Coleta de dados em e-commerce segundo a LGPD
E-commerce pode coletar dados cadastrais, navegação, pagamento e entrega observando bases legais e finalidades da LGPD.
O que a Lei Geral de Proteção de Dados estabelece sobre coleta de dados pelo e-commerce?
O artigo 7º da Lei nº 13.709/2018 (LGPD) estabelece dez bases legais que autorizam o tratamento de dados pessoais, sendo as mais relevantes para o e-commerce a execução de contrato, o legítimo interesse e o consentimento. Para operações de compra e venda online, a execução do contrato justifica a coleta de nome, CPF, endereço de entrega e dados de pagamento necessários à conclusão da transação.
O artigo 9º da LGPD trata especificamente do acesso a dados por terceiros, determinando que o titular deve ser informado sobre essa possibilidade. Isso é fundamental em marketplaces, onde fornecedores terceirizados acessam informações do comprador. A transparência quanto aos destinatários dos dados integra o dever de informação previsto no artigo 6º, inciso VI, da mesma lei.
Dados de navegação, cookies e perfis comportamentais exigem atenção redobrada. O artigo 10 da LGPD estabelece que o legítimo interesse pode fundamentar esse tratamento, mas o controlador deve demonstrar situações concretas e proporcionalidade. A Autoridade Nacional de Proteção de Dados já sinalizou que cookies não essenciais dependem de consentimento prévio, conforme orientações de 2022.
Para dados sensíveis, como informações de saúde em farmácias online ou preferências religiosas em lojas especializadas, o artigo 11 da LGPD impõe regras mais rígidas. O consentimento específico e destacado torna-se obrigatório na maioria dos casos, exceto em hipóteses expressamente previstas nos incisos do dispositivo legal.
Como os tribunais brasileiros têm decidido sobre coleta de dados por e-commerce?
A jurisprudência sobre LGPD aplicada ao comércio eletrônico ainda está em formação, mas alguns entendimentos começam a se consolidar. O Superior Tribunal de Justiça tem aplicado o Código de Defesa do Consumidor em conjunto com a LGPD, reconhecendo a vulnerabilidade do consumidor também em questões de proteção de dados.
Tribunais estaduais vêm condenando e-commerces por compartilhamento indevido de dados com terceiros sem informação adequada. Casos envolvendo venda de bases de clientes para empresas de telemarketing resultaram em danos morais coletivos e individuais. A Justiça tem considerado que a simples existência de política de privacidade genérica não basta para legitimar o tratamento.
Há decisões reconhecendo o direito do consumidor de solicitar exclusão de dados mesmo após a conclusão da compra, quando não houver obrigação legal de retenção. O prazo prescricional e as regras contábeis não têm sido aceitos isoladamente como justificativa para manter todos os dados indefinidamente, devendo haver análise de proporcionalidade.
Quanto aos cookies, decisões recentes do Tribunal de Justiça de São Paulo e do Rio de Janeiro destacam que banners que dificultam a recusa ou que já instalam rastreadores antes da manifestação do usuário violam o consentimento livre e informado. A técnica do cookie wall, que impede acesso ao site sem aceitar todos os cookies, tem sido questionada.
Como essas regras de coleta de dados transformam a advocacia para e-commerce?
A consultoria preventiva tornou-se indispensável na advocacia voltada para comércio eletrônico. O advogado precisa revisar políticas de privacidade, termos de uso e sistemas de coleta de consentimento, garantindo que estejam alinhados com o modelo de negócio real do cliente. Documentos genéricos baixados da internet expõem a empresa a riscos regulatórios e judiciais significativos.
O mapeamento de dados constitui etapa técnica fundamental. É necessário identificar quais informações são coletadas em cada etapa da jornada do consumidor, quem acessa esses dados internamente, quais fornecedores recebem essas informações e por quanto tempo ficam armazenadas. Esse levantamento subsidia a elaboração do Relatório de Impacto à Proteção de Dados quando exigível.
A advocacia contenciosa ganha nova dimensão com pedidos de direitos dos titulares. Consumidores exercem os direitos previstos no artigo 18 da LGPD solicitando acesso, correção, exclusão e portabilidade de dados. O advogado precisa estruturar fluxos para atender essas demandas dentro dos prazos legais, evitando sanções administrativas e ações judiciais.
