Consentimento na LGPD: quando o formulário do site precisa da caixinha de aceite

Resposta curta: nem todo dado pessoal precisa de consentimento. A LGPD lista dez motivos que permitem usar dados, e o consentimento é só um deles. Um formulário de contato ou de pedido de orçamento, que usa o nome e o telefone só para responder a quem escreveu, normalmente se apoia em outro motivo: o atendimento a um pedido da própria pessoa. O consentimento entra quando você quer usar o dado para algo além disso, como mandar novidades, publicar um depoimento com o nome do cliente ou instalar ferramentas de anúncio. Nesses casos, ele precisa ser livre, informado, para uma finalidade específica, com a caixinha desmarcada, e você precisa conseguir provar que a pessoa aceitou.

Quando eu reviso o site de um cliente, a caixinha “Li e aceito a política de privacidade” quase sempre está lá, marcada como obrigatória, no formulário de contato. Muitas vezes ela não é necessária ali, e falta justamente onde faria diferença: na inscrição para receber novidades ou no uso de depoimentos.

Neste artigo eu explico quando a lei pede consentimento, quando ele não é o caminho e como pedir do jeito certo. Não é parecer jurídico: as referências são a LGPD (Lei 13.709/2018) e os guias da ANPD. Casos com dados de saúde ou de crianças merecem conversa com um advogado especializado em proteção de dados.

O que é consentimento na LGPD?

O artigo 5º da LGPD define consentimento como a manifestação livre, informada e inequívoca pela qual a pessoa concorda com o uso dos seus dados para uma finalidade determinada. Traduzindo cada palavra:

• Livre: a pessoa pode dizer não sem ser prejudicada naquilo que veio buscar.
• Informada: ela sabe quem vai usar os dados, para quê e por quanto tempo antes de aceitar.
• Inequívoca: existe uma ação clara de concordar, como marcar uma caixa ou clicar em “aceito”. Silêncio, caixa já marcada ou “ao continuar navegando você concorda” não contam.
• Finalidade determinada: o aceite vale para um uso específico, como “receber o informativo mensal por e-mail”. O artigo 8º diz que autorizações genéricas são nulas.

Todo dado pessoal precisa de consentimento?

Não, e esse é o erro mais comum. O artigo 7º da LGPD lista as bases legais, que são os motivos aceitos pela lei para usar dados pessoais. Entre elas:

1. Consentimento da pessoa (inciso I).
2. Cumprimento de obrigação legal, como guardar documentos que a lei manda guardar (inciso II).
3. Execução de contrato ou de procedimentos preliminares pedidos pela própria pessoa, como responder a um pedido de orçamento ou prestar o serviço contratado (inciso V).
4. Exercício regular de direitos em processo judicial ou administrativo (inciso VI).
5. Legítimo interesse da empresa, desde que não passe por cima dos direitos da pessoa (inciso IX). Em 2024, a ANPD publicou um guia orientativo sobre legítimo interesse, com exemplos e um teste de equilíbrio entre o interesse da empresa e os direitos da pessoa.

Escolher a base certa importa por um motivo prático: o consentimento pode ser retirado a qualquer momento. Se você apoia no consentimento algo de que precisa para prestar o serviço, como o cadastro de um cliente ativo, e ele revoga, você fica sem motivo para continuar usando aqueles dados. Por isso, para o que é essencial ao serviço, outra base costuma ser mais adequada.

Já escrevi sobre as bases legais de forma mais ampla no artigo sobre LGPD para pequenas empresas. Aqui o foco é o consentimento.

Formulário de contato precisa de caixinha de aceite?

Na maioria dos casos, não. Quando a pessoa preenche o formulário pedindo um contato ou um orçamento, ela mesma pediu a resposta. Usar o nome, o e-mail e o telefone para responder se encaixa no atendimento a um pedido do titular. Nesse cenário, o que a lei exige é transparência, não autorização:

• uma frase curta perto do botão de enviar, como “Usamos seus dados só para responder ao seu contato”;
• um link para a política de privacidade, que eu explico no artigo sobre política de privacidade para site;
• pedir só os campos de que você realmente precisa.

A caixinha obrigatória “li e aceito” não é proibida, mas confunde: dá a impressão de que o consentimento é a base do formulário. E um aceite obrigatório para conseguir falar com você dificilmente é livre.

A conta muda quando o mesmo formulário serve para outra coisa. Se você quer aproveitar o contato para mandar novidades, aí sim entra o consentimento, separado e opcional.

Quando o consentimento é obrigatório?

