Como cumprir os requisitos do GDPR para sites (guia 2026)

Para cumprir o GDPR, você precisa monitorar e justificar todas as atividades de "tratamento de dados" no seu site. O GDPR não é sobre banners de cookies nem sobre usuários clicando em "aceitar tudo". Desde sua criação, o objetivo do GDPR foi obrigar as empresas a coletar a menor quantidade possível de dados pessoais e a incorporar a privacidade nos sistemas independentemente do consentimento.

Qualquer tratamento de dados que não seja estritamente necessário precisa de uma justificativa. Você não pode justificar o que não consegue ver:

• As dezenas de processadores que rodam no seu site (chatbots, pixels de anúncios e rastreadores de analytics)
• "Rastreadores de dados" inesperados (bibliotecas de fontes ou scripts de desempenho que lidam com endereços IP ou geolocalização)
• Scripts maliciosos que roubam dados pessoais sem que as ferramentas de segurança do servidor percebam (como no ataque à British Airways)

Resumo

• Os Artigos 6, 13 a 15, 25, 28, 30 e 32 do GDPR têm requisitos específicos para sites que as organizações devem cumprir.
• Um banner de cookies ou Plataforma de Gestão de Consentimento (CMP) ajuda a capturar o consentimento, mas não garante conformidade com o GDPR por si só.
• A deriva de conformidade com o GDPR acontece quando novos scripts, plugins ou tags são adicionados e coletam dados sem que as equipes de privacidade percebam.
• Scripts maliciosos em sites podem vazar dados pessoais antes que a criptografia e as ferramentas de segurança do servidor entrem em ação (empresas são multadas por isso sob o Artigo 32).
• Um site totalmente em conformidade incorpora uma stack completa de conformidade com o GDPR: infraestrutura e controles internos por meio de ferramentas como Vanta, CMPs como OneTrust, e conformidade no lado do cliente com o cside.

Requisitos do GDPR que se aplicam ao seu site (lado do cliente)

    <tr>
      <td>
        <strong>Fornecer divulgações transparentes aos usuários</strong><br>
        <span class="article-ref">(Artigos 12–14)</span>
      </td>
      <td>
        <ul>
          <li>Aviso de privacidade com categorias de dados e finalidades claras</li>
          <li>Validação de que as divulgações correspondem ao comportamento real de rastreamento do site</li>
        </ul>
      </td>
    </tr>

    <tr>
      <td>
        <strong>Prevenir a exposição de dados com salvaguardas adequadas</strong><br>
        <span class="article-ref">(Artigos 30 &amp; 32)</span>
      </td>
      <td>
        <ul>
          <li>Monitoramento contínuo do site para coleta não autorizada de dados</li>
          <li>Detecção de injeções de scripts e alterações arriscadas no DOM que vazam dados</li>
        </ul>
      </td>
    </tr>

    <tr>
      <td>
        <strong>Documentar e supervisionar o tratamento por terceiros</strong><br>
        <span class="article-ref">(Artigos 25, 28 &amp; 30)</span>
      </td>
      <td>
        <ul>
          <li>ROPA indicando quais processadores recebem dados e para onde são enviados</li>
          <li>Registros organizados de DPAs personalizados ou padronizados</li>
          <li>Documentação de transferências de dados entre regiões</li>
        </ul>
      </td>
    </tr>
  </tbody>
</table>

Um método automatizado para detectar processadores de terceiros é por meio de uma varredura gratuita do site ou de uma ferramenta de monitoramento contínuo. Mantenha uma lista de todos os fornecedores que tratam dados pessoais coletados pelo seu site e adicione-os ao seu inventário de DPAs.

Como o cside ajuda com os requisitos de responsabilização de processadores no GDPR:

• Monitora scripts de terceiros para garantir que os processadores não estejam coletando mais dados do que o seu acordo permite.
• Descobre "processadores" no seu site ao escanear scripts ativos e o comportamento dos scripts, mantendo seu inventário de DPAs atualizado.
• Sinaliza quando novos scripts são adicionados ou quando fornecedores existentes modificam o código de forma que altere como tratam dados pessoais, solicitando que as equipes revisem o DPA.
• Mapeia transferências de dados entre regiões para apoiar a documentação.