Cláusulas contratuais com operadoras de pagamento, empresas de logística e provedores de tecnologia demandam atenção especial. O e-commerce responde solidariamente por violações cometidas por seus operadores de dados, conforme artigo 42 da LGPD. Acordos de processamento de dados bem estruturados transferem responsabilidades e estabelecem obrigações de segurança da informação.
Incidentes de segurança exigem protocolo jurídico específico. O advogado deve orientar sobre comunicação à ANPD em até dois dias úteis em casos de risco ou dano relevante, conforme Resolução CD/ANPD nº 1/2021. A gestão de crise inclui notificação aos titulares, apuração de responsabilidades contratuais e defesa em eventuais processos administrativos ou judiciais decorrentes do vazamento.
Perguntas frequentes
O e-commerce pode usar dados de navegação para remarketing sem consentimento específico?
Depende da natureza dos cookies utilizados. Cookies essenciais ao funcionamento do site dispensam consentimento, mas cookies de publicidade comportamental exigem autorização prévia e específica. O legítimo interesse pode fundamentar análises internas, mas o compartilhamento com plataformas de anúncios geralmente demanda consentimento. A ANPD tem adotado posição restritiva quanto ao uso de legítimo interesse para publicidade direcionada.
Por quanto tempo o e-commerce pode manter os dados cadastrais após a última compra?
A LGPD não estabelece prazo fixo, exigindo proporcionalidade e finalidade. Dados necessários para obrigações fiscais e contábeis podem ser mantidos conforme legislação específica. Para finalidades comerciais, o prazo deve ser razoável e informado na política de privacidade. Caso não haja justificativa legal ou legítimo interesse, o titular pode exigir exclusão após o encerramento da relação contratual.
Marketplace responde pelos dados coletados pelos vendedores terceiros?
Sim, em regime de corresponsabilidade quando houver tratamento conjunto de dados. O marketplace atua como controlador dos dados de cadastro e navegação em sua plataforma, enquanto vendedores controlam dados específicos da transação. Ambos devem estabelecer acordo definindo responsabilidades, conforme artigo 42, parágrafo 1º da LGPD. O consumidor pode acionar qualquer um deles em caso de violação.
É obrigatório nomear encarregado de dados para todo e-commerce?
O artigo 41 da LGPD obriga a nomeação de encarregado (DPO) para todas as empresas que tratam dados pessoais, independentemente do porte. A ANPD pode dispensar pequenos negócios dessa obrigação, mas até o momento não publicou regulamentação específica. Recomenda-se que todo e-commerce, mesmo de pequeno porte, indique responsável pela proteção de dados e divulgue canal de contato.
Dados de cartão de crédito podem ser armazenados pelo e-commerce?
A coleta de dados de cartão é possível para execução da transação, mas o armazenamento encontra restrições. O PCI DSS, padrão internacional da indústria de cartões, impõe requisitos rígidos de segurança. A maioria dos e-commerces utiliza tokenização por meio de intermediadores de pagamento, evitando armazenar dados sensíveis. O armazenamento direto exige certificação PCI e medidas técnicas robustas, sendo desaconselhável para empresas sem estrutura especializada.
A Pós-graduação em Lei Geral de Proteção de Dados – LGPD é EAD, tem certificado reconhecido pelo MEC, acesso imediato e garantia de 7 dias — em 10x de R$ 73,99.
Este artigo teve curadoria da equipe da Legale Educacional e foi produzido com apoio de inteligência artificial. As citações de lei e de artigos de código foram conferidas no texto oficial publicado pelo Planalto.
Continue lendo sobre o tema
Desvio de finalidade na coleta de dados e violação da LGPD
Este artigo não aborda combate ao racismo no mercado de trabalho. O conteúdo discute desvio de finalidade na coleta de dados, princípio da finalidade da LGPD, sanções.
Ler artigoAcesso a dados de IP ordem judicial legislação brasileira
O acesso a dados de IP por advogados e empresas depende de ordem judicial na maioria dos casos, especialmente quando se trata de identificar usuários em.
Ler artigoResponsabilidade solidária do controlador por falhas do operador
O artigo aborda responsabilidade solidária do controlador por falhas do operador de dados conforme a LGPD.
Ler artigoInteligência artificial na advocacia: riscos éticos, LGPD
A inteligência artificial já está presente na rotina forense, mas o uso de ferramentas generativas sem cuidado expõe o advogado a riscos éticos.
Ler artigo