A Lei Geral de Proteção de Dados (Lei 13.709/2018) não é uma burocracia opcional. É lei vigente, com fiscalização ativa e penalidades reais. A Autoridade Nacional de Proteção de Dados (ANPD) já aplicou mais de R$ 50 milhões em multas desde que iniciou a fase punitiva em 2023. O e-commerce é um dos setores mais expostos — coleta dados de navegação, pagamento, endereço, comportamento e preferência de compra de milhões de consumidores. Babi Tonhela, CEO da Marketera e do Marketek, é direta: LGPD não é custo de compliance — é fundamento de confiança com o consumidor. E confiança vende.
Resumo rápido: Para o dia a dia de uma operação de e-commerce, as principais mudanças são: Cada um desses dados é regulado pela LGPD.
Este artigo explica como a LGPD afeta especificamente operações de e-commerce e oferece um roteiro prático de adequação, sem juridiquês desnecessário.
Por que o e-commerce é especialmente afetado pela LGPD
Uma loja virtual coleta, por padrão, uma quantidade significativa de dados pessoais:
- Dados de cadastro: nome, CPF, e-mail, telefone, endereço de entrega.
- Dados de pagamento: informações de cartão de crédito, dados bancários para Pix, histórico de transações.
- Dados de comportamento: produtos visualizados, pesquisas realizadas, tempo em página, abandono de carrinho.
- Dados de localização: CEP de entrega, cidade de acesso, geolocalização via app.
- Dados de comunicação: histórico de e-mails abertos, SMS recebidos, notificações clicadas.
Cada um desses dados é regulado pela LGPD. A coleta e o uso exigem base legal específica (consentimento, contrato, interesse legítimo) e finalidade declarada.
O que mudou na prática com a LGPD
Para o dia a dia de uma operação de e-commerce, as principais mudanças são:
1. Cookies e rastreamento
Qualquer cookie que não seja estritamente necessário para o funcionamento do site exige consentimento explícito. Isso inclui pixels de remarketing (Meta, Google), cookies de análise (Google Analytics), tags de afiliados e ferramentas de heatmap (Hotjar, Microsoft Clarity).
A solução prática é implementar um Consent Management Platform (CMP) — o famoso banner de cookies — que registra e armazena o consentimento do usuário. Ferramentas como Cookiebot, Usercentrics e CookieYes são as mais usadas no Brasil.
Atenção: um banner que diz “ao continuar navegando, você aceita nossos cookies” não atende à LGPD. O consentimento precisa ser livre, específico, informado e inequívoco.
2. E-mail marketing e remarketing
Enviar e-mail para quem não autorizou expressamente é violação da LGPD. Listas compradas ou “herdadas” de outros sistemas sem consentimento claro são passivo de risco. O uso de dados de comportamento (produto visualizado, carrinho abandonado) para segmentação de e-mail exige base legal — geralmente interesse legítimo ou contrato com o cliente.
Boas práticas obrigatórias:
- Double opt-in no cadastro de newsletter.
- Link de descadastro funcional em todos os e-mails.
- Registro da fonte de captação do lead e data de consentimento.
- Política de privacidade clara e acessível no formulário de cadastro.
3. Dados de pagamento
Dados de cartão de crédito jamais devem ser armazenados na infra do lojista — essa responsabilidade deve ser delegada a gateways PCI DSS certificados. O e-commerce deve garantir que contratos com processadores de pagamento incluam cláusulas de proteção de dados (Data Processing Agreement — DPA).
4. Compartilhamento com terceiros
Toda integração com ferramentas externas — Google Analytics, Facebook Pixel, CRM, plataforma de e-mail — é um compartilhamento de dados pessoais. A LGPD exige que o lojista liste esses operadores na política de privacidade e garanta que eles também estejam em conformidade.
“LGPD não é problema jurídico. É problema de produto e de cultura. Se o seu e-commerce coleta dados que não usa, sem consentimento e sem propósito claro, o problema não é o advogado que vai te defender — é o modelo de negócio que você construiu.”
— Babi Tonhela, CEO da Marketera e do Marketek
As multas reais da ANPD
A ANPD pode aplicar as seguintes sanções, conforme o art. 52 da LGPD:
- Advertência com prazo para adoção de medidas corretivas.
- Multa simples de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração.
- Multa diária pelo mesmo limite.
- Publicização da infração — o chamado “naming and shaming”, que causa dano reputacional além do financeiro.
- Bloqueio ou eliminação dos dados que deram origem à infração.
- Suspensão do exercício da atividade de tratamento de dados por até 6 meses.
Em 2023 e 2024, as maiores multas aplicadas no Brasil foram para empresas de telecomunicações, saúde e varejo. E-commerces de pequeno e médio porte já receberam advertências. A fiscalização está se tornando mais granular.
