O que é compliance de dados no contexto do e-commerce

Compliance de dados é a adequação contínua dos processos de uma organização às normas legais e regulatórias que regem o tratamento de informações pessoais. No e-commerce, essa adequação não é um projeto pontual: é uma operação permanente, porque as bases legais mudam, novos canais surgem e o volume de dados tratados cresce junto com o negócio.

Três dimensões precisam ser separadas. O compliance jurídico trata de documentação, políticas, contratos e atendimento a titulares. O compliance técnico envolve arquitetura de sistemas, criptografia, controle de acesso e gestão de vulnerabilidades. O compliance operacional diz respeito a processos internos, treinamentos e governança do dia a dia. Uma loja virtual precisa dos três funcionando de forma integrada.

O e-commerce é especialmente exposto porque combina volume massivo de transações, diversidade de dados coletados (comportamentais, financeiros, cadastrais) e múltiplos canais integrados: plataforma de loja, marketplace, app mobile, redes sociais e sistemas de logística. Cada ponto de integração é uma superfície de risco.

No Brasil, os marcos regulatórios centrais são a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e as normas do Banco Central aplicáveis a meios de pagamento, como as resoluções do Conselho Monetário Nacional sobre open finance e segurança de dados em instituições de pagamento. Quem opera com cartões ainda está sujeito ao padrão PCI-DSS, independentemente de regulação nacional.

Quais dados o e-commerce coleta e por que isso importa

Uma loja virtual típica coleta pelo menos quatro categorias de dados. Cadastro: nome, CPF, endereço, e-mail e telefone. Comportamento de navegação: páginas visitadas, produtos visualizados, tempo de sessão e cliques. Dados de pagamento: número de cartão (se processado diretamente), dados de PIX e histórico de cobranças. Histórico de pedidos: itens comprados, frequência, valor médio e dados de entrega.

A LGPD estabelece o princípio da minimização de dados: coletar apenas o que é estritamente necessário para a finalidade declarada. Se o endereço de entrega já é capturado no checkout, não há justificativa para solicitá-lo no cadastro inicial. Coletar mais do que o necessário aumenta a exposição em caso de incidente e dificulta a gestão do ciclo de vida dos dados.

Dados sensíveis podem aparecer de forma indireta no fluxo de compra. Um e-commerce de produtos farmacêuticos ou de saúde, por exemplo, pode inferir condições médicas a partir do histórico de pedidos. Dados biométricos usados para autenticação também se enquadram nessa categoria. Nesses casos, a LGPD exige tratamento diferenciado, com base legal específica e medidas de segurança reforçadas.

Os riscos de coleta excessiva são concretos: maior superfície de exposição em vazamentos, dificuldade de responder a solicitações de exclusão de titulares e maior probabilidade de autuação pela ANPD (Autoridade Nacional de Proteção de Dados), que já demonstrou interesse em fiscalizar o setor de varejo digital.

Obrigações da LGPD para lojas virtuais

Base legal por etapa do ciclo de compra

A LGPD exige que cada operação de tratamento tenha uma base legal identificada. No e-commerce, as três bases mais relevantes são:

• Execução de contrato: tratamento necessário para processar o pedido, emitir nota fiscal, realizar a entrega e prestar suporte pós-venda. Não depende de consentimento.
• Consentimento: necessário para envio de e-mails de marketing, uso de cookies de segmentação e compartilhamento de dados com terceiros para fins publicitários.
• Legítimo interesse: pode ser invocado para comunicações relacionadas a pedidos, prevenção a fraudes e personalização básica, desde que o interesse do controlador não sobreponha os direitos do titular, o que exige um teste de proporcionalidade documentado.

Política de privacidade

A política de privacidade deve conter, no mínimo: quais dados são coletados, com que finalidade, por quanto tempo são retidos, com quais terceiros são compartilhados e como o titular pode exercer seus direitos. A linguagem deve ser acessível — o artigo 9º da LGPD exige informação “de forma clara, adequada e ostensiva”. Textos em juridiquês denso não atendem esse requisito.

Direitos dos titulares

O e-commerce precisa operacionalizar, no mínimo, os seguintes direitos previstos no artigo 18 da LGPD: acesso aos dados tratados, correção de dados incompletos ou desatualizados, exclusão de dados tratados com base em consentimento e portabilidade para outro fornecedor. Isso exige um canal de atendimento funcional (formulário, e-mail ou área logada) e um processo interno documentado para executar cada solicitação.

O prazo esperado para resposta é de 15 dias, conforme orientação da ANPD. Se a solicitação não puder ser atendida nesse prazo, o titular deve ser informado com justificativa fundamentada.

Notificação de incidentes

Em caso de incidente de segurança com potencial de causar risco ou dano relevante aos titulares, a LGPD obriga a notificação à ANPD e ao próprio titular. A resolução CD/ANPD nº 2/2022 define critérios de relevância e estabelece que a comunicação deve ocorrer em prazo razoável: na prática, a ANPD sinaliza 72 horas como referencial para a comunicação inicial. O conteúdo mínimo inclui natureza dos dados afetados, número de titulares impactados, medidas adotadas e dados de contato do DPO.

Consentimento e rastreamento: cookies, pixels e plataformas de anúncio

Um banner de consentimento de cookies em conformidade com a LGPD precisa ser granular: o usuário deve poder aceitar ou recusar categorias específicas (funcionais, analíticos, de marketing) antes que qualquer script de rastreamento seja carregado. Aceitar todos não pode ser a única opção de fácil acesso, e recusar não pode ser mais difícil do que aceitar.

