LGPD para desenvolvedores: checklist de conformidade

O que a LGPD exige de aplicações web

A LGPD se aplica a qualquer aplicação que colete, armazene ou processe dados pessoais de indivíduos no Brasil. Para desenvolvedores, os artigos mais impactantes são:

• Art. 7 — Bases legais para tratamento de dados
• Art. 8 — Requisitos de consentimento
• Art. 9 — Direito à informação do titular
• Art. 46 — Medidas de segurança técnicas

Art. 7 — Bases legais

O tratamento de dados pessoais só pode ocorrer com base em uma das hipóteses do Art. 7. Para aplicações web, as mais comuns são:

Art. 8 — Consentimento

O consentimento deve ser livre, informado, inequívoco e para finalidades determinadas. Na prática, isso significa:

• Checkboxes desmarcados por padrão (opt-in, não opt-out)
• Texto claro explicando para que os dados serão usados
• Possibilidade de revogar o consentimento a qualquer momento
• Registro da data e hora do consentimento

<!-- Exemplo de checkbox de consentimento -->
<label>
  <input type="checkbox" name="consent" required />
  Li e concordo com a
  <a href="/privacidade">Política de Privacidade</a>
  e os <a href="/termos">Termos de Uso</a>.
</label>

<!-- Cookie banner com opt-in -->
<div id="cookie-banner">
  <p>Usamos cookies de analytics para melhorar sua experiência.</p>
  <button onclick="acceptCookies()">Aceitar</button>
  <button onclick="rejectCookies()">Recusar</button>
</div>

Art. 9 — Direito à informação

O titular deve ter acesso facilitado às informações sobre o tratamento. Sua aplicação precisa:

• Política de privacidade acessível e em linguagem clara
• Identificação do controlador e do DPO (encarregado)
• Finalidades específicas do tratamento
• Direitos do titular (acesso, correção, exclusão, portabilidade)

Art. 46 — Medidas de segurança

Os agentes de tratamento devem adotar medidas técnicas e administrativas aptas a proteger os dados pessoais. Para aplicações web, isso inclui:

// Headers de segurança essenciais para LGPD
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin

O SAFETAGGY verifica automaticamente todos esses headers e reporta os que estão ausentes ou mal configurados.

Checklist de conformidade

Use esta tabela como referência para verificar a conformidade da sua aplicação:

Relatório de conformidade

O SAFETAGGY gera automaticamente um relatório de conformidade após cada varredura, mapeando os achados para requisitos regulatórios como LGPD, PCI-DSS e OWASP Top 10. Use esse relatório para demonstrar diligência técnica à ANPD em caso de incidente.