Como cumprir o Artigo 30 do GDPR: Registros das Atividades de Tratamento

O que o Artigo exige: Controladores e processadores devem manter um registro escrito de todas as atividades de tratamento de dados pessoais. Esse registro (frequentemente chamado de RoPA) deve incluir quais dados pessoais são tratados, por que são tratados, quem os recebe, onde são armazenados ou transferidos, como são protegidos e por quanto tempo são mantidos.

Na prática: O Artigo 30 trata de demonstrar aos reguladores que você compreende os fluxos de dados dentro da sua organização. Isso inclui saber quais scripts coletam dados pessoais, quais fornecedores os recebem e se ocorrem transferências para fora da UE.

Os registros do RoPA geralmente incluem todas as atividades de tratamento organizacionais, não apenas o que acontece online. Isso significa documentar como equipes internas como RH, TI e suporte ao cliente utilizam dados pessoais.

O Artigo 30 geralmente se aplica apenas a empresas com 250 ou mais funcionários. No entanto, mesmo empresas menores ainda são obrigadas a cumprir este artigo em determinadas circunstâncias.

Para cumprir no seu site:

• Quem, O quê, Onde: Mantenha um registro de todos os scripts e ferramentas de terceiros que lidam com dados pessoais. Anote o tipo de dados que tratam e para onde esses dados são enviados (especialmente se saírem da UE).
• Retenção: Documente por quanto tempo cada categoria de dados é mantida e quando é excluída ou anonimizada.
• Segurança: Registre quais medidas técnicas ou organizacionais protegem esses dados, como criptografia, controles de acesso ou ativação baseada em consentimento.

Como o cside ajuda com os registros de atividades de tratamento no GDPR:

• Fornece dados verificados para embasar seu RoPA, dando às equipes de privacidade evidências em tempo real de quais fornecedores tratam dados no seu site.
• Gera relatórios prontos para auditoria 24/7 de cada ação de script e transmissão de dados para revisão regulatória.
• Comprova que medidas de segurança no lado do cliente estão em vigor para apoiar a documentação do ROPA sobre proteção de dados.
• Dashboard visual de transferências de dados entre regiões para apoiar a documentação do ROPA do Artigo 30.

Modelo de ROPA

Consulte este modelo de RoPA do ICO (Information Commissioner's Office) para ter um ponto de partida sobre como documentar essas atividades.

Como cumprir o Artigo 32 do GDPR: Segurança do Tratamento

O que o Artigo exige:

As organizações devem implementar medidas técnicas e organizacionais para garantir a confidencialidade e a disponibilidade dos dados pessoais. Isso inclui, entre outros, criptografia, controle de acesso de funcionários/contratados, testes regulares e processos para detectar, responder e se recuperar de incidentes de segurança.

Na prática:

Você precisa comprovar que seus sistemas (ao longo de todo o ciclo de vida dos dados) são projetados para prevenir a exposição não autorizada de dados.

Protegendo seu site (o ponto de coleta):

• Garanta que campos de formulário, páginas de pagamento e fluxos de KYC (carteiras de motorista, digitalizações de passaporte) estejam protegidos contra injeção de JavaScript ou keylogging.
• Monitore scripts de terceiros para qualquer sinal de exfiltração de dados ou requisições de rede não autorizadas. Especialmente aqueles carregados de domínios recém-adicionados ou desconhecidos.
• Aplique controles básicos com CSP e SRI para permitir a execução apenas de scripts aprovados. Para sites maiores, use uma ferramenta de monitoramento contínuo que inspecione a execução de JavaScript e manipulações do DOM em tempo real.
• Mantenha versões com hash dos scripts aprovados para que você possa reverter para uma versão segura caso seja detectada adulteração ou atividade de rede suspeita.

