LGPD na loja virtual: o que o lojista precisa fazer para tratar dados de clientes

A Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) se aplica a qualquer loja virtual que colete dados de pessoas físicas, como nome, e-mail, CPF, telefone e endereço. Na prática, o lojista precisa: saber que dados coleta e para quê, usar uma base legal adequada, publicar uma política de privacidade clara, oferecer canal para o titular exercer seus direitos, proteger os dados e escolher fornecedores que também cumpram a lei. O tamanho da empresa não elimina a obrigação, embora existam regras simplificadas para agentes de pequeno porte.

Quais dados uma loja virtual costuma tratar

Cadastro: nome, e-mail, telefone, CPF, data de nascimento.
Entrega: endereço e dados de contato do destinatário.
Pagamento: dados do cartão (que devem ficar sob a guarda do gateway), CPF para nota fiscal e comprovantes.
Navegação: cookies, endereço IP, dispositivo, páginas visitadas, dados de anúncios.
Atendimento: mensagens, protocolos e reclamações.

Dados de crianças e adolescentes recebem tratamento especial, e dados sensíveis (saúde, biometria etc.) exigem cuidado redobrado. Se a sua loja vende produtos que revelam informações sensíveis, procure orientação especializada.

Bases legais mais comuns no e-commerce

A LGPD não exige consentimento para tudo. Existem diversas bases legais; as mais usadas por lojas são:

Finalidade	Base legal provável	Observação
Processar o pedido e entregar	Execução de contrato	Dados necessários à compra
Emitir nota fiscal e guardar documentos	Cumprimento de obrigação legal	Prazos fiscais definem a guarda
Prevenção a fraude	Legítimo interesse ou proteção ao crédito	Registre a avaliação de impacto
E-mail marketing	Consentimento ou legítimo interesse, conforme o caso	Ofereça descadastro fácil
Cookies de análise e publicidade	Em geral, consentimento	Banner com opções claras

A escolha da base depende do caso concreto; o encarregado ou um advogado especializado pode validar. O essencial é que a finalidade seja informada e que você colete só o necessário (princípio da minimização).

Política de privacidade: o que deve constar

Em linguagem clara, informe:

Quem é o controlador (nome da empresa, CNPJ) e como falar com ele.
Quais dados são coletados e para quais finalidades.
Com quem os dados são compartilhados (gateway, transportadoras, plataforma, ferramentas de e-mail e análise).
Por quanto tempo serão guardados.
Como o titular exerce seus direitos.
Como são protegidos e o que acontece em caso de incidente.

Não copie a política de outra loja: ela precisa refletir o que a sua operação faz. Muitas plataformas oferecem modelos; adapte-os.

Cookies e consentimento

O site de uma loja usa cookies essenciais (carrinho, login, segurança) e frequentemente cookies de análise e publicidade (pixels de anúncios, ferramentas de métricas). A Autoridade Nacional de Proteção de Dados (ANPD) publicou um guia orientativo sobre cookies e proteção de dados. Boas práticas:

Banner que explique as categorias de cookies e permita aceitar, recusar e configurar de forma equivalente.
Não ativar cookies não essenciais antes da escolha do usuário, quando a base for consentimento.
Manter uma página de política de cookies com a lista das ferramentas usadas.
Permitir a mudança de preferência a qualquer momento.

Direitos do titular

Entre outros, o cliente pode pedir confirmação de tratamento, acesso, correção, anonimização ou eliminação de dados, portabilidade, informação sobre compartilhamento e revogação do consentimento. Defina um canal (e-mail dedicado ou formulário), um responsável e um prazo interno de resposta. A lei e a regulamentação da ANPD definem prazos, que devem ser consultados no site oficial. Registre cada pedido e a resposta dada.

Fornecedores e contratos

A loja compartilha dados com gateway, plataforma, transportadoras, emissor de nota, ferramentas de e-mail e agências. Cada um é operador ou também controlador, conforme o caso. Boas práticas:

Leia as políticas e os termos de tratamento de dados de cada fornecedor.
Compartilhe o mínimo necessário.
Prefira fornecedores que expliquem suas medidas de segurança e que tenham canal para incidentes.
Ao encerrar contratos, peça a exclusão ou devolução dos dados.

Ao trocar de plataforma, os dados continuam protegidos pela LGPD; veja migrar de plataforma.

Segurança e incidentes

Use autenticação em duas etapas nos painéis da loja, do gateway e do e-mail.
Limite quem tem acesso a dados de clientes.
Mantenha plugins e sistemas atualizados, e faça backups.
Não guarde dados de cartão por conta própria.
Tenha um plano para incidentes: quem avalia, quem comunica, quais registros guardar.

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a LGPD prevê comunicação à ANPD e aos titulares em prazo razoável, conforme a regulamentação. Consulte o site da ANPD para o procedimento atual e um advogado, se ocorrer.

Exemplo de rotina mensal (ilustrativo)

Revisar quem tem acesso ao painel da loja e remover contas antigas.
Conferir se novas ferramentas foram instaladas e se a política menciona.
Responder pedidos de titulares dentro do prazo interno.
Apagar dados de leads antigos sem finalidade.
Testar o botão de descadastro dos e-mails.

Erros comuns

Coletar dados demais "por precaução", como data de nascimento sem uso.
Banner de cookies que só tem "aceitar".
Lista de e-mails comprada, sem relação com o titular.
Política de privacidade genérica copiada.
Não ter canal para o titular.
Enviar planilhas de clientes por mensagem sem proteção.
Deixar ex-colaboradores com acesso à loja.

Quando buscar ajuda

Advogado especializado em proteção de dados é importante para operações com muitos dados, venda a crianças, produtos sensíveis, transferência internacional ou uso intensivo de publicidade comportamental. A ANPD publica materiais e orientações para agentes de pequeno porte.

Perguntas frequentes

Pequena loja precisa cumprir a LGPD?

Sim. Existem regras diferenciadas para agentes de tratamento de pequeno porte, mas as obrigações essenciais, como transparência e segurança, continuam valendo.

Preciso de um encarregado (DPO)?

A lei prevê a indicação de um encarregado, com flexibilizações para agentes de pequeno porte conforme regulamentação da ANPD. Mesmo quando dispensado, é recomendável ter um responsável e canal de contato; confirme a regra atual no site da ANPD.

Posso enviar e-mail marketing para quem comprou?

Em geral, é possível com base adequada e opção clara de descadastro. Para quem não comprou, procure consentimento. Ver requisitos legais.

Fontes

ANPD — Autoridade Nacional de Proteção de Dados — guias, regulamentos e canal de incidentes
Planalto — texto oficial da Lei 13.709/2018
consumidor.gov.br — canal de reclamações de consumo