LGPD: 99% dos sites brasileiros não atendem pedidos de dados

Imagine que amanhã de manhã um cliente manda um e-mail assim:

"Quero saber quais dados vocês têm sobre mim. E depois quero que apaguem tudo."

A Lei Geral de Proteção de Dados dá a ele esse direito. E dá a você um prazo para responder. A pergunta prática é: para onde esse e-mail vai? Existe um endereço específico? Alguém é responsável? Tem uma página no site explicando como fazer o pedido?

Analisamos 19.846 sites brasileiros procurando exatamente isso. Em 99,1% deles não existe nenhum canal — nem página, nem e-mail dedicado, nem formulário, nem sequer uma menção de que o direito existe.

São 19.664 sites. Apenas 182 tinham algo.

O que os dados mostram

A Klarim descobre sites brasileiros automaticamente e roda 48 verificações em cada um, sem invadir nada — só olhamos o que qualquer visitante veria. Oito dessas verificações são sobre privacidade. Este é o resultado em 19.846 sites:

O que verificamos	Sites que falham	%
Canal de direitos do titular	19.664	99,1%
Política de cookies	19.198	96,7%
Banner de cookies	16.586	83,6%
Identificação do encarregado (DPO)	15.353	77,4%
Política de privacidade	14.786	74,5%
Headers de segurança em formulários	5.407	27,2%
Cookies de terceiros antes do aceite	43	0,2%
HTTPS em formulários	16	0,1%

Leia essa tabela de baixo para cima e ela conta uma história bem diferente da que se costuma ouvir.

A parte técnica já está resolvida

As duas últimas linhas são as boas notícias, e elas são grandes.

99,9% dos sites brasileiros já enviam dados de formulário por conexão segura. De 19.846 sites, só 16 ainda mandam o que o cliente digita em texto aberto. Isso era um problema sério há cinco anos. Hoje, praticamente não é mais — os provedores de hospedagem passaram a entregar certificado de segurança de graça e o problema se resolveu sozinho.

E 99,8% não instalam rastreadores de terceiros antes do visitante aceitar. Só 43 sites fazem isso. Ou seja: o site brasileiro típico não é uma máquina de vigilância. Ele nem tem estrutura para isso.

Isso muda o diagnóstico. O buraco da LGPD nas pequenas empresas brasileiras não é tecnológico. É de organização. Ninguém escreveu a página, ninguém criou o e-mail, ninguém colocou o nome de um responsável no rodapé.

E aqui vai a implicação prática: se o problema fosse técnico, você precisaria contratar alguém. Como é de processo, dá para resolver quase tudo numa tarde.

Por que o canal de direitos é o mais grave

Dos oito indicadores, o canal de direitos é o que quase ninguém tem — e é o único que a lei transforma numa obrigação com prazo.

Política de privacidade é um documento. Se ele está lá, cumpre a função de informar. Banner de cookies é um aviso. Se aparece, cumpre a função de perguntar.

Mas o direito do titular é uma ação que você precisa executar. O cliente pede, você tem que fazer. Acessar, corrigir, portar, apagar. E o relógio começa a correr no momento em que ele pede.

Sem canal, acontece uma de duas coisas, e as duas são ruins:

O pedido se perde. Ele cai no e-mail de vendas, na caixa de entrada do Instagram ou no WhatsApp da recepção. Ninguém reconhece como pedido formal. O prazo vence sem que ninguém dentro da empresa soubesse que existia um prazo.

Ou o cliente vai direto reclamar. Se ele procura no site e não acha para onde escrever, o próximo passo natural é a Autoridade Nacional de Proteção de Dados. Você descobre o pedido quando ele já virou reclamação.

O canal não é burocracia. É o para-raios que faz o pedido chegar em alguém antes de virar problema.

Quatro coisas que dá para fazer neste fim de semana

Nada aqui exige desenvolvedor, plugin pago ou consultoria. Ordem de prioridade pelo que os dados mostram estar mais faltando:

1. Crie um e-mail dedicado e coloque no rodapé

Algo como [email protected]. Não precisa ser uma pessoa em tempo integral — precisa ser um endereço que alguém realmente abre. Uma linha no rodapé de todas as páginas: "Pedidos sobre seus dados pessoais: [email protected]".

Isso sozinho já coloca você no grupo de 0,9% que tem algo.

2. Escreva quem é o responsável

A lei chama de encarregado (ou DPO). Em empresa pequena, é o dono, o gerente ou o contador — não precisa ser um cargo novo. Precisa ser um nome e um contato públicos. 77,4% dos sites não têm isso.

3. Publique uma política de privacidade de verdade

Um em cada quatro sites brasileiros tem. Não precisa ser um contrato de 20 páginas — precisa responder, em português claro:

• Que dados você coleta (nome e e-mail do formulário? cookies? histórico de compra?)
• Para que usa
• Com quem compartilha (a plataforma de e-mail marketing conta, o sistema de pagamento conta)
• Por quanto tempo guarda
• Como a pessoa pede acesso ou exclusão

Se você não sabe responder alguma dessas, essa é a informação mais valiosa que este artigo te deu — porque significa que existe um dado circulando na sua empresa sem dono.

4. Ajuste o banner de cookies

83,6% dos sites não têm. Mas atenção a um detalhe que quase todo mundo erra: banner que já vem com tudo aceito não vale. Se as ferramentas de análise carregam antes do clique, o banner é decorativo. O consentimento precisa vir antes.

Se o seu site não usa nenhuma ferramenta de análise ou anúncio, você talvez nem precise de banner. Vale checar antes de instalar por instalar.

Uma nota sobre o que este artigo é e não é

Nossas verificações são técnicas e feitas de fora, como qualquer visitante. Elas mostram o que está visível no site — não avaliam a conformidade jurídica da sua empresa, que depende de contratos, processos internos e como os dados circulam fora do site.

Um site pode passar em todos os oito indicadores e ainda ter problemas sérios de LGPD internamente. E o contrário também: pode falhar em todos e a empresa estar bem organizada, só sem ter publicado nada. O que os dados medem é a camada pública — que é justamente a que seu cliente e a ANPD veem primeiro.

Este texto também não é aconselhamento jurídico. Para situações específicas, fale com um advogado.

O quadro geral

Esses 19.846 sites fazem parte de uma base maior: já analisamos 52.295 sites brasileiros. O score médio de segurança é 74 em 100, e apenas 1,8% atingem nota verde — a faixa que exige nota alta e nenhuma falha grave.

Ou seja, o site brasileiro típico não está quebrado. Está incompleto. Faltam as peças que ninguém lembra de instalar porque não dão erro na tela: o cabeçalho de segurança, a política, o canal de contato, o nome do responsável.

São peças baratas. Só precisam ser lembradas.

---

Verifique o seu site

A análise é gratuita e leva cerca de 30 segundos. Você recebe os 48 pontos verificados, incluindo os oito indicadores de privacidade deste artigo, com o que passou, o que falhou e o que fazer em cada caso.

Verificar meu site agora →

Sem cadastro para ver o resultado. Se quiser acompanhar as mudanças ao longo do tempo, dá para monitorar o site gratuitamente e receber um aviso quando algo mudar.

---

Dados extraídos da base da Klarim em 8 de agosto de 2026. Amostra: 19.846 sites brasileiros com verificação de privacidade concluída, de um total de 52.295 sites analisados. As verificações são passivas — acessamos apenas páginas públicas, sem tentativa de invasão, e nos identificamos honestamente em cada requisição.