LGPD na prática: pedimos os logs de acesso do nosso site a 6 hospedagens — e o que voltou (ou não)

Se você já precisou caçar a origem de um pico de tráfego, entender um ataque ou só provar que o visitante veio de tal campanha, já deve ter ido atrás dos logs de acesso. Na teoria, é simples: você é o controlador dos dados do seu site, a hospedagem é operadora, e a LGPD (Lei 13.709/2018) garante o direito de acesso. Na prática, a gente descobriu que a conversa muda bastante de provedor para provedor.

Como foi o teste

Entre setembro e outubro de 2026, abrimos chamado em seis hospedagens brasileiras — de plano compartilhado popular a VPS de entrada e cloud com data center em São Paulo. Todos com site ativo, contrato mensal e painel de controle. O pedido foi o mesmo: os logs de acesso dos últimos 30 dias, com data e hora, IP, método HTTP, URL acessada, user agent e referer, em formato legível (CSV ou planilha). Citamos o artigo 18 da LGPD e pedimos, quando existia, o contrato de tratamento de dados.

Também deixamos claro que o pedido era como donos do site, não como visitantes. A confusão entre esses dois papéis é o primeiro nó da história — e muita gente tropeça nele.

O que voltou (e o que sumiu)

Três padrões apareceram rápido. O primeiro é o provedor que entrega de verdade: uma das hospedagens mandou um CSV completo em dois dias, com IP inteiro, user agent e caminho da requisição. Retenção de 30 dias, logs em servidor separado do backup. Sem drama.

O segundo padrão é o que entrega pela metade. Uma mandou um PDF de 40 páginas com texto truncado e sem user agent; outra exportou CSV, mas com o último octeto do IP zerado e sem referer, alegando política global de privacidade. Em ambos os casos, o painel mostrava mais do que o arquivo entregue.

O terceiro padrão é o que não entrega. Uma disse que “não armazena logs de acesso”, só métricas agregadas — embora o painel exibisse IP truncado e país por alguns dias. Outra, revenda, jogou a responsabilidade no datacenter e ofereceu um relatório de tráfego do cPanel, que não é log de acesso. A sexta até tinha os dados, mas só liberava via API e com retenção de 7 dias; 30 dias era add-on pago.

Resumindo: de seis, duas entregaram o que pedimos sem caveira, duas entregaram parcialmente e duas basicamente disseram que o assunto não era com elas.

O prazo: 15 dias no papel, 40 na vida real

A LGPD não crava um prazo único para o direito de acesso, mas a ANPD usa 15 dias como referência. No teste, duas responderam em menos de 48 horas, duas levaram entre 10 e 15 dias e duas passaram de 30. Uma delas só respondeu depois de a gente abrir reclamação no consumidor.gov.br e citar o contrato.

O detalhe é que o prazo costuma contar do pedido formal, não do “oi, tudo bem?” no chat. Se você pedir no ticket e a resposta vier genérica (“consulte o painel”), vale reabrir e pedir protocolo, formato e prazo. Sem isso, o pedido morre no limbo.

O que elas guardam sobre seus visitantes

Log de acesso é dado pessoal. O IP, sozinho, já pode identificar um visitante; combinado com user agent, referer e horário, vira um retrato bem nítido. A ANPD entende que IP é dado pessoal, e a LGPD se aplica.

Na prática, o que vimos: IP completo, user agent, método, URL, status code, bytes, referer e, em alguns casos, geolocalização aproximada. Retenção variou de 7 dias a 6 meses. O Marco Civil da Internet (Lei 12.965/2014) fala em 6 meses para provedores de aplicação, mas a hospedagem nem sempre se enquadra nisso — e aí cada uma decide o que guarda. Tem provedor que apaga em uma semana para economizar disco; tem outro que mantém por um ano para segurança e cobrança.

Após o cancelamento, a coisa fica mais cinzenta. Duas disseram que apagam os logs em 30 dias; uma falou em 5 anos por obrigação fiscal, o que faz sentido para notas, mas não necessariamente para logs de acesso. Vale perguntar: “o que acontece com meus logs depois que eu sair?”

A pegadinha do operador

Aqui está o ponto que ninguém explica direito: você é o controlador, a hospedagem é operadora. Isso significa que ela trata dados em seu nome e deve seguir suas instruções. Mas, se o contrato não fala nada sobre logs, o provedor pode alegar que aquilo é dado interno de segurança dele — e negar.

Em dois casos, o contrato tinha cláusula de tratamento de dados, mas nenhuma linha sobre registros de acesso. Em um deles, o suporte chegou a dizer que “os logs pertencem à hospedagem”. Juridicamente, é discutível; na prática, sem cláusula, você fica dependendo da boa vontade.

O que resolve? DPA (acordo de tratamento de dados) com item específico: o provedor deve fornecer ao controlador, em até X dias, os registros de acesso que custodiar, em formato legível e exportável. Se não tiver, peça por e-mail e guarde a resposta.

O que exigir antes de assinar

Se você depende de logs para segurança, suporte ou marketing, coloque na lista antes do checkout:

• Retenção: quantos dias de log ficam disponíveis? 7, 30, 90, 180?
• Formato: CSV, JSON, API? Dá para exportar sem abrir ticket?
• IP completo ou anonimizado? User agent e referer vêm junto?
• Prazo de entrega e canal: ticket, e-mail, painel?
• Custo extra: log estendido é add-on?
• O que acontece após o cancelamento? Apaga em quanto tempo?
• Existe DPA e cláusula de logs?

Parece burocrático, mas é o tipo de coisa que você só lembra quando precisa. E quando precisa, já é tarde.

E na hora de trocar de casa?

Logs não migram junto com os arquivos. Se você está de mudança, exporte o período que interessa antes de cancelar. Depois que o contrato acaba, o acesso some — e o ataque de setembro vira lenda.

Também vale checar se os logs entram no backup. Em uma das hospedagens, o suporte confirmou que logs ficam fora do backup diário; ou seja, se o servidor der pau, você perde o histórico. Pergunte isso antes.

Conclusão

No fim do teste, a sensação é que a LGPD existe no papel, mas a operação ainda é terra de ninguém. Teve provedor que entregou em dois dias, sem enrolação; teve outro que só respondeu quando viu o nome do consumidor.gov.br. A diferença não é só de tecnologia, é de contrato e de cultura.

Se você é dono de site, não espere o problema chegar. Peça os logs agora, teste o canal, veja o formato. E, na próxima renovação, use isso como critério. Hospedagem boa não é só a que tem uptime bonito no painel — é a que te entrega o que é seu quando você pede.

E você, já pediu os logs da sua hospedagem? Conta pra gente no Clube do Host.