LGPD em e-commerce de moda: conformidade, sanções

E-commerces de moda captam dados pessoais sensíveis — desde medidas corporais até preferências de consumo e histórico de navegação. A conformidade com a LGPD exige base legal adequada, finalidade específica, transparência total e medidas técnicas de segurança. Descumprir essas regras expõe a empresa a sanções administrativas de até 2% do faturamento, além de ações indenizatórias por danos morais coletivos e individuais.

O que a LGPD exige para o tratamento de dados de clientes em lojas virtuais?

O artigo 7º da Lei 13.709/2018 estabelece dez bases legais que autorizam o tratamento de dados pessoais, sendo o consentimento e a execução de contrato as mais aplicáveis ao e-commerce. Para dados cadastrais básicos necessários à entrega do produto, a base é a execução de contrato. Já para envio de ofertas personalizadas, análise de comportamento de navegação e criação de perfis de consumo, o consentimento expresso é obrigatório.

O artigo 8º, parágrafo 4º, da LGPD determina que o consentimento deve ser fornecido por escrito ou outro meio que demonstre a manifestação de vontade do titular. Isso significa que caixas pré-marcadas, consentimento implícito ou termos genéricos não atendem à lei. A política de privacidade precisa informar quais dados são coletados, para que finalidade, por quanto tempo serão armazenados e com quem podem ser compartilhados.

O artigo 9º garante ao titular o direito de acessar seus dados, corrigi-los, solicitar portabilidade e exigir eliminação. E-commerces precisam implementar canais efetivos para atender essas requisições em prazo razoável. O artigo 46 exige que os agentes de tratamento adotem medidas de segurança técnicas e administrativas para proteger os dados de acessos não autorizados e vazamentos.

Dados sensíveis, como informações sobre saúde ou biometria facial usada em provadores virtuais, exigem tratamento ainda mais rigoroso. O artigo 11 permite o tratamento de dados sensíveis apenas mediante consentimento específico e destacado, ou quando necessário para tutela da saúde em procedimento realizado por profissionais da área.

Como os tribunais estão julgando casos de vazamento e uso indevido de dados em e-commerce?

A jurisprudência ainda está em formação, mas já há decisões importantes que indicam o rigor esperado dos tribunais. O Superior Tribunal de Justiça, em julgados anteriores à LGPD mas aplicáveis por analogia, consolidou o entendimento de que o vazamento de dados pessoais gera dano moral in re ipsa, ou seja, presumido, independentemente de prova do prejuízo concreto.

Tribunais estaduais têm condenado e-commerces por compartilhamento de dados com parceiros comerciais sem consentimento específico. Em São Paulo, decisões recentes determinaram indenizações entre R$ 5 mil e R$ 15 mil por uso indevido de dados cadastrais para envio de publicidade não autorizada. A argumentação centra-se na violação do direito à autodeterminação informativa.

A Autoridade Nacional de Proteção de Dados já aplicou sanções administrativas e determinou adequações em processos de fiscalização. Embora os valores de multa ainda sejam moderados nesta fase inicial, a tendência é de endurecimento progressivo. Casos de reincidência ou negligência grave devem receber tratamento mais severo.

Há divergência sobre a responsabilidade por dados tratados por terceiros contratados pelo e-commerce, como plataformas de pagamento e empresas de logística. Parte da jurisprudência responsabiliza solidariamente o controlador e o operador, enquanto outra corrente analisa caso a caso o grau de ingerência de cada agente sobre o tratamento dos dados.

Como isso altera a advocacia para e-commerces de moda na prática?

O primeiro impacto é na consultoria preventiva. Advogados precisam realizar diagnóstico completo do ciclo de vida dos dados no e-commerce: desde a coleta no cadastro até o descarte após o encerramento da relação contratual. Isso inclui mapear integrações com gateways de pagamento, ferramentas de marketing, sistemas de logística e plataformas de análise de comportamento.

A elaboração de documentos se torna mais complexa. Não basta um termo de uso genérico. É necessário produzir política de privacidade específica, avisos de privacidade em cada ponto de coleta, termos de consentimento granular para finalidades distintas e contratos de controlador-operador com fornecedores. Cada documento precisa usar linguagem clara e acessível, conforme exige o artigo 9º da LGPD.

Na assessoria para implementação de medidas técnicas, o advogado atua em conjunto com a equipe de tecnologia. É preciso garantir criptografia de dados sensíveis, controle de acesso por níveis de permissão, registro de logs de tratamento e plano de resposta a incidentes. A tese de excludente de responsabilidade por caso fortuito ou força maior em vazamentos só prospera se houver prova robusta das medidas de segurança adotadas.

No contencioso, surgem novas frentes: defesa em processos administrativos perante a ANPD, ações indenizatórias individuais e coletivas por vazamento ou uso indevido, e ações de obrigação de fazer para garantir direitos dos titulares. A produção de prova técnica se torna determinante, exigindo familiaridade com laudos periciais sobre segurança da informação.

Para clientes que terceirizam o e-commerce em marketplaces, é fundamental esclarecer as responsabilidades. O comerciante continua controlador dos dados que coleta diretamente, mesmo que a plataforma processe tecnicamente essas informações. Cláusulas contratuais precisam delimitar claramente quem responde por cada etapa do tratamento e como se dará o atendimento aos direitos dos titulares.

Perguntas frequentes