Não existe um botão que torne um site WordPress automaticamente adequado à LGPD. O CMS pode ajudar a redigir um aviso de privacidade e a responder a alguns pedidos de exportação ou exclusão, mas o responsável precisa saber quais dados o site e seus fornecedores realmente coletam, para quais finalidades e por quanto tempo.
Este roteiro é informativo e não substitui avaliação jurídica. A LGPD se aplica ao tratamento de dados pessoais conforme as circunstâncias do negócio; um banner, plugin ou texto padrão não determina sozinho a base legal nem comprova conformidade.
Faça o inventário do que o site coleta
Percorra o site como visitante e como administrador. Anote dados recolhidos por formulários, comentários, contas, pedidos, newsletter, suporte, logs da hospedagem, analytics, anúncios, mapas, vídeos incorporados e plugins. Registre para cada fluxo a finalidade, os campos, quem tem acesso, onde os dados são armazenados, os destinatários e a rotina de retenção ou exclusão.
Confira também ferramentas externas: a lista de plugins do WordPress não revela necessariamente todo o tratamento feito por serviços de email, hospedagem, pagamentos ou conteúdo incorporado. Peça a documentação dos fornecedores e compare com o comportamento real das páginas.
Revise o aviso e os controles do WordPress
Em muitas instalações, Configurações → Privacidade permite escolher uma página de política e iniciar um texto com informações do núcleo, tema e plugins participantes. Use esse conteúdo como ponto de partida: revise cada afirmação e acrescente serviços externos, formulários e processos que a ferramenta não conhece. O aviso precisa corresponder ao funcionamento efetivo do site e às regras aplicáveis.
Não confunda a caixa de cookies do formulário de comentários com um mecanismo de consentimento para todo o site. Também não instale um plugin de banner sem mapear cookies e tecnologias, suas finalidades, momento de ativação e opções disponíveis. A orientação da ANPD sobre cookies explica transparência, minimização e controle; a solução técnica deve refletir a avaliação do responsável.
Prepare o fluxo para pedidos de titulares
O painel WordPress pode oferecer ferramentas em Ferramentas → Exportar dados pessoais e Ferramentas → Apagar dados pessoais. Elas podem enviar uma confirmação por email e apoiar o tratamento de solicitações, mas só abrangem dados do WordPress e de integrações que participam desses mecanismos. Dados em CRM, hospedagem, plataformas de email, analytics, backups ou outros sistemas podem exigir etapas separadas.
Defina quem recebe os pedidos, como verifica a identidade, como localiza os sistemas envolvidos e como registra a resposta. A exclusão pode ser irreversível e não remove necessariamente cópias de backup; mantenha um procedimento para que uma restauração futura não reintroduza dados que deveriam continuar removidos. Há situações em que obrigações de retenção precisam ser avaliadas antes de apagar registros.
Reduza acesso e exposição
Use contas individuais, conceda apenas as permissões necessárias e remova acessos que não são mais usados. Mantenha WordPress, tema, plugins e hospedagem atualizados; proteja backups e credenciais; use HTTPS; e confira se documentos privados exigem autenticação no servidor. Não use robots.txt como controle de acesso.
Antes de publicar mudanças, teste formulários com dados fictícios e confira o caminho completo dos dados, inclusive destinatários e mensagens de confirmação. Verifique também o comportamento do site quando uma pessoa recusa tecnologias não essenciais, quando um pedido de exportação chega e quando uma solicitação de exclusão exige contato com um fornecedor.
Checklist de revisão
- Cada formulário e integração tem finalidade e responsável identificados?
- O aviso descreve o que realmente ocorre no site e nos serviços externos?
- Cookies e scripts foram inventariados antes de configurar preferências?
- Os recursos de exportação e exclusão foram testados sem presumir cobertura total?
- Acesso, backup, retenção e remoção têm responsáveis e etapas documentadas?
- Os testes usam dados fictícios e verificam todas as ferramentas envolvidas?
Reavalie o inventário ao instalar um plugin, adicionar um formulário, mudar analytics ou iniciar anúncios. As fontes oficiais explicam recursos e orientações gerais, mas a decisão de tratamento depende do contexto real da organização.
Fontes: WordPress — privacidade, ANPD — Guia orientativo sobre cookies e proteção de dados pessoais e ANPD — materiais educativos e publicações.