. As duas primeiras obrigações se cumprem publicando alguma coisa. A terceira só se cumpre respondendo, com prazo correndo a partir do pedido.

É por isso que o canal de direitos é o mais raro. Publicar um documento é uma tarefa que acaba. Atender pedidos é uma rotina que começa.

Também é por isso que a ausência dele é a mais arriscada. Sem um canal visível, o pedido do cliente cai no e-mail de vendas, no direct do Instagram ou no WhatsApp da recepção. Ninguém reconhece aquilo como pedido formal, e o prazo vence sem que ninguém na empresa soubesse que existia um prazo.

Na outra ponta, o cliente que não acha para onde escrever vai direto à ANPD. Aí você descobre o pedido quando ele já virou reclamação.

O que dá para fazer nesta semana

A ordem abaixo segue o impacto sobre a sua nota, começando pelo que quase ninguém tem.

1. Crie um endereço para pedidos de dados. Algo como [email protected]. Coloque uma linha no rodapé de todas as páginas: "Pedidos sobre seus dados pessoais: [email protected]".

Não precisa de sistema. Precisa de um endereço que alguém realmente abra. Isso sozinho já coloca você no grupo de 1,3%.

2. Diga quem é o responsável. Nome e contato, públicos, no rodapé ou na página de privacidade. Uma linha resolve.

3. Publique uma política de privacidade que responda cinco perguntas. Quais dados você coleta; para que usa; com quem compartilha (a plataforma de e-mail marketing conta, o meio de pagamento conta); por quanto tempo guarda; como a pessoa pede acesso ou exclusão.

Se você travou em alguma dessas perguntas, essa é a informação mais valiosa deste artigo. Significa que existe um dado circulando na sua empresa sem dono.

4. Faça o inventário dos seus cookies antes de instalar banner. Liste o que o site carrega hoje.

Se você não usa nenhuma ferramenta de análise ou anúncio, talvez nem precise de banner, mas precisa dizer isso na política. Se usa, o banner tem que bloquear até o aceite, e não apenas avisar.

5. Escreva a política de cookies junto. Depois do inventário do passo 4, ela é praticamente uma tabela: nome do cookie, para que serve, quanto tempo dura.

Nenhum desses cinco passos exige desenvolvedor, plugin pago ou consultoria. Quatro deles são texto.

Duas ressalvas honestas

Isto mede o que está visível, não a sua conformidade jurídica. Um site pode passar nos oito sinais e a empresa ter problemas sérios internamente: contratos sem cláusula de proteção de dados, planilha de clientes circulando por e-mail, ex-funcionário com acesso ativo.

O contrário também acontece. Empresa organizada que simplesmente nunca publicou nada. O que medimos é a camada pública. Ela importa porque é a primeira que qualquer pessoa vê, mas é uma camada, não o todo.

Nada aqui é aconselhamento jurídico. Somos uma plataforma de dados, não um escritório de advocacia. Para avaliar a situação específica da sua empresa, consulte um advogado especializado em LGPD. Este artigo serve para você chegar nessa conversa sabendo o que perguntar.

Verifique seu site

O teste é gratuito, leva cerca de 30 segundos e mostra os oito sinais deste artigo aplicados ao seu domínio: quais você já tem, quais faltam e o que fazer em cada caso.

Testar meu site em klarim.net/ferramentas/teste-lgpd

Sem cadastro para ver o resultado.

Se a sua nota vier abaixo de 3,4, você está abaixo da média brasileira. Se vier acima de 5, você está num grupo bem pequeno.

---

Dados extraídos da base da Klarim em 12 de agosto de 2026. Amostra: 52.279 sites brasileiros com verificação de privacidade concluída. As verificações são passivas. Acessamos apenas páginas públicas, sem qualquer tentativa de invasão, e nos identificamos em cada requisição.