Protegendo dados em trânsito:

• Use criptografia de ponta a ponta para garantir que os dados não possam ser lidos enquanto trafegam entre sistemas.
• Proteja suas APIs e autenticação. Cada vez mais sites estão implantando código gerado por LLMs que lida incorretamente com chaves de API e tokens de acesso.

Protegendo dados em armazenamento:

• Reduza a identificabilidade sempre que possível com pseudonimização ou redação de PII.
• Use criptografia forte para todos os dados pessoais armazenados.

Protegendo o acesso a dados por partes internas:

• Aplique permissões de privilégio mínimo para acesso a dados pessoais.
• Realize treinamentos de segurança e privacidade para educar a equipe sobre phishing e boas práticas de credenciais.

Quanto à resposta a incidentes:

• Detectar: Integre plataformas SIEM para correlação de eventos e alertas em tempo real. Implante ferramentas de monitoramento em tempo de execução para sistemas do lado do cliente a fim de identificar sinais suspeitos e alertar sua equipe antes que uma violação ocorra.
• Alertar: Teste regularmente seus mecanismos de alerta para garantir que as integrações estejam funcionando conforme esperado. Realize testes de penetração ocasionais no lado do cliente para verificar se os mecanismos de alerta podem ser suprimidos.

Sob o Artigo 33 do GDPR, os controladores devem notificar as autoridades em até 72 horas após tomar conhecimento de uma violação.

Como o cside ajuda com a segurança do tratamento no GDPR

• Protege formulários sensíveis detectando injeções de JavaScript, tentativas de keylogging ou captura não autorizada de dados
• Monitora scripts de terceiros em busca de sinais de atividade suspeita, sinalizando automaticamente domínios recém-adicionados não aprovados ou código de fornecedor modificado que represente riscos ao GDPR
• Supervisiona a execução de JavaScript e alterações no DOM que possam vazar dados pessoais
• Gera logs detalhados que comprovam que medidas de segurança no lado do cliente estão em vigor para as obrigações do Artigo 32 em relação à "exposição não autorizada" de dados pessoais.
• Defende contra ataques no lado do cliente que suprimem alertas de segurança web

Com mais de 380.000 ataques no lado do cliente em 2025, o código de terceiros tornou-se uma das maiores superfícies de ataque para dados pessoais. Uma das violações de GDPR mais significativas (incidente da British Airways, multa de €20M) foi executada por meio de uma injeção de script no site da empresa.

Quando os usuários preenchem formulários ou interagem com seus widgets de chat, os dados pessoais podem ser roubados antes de chegarem às suas ferramentas de criptografia ou sistemas de backend seguros. É por isso que a segurança no lado do cliente é uma parte essencial da conformidade moderna com o GDPR.

Quais ferramentas devo usar para conformidade com o GDPR?

A conformidade com o GDPR não é gerenciada por uma única ferramenta. Ela requer múltiplas camadas de controles, cada uma projetada para abordar uma parte diferente do ciclo de vida dos dados. Muitas dessas ferramentas são criadas para suportar múltiplos frameworks de privacidade e segurança (ex.: GDPR, SOC 2, ISO 27001, PCI DSS), portanto a maioria das organizações já possui partes dessa stack implementadas.

<compare-table data='{ "head_class": "!font-normal !bg-white", "cols": { "layer": { "title": "Camada de Conformidade" }, "covers": { "title": "O que esta camada cobre" }, "tools": { "title": "Ferramentas de Exemplo" }, "frameworks": { "title": "Frameworks Relevantes" } }, "rows": [ { "layer": "Camada 1: Segurança e Conformidade de Infraestrutura", "covers": "Protege sistemas de back-end, infraestrutura em nuvem, controles de acesso e processos internos", "tools": "Vanta, Drata, Sprinto", "frameworks": "SOC 2, ISO 27001, controles internos" }, { "layer": "Camada 2: Gestão de Consentimento", "covers": "Captura o consentimento do usuário, gerencia preferências e apoia fluxos de trabalho de DSAR e requisitos de transparência", "tools": "OneTrust, Transcend, Ketch", "frameworks": "Consentimento GDPR, DSARs, CPRA, outras leis de privacidade" }, { "layer": "Camada 3: Conformidade no Lado do Cliente do Site", "covers": "Protege contra violações de dados no site e monitora como os scripts são executados, quais dados coletam e se o código de terceiros se comporta conforme o esperado.", "tools": "cside Privacy Watch", "frameworks": "GDPR Art. 28, 30, 32, PCI DSS 6.4.3 / 11.6.1, CCPA, Leis Estaduais dos EUA" } ] }'