Na rotina de um pequeno negócio, os casos mais comuns são:

• Newsletter e mensagens de novidades por e-mail ou WhatsApp, para quem não pediu nada além de um contato pontual.
• Depoimentos e fotos de clientes publicados no site ou nas redes, com nome ou imagem que identifica a pessoa.
• Cookies de estatística e de anúncio, como Google Analytics e Meta Pixel. O guia de cookies da ANPD trata disso, e eu detalhei no artigo sobre política de cookies e aviso de cookies.
• Compartilhar dados com parceiros para fins que a pessoa não espera, como indicar o contato dela a outra empresa.
• Dados sensíveis fora das outras hipóteses do artigo 11, como informações de saúde, religião ou biometria. Aqui o consentimento precisa ser específico e destacado.
• Dados de crianças: o artigo 14 pede consentimento específico e em destaque dado por pelo menos um dos pais ou responsável, salvo algumas exceções previstas na lei.

Clínicas, consultórios de psicologia e escritórios de advocacia lidam com dados sensíveis com frequência; nesses casos, a escolha da base legal deve passar por um especialista.

Como pedir consentimento do jeito certo?

Se o seu caso precisa de consentimento, estas regras saem direto do artigo 8º da LGPD e dos guias da ANPD:

1. Caixa desmarcada. A pessoa precisa marcar sozinha. Caixa que já vem marcada não é manifestação inequívoca.
2. Uma caixa por finalidade. “Quero receber o informativo por e-mail” e “Autorizo publicar meu depoimento com meu nome” são autorizações diferentes e precisam de opções separadas.
3. Texto claro ao lado da caixa. Diga o que vai acontecer, com que frequência e como cancelar. “Aceito os termos” não informa nada.
4. Opcional de verdade. Se a pessoa não marcar, o formulário deve funcionar normalmente para o que ela veio fazer.
5. Em destaque quando for por escrito. Se o consentimento estiver num documento, como a ficha de cadastro ou um contrato, ele deve ficar numa cláusula separada das demais, e não escondido no meio do texto.

Como provar que o cliente deu consentimento?

O artigo 8º diz que cabe a quem coleta os dados provar que o consentimento foi obtido de acordo com a lei. Se um cliente disser que nunca autorizou receber mensagens, é você quem precisa mostrar que ele autorizou.

Na prática, guarde para cada aceite:

• quem aceitou (nome ou e-mail);
• quando (data e hora);
• o quê: o texto exato que estava ao lado da caixa naquele momento;
• onde: qual formulário ou documento.

Num site, o formulário precisa registrar a marcação da caixa junto com o envio. Ferramentas de newsletter costumam guardar esse registro sozinhas. Em papel, a ficha assinada com a cláusula destacada cumpre o papel.

O cliente pode retirar o consentimento?

Pode, a qualquer momento. O artigo 8º diz que a revogação deve ser feita por um procedimento gratuito e facilitado, e o artigo 18 inclui esse direito na lista de direitos do titular. O que foi feito antes da revogação continua válido; o que muda é daqui para frente.

Na prática:

• todo e-mail de novidades precisa de um link de descadastro que funcione com um clique;
• nas mensagens por WhatsApp, avise como parar de receber e respeite o pedido na hora;
• quem retirou o consentimento pode pedir também a eliminação dos dados que foram tratados com base nele (artigo 18), salvo quando outra regra da lei permitir guardar.

Se descadastrar for mais difícil do que se cadastrar, o procedimento não está “facilitado”.

Perguntas frequentes

Termo de consentimento é obrigatório pela LGPD?

Não existe um documento obrigatório com esse nome. O que a lei exige é que, quando o consentimento for a base legal, ele seja livre, informado, específico e comprovável. Pode ser uma caixa num formulário, uma cláusula destacada numa ficha ou um termo assinado.

Posso mandar mensagem de novidades para quem já é meu cliente?

Depende do caso. Algumas comunicações para clientes atuais podem se apoiar no legítimo interesse, desde que tenham relação com o serviço contratado e a pessoa possa recusar com facilidade. Para quem nunca contratou, ou para mensagens sem relação com o serviço, o consentimento é o caminho mais seguro.

E se o meu site não tiver nenhuma caixa de consentimento?

Se ele só tem um formulário de contato e não usa cookies de anúncio ou estatística, talvez não precise de nenhuma. Se tem newsletter, pixel de anúncio ou publica depoimentos, vale revisar cada uma dessas partes.

Resumo

• O consentimento é uma das dez bases legais da LGPD, não a regra para tudo.
• Formulário de contato que só responde a quem escreveu costuma dispensar a caixinha de aceite; ele precisa de transparência e de link para a política de privacidade.
• Newsletter, depoimentos com nome, cookies de anúncio, dados sensíveis e dados de crianças são os casos mais comuns em que o consentimento entra.
• Caixa desmarcada, uma por finalidade, texto claro e opcional de verdade.
• Guarde a prova de cada aceite e ofereça um jeito simples de cancelar.

Nos sites que eu faço, cada formulário pede só o necessário, explica o que acontece com os dados e, quando há consentimento, registra o aceite de forma que dá para provar depois. Se você quer um site novo ou uma revisão dos formulários do site atual, veja a página de criação de sites.