Roteiro prático de adequação para e-commerces
Este roteiro prioriza as ações de maior impacto e risco para operações de e-commerce brasileiras:
- Mapeie os dados que você coleta. Faça um inventário completo: quais dados, de quais fontes, para quais finalidades, com quais bases legais, por quanto tempo armazenados e com quem são compartilhados. Esse mapa é o documento-base de todo o programa de privacidade.
- Implemente CMP para gestão de cookies. Nenhum cookie de marketing ou análise deve ser ativado antes do consentimento do usuário. Configure sua plataforma para que o Pixel do Meta, o Google Analytics e demais ferramentas só carreguem após aceite.
- Atualize a política de privacidade. Deve ser escrita em linguagem acessível, disponível em link visível no rodapé, e explicar claramente: quais dados são coletados, para quê, por quanto tempo, com quem são compartilhados e como o usuário exerce seus direitos.
- Implemente o canal de direitos do titular. A LGPD garante ao consumidor o direito de acessar, corrigir, excluir e portar seus dados. Você precisa ter um canal (e-mail ou formulário) para receber essas solicitações e responder em até 15 dias.
- Revise contratos com operadores. Todo fornecedor que processa dados em seu nome (gateway, CRM, plataforma de e-mail, logística) precisa ter um Data Processing Agreement (DPA) assinado.
- Treine o time de atendimento. Toda ocorrência de dados pessoais mencionada em atendimento (pedido de exclusão de dados, reclamação de uso indevido) precisa de protocolo claro de resposta.
- Designe um DPO (Encarregado de Proteção de Dados). Obrigatório para empresas que processam dados em larga escala. Para PMEs, pode ser um funcionário interno com treinamento básico ou um DPO externo terceirizado.
“Adequação à LGPD não é evento de uma vez. É processo contínuo. O mercado muda, as ferramentas mudam, os dados mudam. Se você fez a adequação em 2022 e não revisou desde então, está desatualizado.”
— Babi Tonhela, CEO da Marketera e do Marketek
LGPD e remarketing: o que ainda é permitido
Uma dúvida frequente no e-commerce: o remarketing é proibido pela LGPD? Não necessariamente. O uso de dados de comportamento para exibição de anúncios pode ter base legal em:
- Consentimento: o usuário aceitou cookies de marketing via CMP.
- Interesse legítimo: o lojista tem interesse legítimo em exibir anúncios para quem visitou o site, desde que respeite o direito de opt-out e que o interesse do lojista não se sobreponha aos direitos do titular.
O que não é permitido: usar dados de comportamento coletados sem consentimento para remarketing, vender dados de clientes a terceiros sem consentimento explícito, e rastrear usuários em sites de terceiros sem base legal.
Para mais contexto sobre o cenário regulatório do varejo digital, veja este guia completo de LGPD e proteção de dados e o artigo sobre glossário de pagamentos digitais, que inclui o item sobre LGPD nos pagamentos.
Perguntas Frequentes
A LGPD se aplica a e-commerces pequenos e MEIs?
Sim. A LGPD se aplica a qualquer organização que colete e trate dados pessoais de pessoas físicas no Brasil, independentemente do tamanho. Microempresas e MEIs têm obrigações proporcionais, mas não são isentos. A diferença está nas penalidades, que consideram o porte da empresa, e na profundidade do programa de compliance exigido.
Qual a multa máxima por violação da LGPD?
A multa por infração pode chegar a 2% do faturamento do grupo econômico no Brasil no exercício anterior, com limite de R$ 50 milhões por infração. Para e-commerces com faturamento de R$ 1 milhão ao ano, uma infração grave pode resultar em multa de até R$ 20 mil. Mas o dano reputacional da publicização da infração costuma superar o valor financeiro.
Preciso de consentimento para enviar e-mail para meus clientes?
Depende. Para e-mails transacionais (confirmação de pedido, aviso de entrega), a base legal é o contrato — não exige consentimento adicional. Para e-mails de marketing (promoções, newsletters), você precisa de base legal — geralmente consentimento explícito ou interesse legítimo com direito de opt-out claro. Listas compradas sem consentimento expresso são violação clara da LGPD.
O Google Analytics viola a LGPD?
Não necessariamente, mas exige configuração adequada. O Google Analytics 4 coleta dados de comportamento que podem ser considerados dados pessoais. Para estar em conformidade, você precisa: obter consentimento via CMP antes de ativar o GA4, configurar anonimização de IP, não enviar dados que identifiquem diretamente o usuário (como nome ou e-mail) para o GA4, e ter DPA assinado com o Google.
Posso usar o Facebook Pixel após a LGPD?
Sim, com consentimento. O Facebook Pixel (agora Meta Pixel) coleta dados de comportamento no site para criar audiências de remarketing. Com LGPD, ele só pode ser ativado após o usuário aceitar cookies de marketing via CMP. Sem esse consentimento, o Pixel não pode carregar. Configure sua plataforma de e-commerce para respeitar essa condição.
[cta_newsletter]