Um banner de cookies é suficiente para conformidade com o GDPR? (não)

Limitações dos banners de cookies

Um banner de cookies ou CMP ajuda a capturar e gerenciar as preferências dos usuários, mas não garante que essas preferências sejam respeitadas nem que os dados pessoais estejam totalmente protegidos. Para ser claro, os CMPs são uma ferramenta importante que deve estar presente em uma stack de conformidade com o GDPR. Mas um CMP sozinho não cobre todas as camadas de conformidade do GDPR para sites.

Limitações dos banners de cookies:

• Configurações incorretas de código podem fazer com que as preferências do banner de cookies sejam ignoradas (como integrações incorretas com o Google Tag Manager)
• A coleta de dados ainda pode ser acionada por gatilhos codificados diretamente ou scripts implantados fora do controle do CMP
• Os CMPs não protegem contra ataques no lado do cliente (injeção de JavaScript, formjacking) que roubam dados pessoais, pelos quais as empresas podem ser multadas sob o Artigo 32
• Scripts de terceiros atualizam o código com frequência. Em alguns casos, a coleta de dados é expandida além do que os usuários "aceitaram".

Como o cside Privacy Watch elimina os riscos de GDPR em sites

1. Visibilidade contínua sobre o tratamento de dados no site

As equipes de privacidade não podem justificar ou documentar o tratamento que não conseguem ver. O cside monitora como scripts próprios e de terceiros se comportam no navegador em todas as páginas.

• Descobre todos os scripts, rastreadores e terceiros incorporados em execução no seu site
• Mostra quais dados pessoais são acessados, transmitidos ou expostos em tempo de execução
• Alerta as equipes quando novos scripts ou fornecedores são introduzidos e podem exigir revisão, alterações no DPA ou no ROPA

2. Aplicação do consentimento e do tratamento lícito

O consentimento só importa se for aplicado em tempo de execução. O cside verifica se os scripts respeitam as escolhas de consentimento e as bases legais conforme seu site evolui.

• Detecta scripts sendo acionados antes do consentimento ou fora das categorias aprovadas
• Sinaliza coleta excessiva de dados por scripts, plugins ou código de terceiros
• Valida que o tratamento opera dentro do consentimento declarado e das finalidades legais

3. Supervisão e documentação de processadores terceiros

Scripts de terceiros atuam como processadores sob o GDPR. Scripts são dinâmicos por natureza, portanto seu comportamento pode mudar sem aviso. O cside ajuda as equipes a manter uma supervisão pronta para auditoria.

• Monitora alterações no código de fornecedores que expandem a coleta de dados
• Identifica subprocessadores (scripts de 4ª parte) e transferências de dados inesperadas
• Apoia a documentação de RoPA e DPA com dados verificados e em tempo real
• Visualiza transferências de dados entre regiões para agilizar a documentação.

4. Segurança no lado do cliente e proteção pelo Artigo 32

As obrigações de segurança do GDPR também se aplicam no ponto de coleta de dados — o navegador. O cside protege contra ameaças que ferramentas de segurança de servidor, scanners de sites e ferramentas de infraestrutura não detectam.

• Detecta injeção de JavaScript, form-jacking e captura não autorizada de dados
• Monitora alterações no DOM e requisições de rede suspeitas

Gera evidências de que salvaguardas estão em vigor para prevenir a exposição não autorizada de dados.