A sincronização do consentimento entre a plataforma de e-commerce, ferramentas de analytics e plataformas de mídia paga é tecnicamente exigente. A escolha feita pelo usuário precisa ser transmitida em tempo real para que pixels e tags sejam ativados ou bloqueados de acordo. Plataformas de gerenciamento de consentimento (CMPs) como OneTrust, Cookiebot e Usercentrics oferecem integração nativa com as principais plataformas de anúncio para viabilizar esse fluxo.

Pixels de remarketing, como os utilizados em campanhas de redes sociais e search, dependem de consentimento explícito quando coletam dados de comportamento para criação de audiências. O argumento de legítimo interesse para esse tipo de rastreamento é juridicamente frágil no contexto brasileiro, especialmente após publicações orientativas da ANPD sobre cookies.

Os registros de consentimento devem incluir: data e hora do consentimento, versão da política exibida no momento, escopo aceito pelo usuário e identificador do dispositivo ou sessão. Esses registros são a principal evidência em caso de auditoria ou reclamação de titular.

Segurança técnica como pilar do compliance

Requisitos mínimos esperados pela ANPD

A ANPD não publicou uma lista taxativa de controles técnicos obrigatórios, mas suas orientações e o próprio texto da LGPD apontam para um conjunto mínimo: criptografia em trânsito (TLS 1.2 ou superior para todas as conexões), criptografia em repouso para dados sensíveis, controle de acesso baseado no princípio do menor privilégio e logs de auditoria que permitam rastrear quem acessou ou alterou dados pessoais.

PCI-DSS para dados de cartão

Lojas que processam dados de cartão de crédito diretamente, sem delegar integralmente essa função a um gateway, estão sujeitas ao PCI-DSS. O nível de conformidade exigido varia conforme o volume de transações anuais. Para a maioria das operações de médio porte, o uso de um gateway certificado (como Adyen, Stripe, PagSeguro ou Cielo, entre outros) transfere a maior parte da responsabilidade técnica, mas não elimina a necessidade de segurança na integração e no armazenamento de tokens.

Gestão de terceiros

Gateways de pagamento, ERPs, plataformas SaaS de CRM e ferramentas de automação de marketing acessam dados de clientes. A LGPD classifica esses fornecedores como operadores, mas a responsabilidade do controlador (o e-commerce) não desaparece. É necessário fazer due diligence antes da contratação, verificando certificações, histórico de incidentes e práticas de segurança, e incluir cláusulas contratuais de proteção de dados (DPA) em todos os acordos.

Plano de resposta a incidentes

Um plano básico para operações de médio porte deve contemplar: detecção (monitoramento de logs e alertas automatizados), contenção (isolamento de sistemas comprometidos), avaliação de impacto (quais dados e quantos titulares foram afetados), notificação (ANPD e titulares, conforme critérios da resolução vigente) e revisão pós-incidente (o que falhou e o que será corrigido). O plano precisa ser testado ao menos uma vez por ano, com simulação documentada.

Como estruturar um programa de compliance de dados na prática

Encarregado de Proteção de Dados (DPO)

A LGPD exige a nomeação de um Encarregado (DPO), que pode ser pessoa física interna ou empresa terceirizada. As responsabilidades incluem atender solicitações de titulares, comunicar-se com a ANPD, orientar equipes internas e monitorar a conformidade do programa. O nome e o canal de contato do DPO devem ser publicados de forma ostensiva, preferencialmente na política de privacidade e no rodapé do site.

Inventário de dados (ROPA simplificado)

O ponto de partida de qualquer programa é saber quais dados existem, onde estão, para que servem e quem tem acesso. O ROPA (Record of Processing Activities) é o instrumento padrão para isso. Para um e-commerce de médio porte, um mapeamento simplificado em planilha já cumpre a função: lista cada fluxo de dados, a base legal aplicável, o prazo de retenção e os terceiros envolvidos. Essa documentação é a base para responder a titulares, responder à ANPD e identificar gaps.

Contratos com fornecedores

Todos os contratos com fornecedores que processam dados de clientes devem incluir cláusulas específicas: obrigação de confidencialidade, medidas de segurança mínimas, proibição de uso dos dados para finalidades próprias do fornecedor, notificação em caso de incidente e possibilidade de auditoria pelo controlador. Uma revisão anual dos contratos existentes é suficiente para manter essa camada atualizada.

Treinamento de equipes

Equipes de atendimento precisam saber como receber e encaminhar solicitações de titulares. Times de marketing precisam entender os limites do uso de dados para campanhas e segmentação. TI e desenvolvimento precisam aplicar privacy by design em novos projetos. Treinamentos anuais com registro de participação são o mínimo esperado. Sessões específicas para cada área são mais eficientes do que um treinamento genérico para toda a empresa.

Indicadores de maturidade

Um programa de compliance de dados maduro monitora, no mínimo, três indicadores:

• Taxa de atendimento no prazo: percentual de solicitações de titulares respondidas dentro de 15 dias.
• Incidentes registrados e tempo de resposta: número de incidentes identificados, tempo médio de detecção e tempo até a notificação.
• Cobertura de auditorias e revisões: quantos sistemas, fornecedores e processos passaram por revisão de privacidade no período.

Esses indicadores devem ser reportados periodicamente à liderança, não apenas ao time de TI ou jurídico. Compliance de dados é uma questão de negócio e precisa de visibilidade executiva para receber os recursos necessários.

Como avaliar a maturidade do seu programa

Use as perguntas abaixo como diagnóstico inicial. Cada resposta negativa indica uma lacuna que precisa de endereçamento prioritário.

• Você tem um inventário de dados atualizado (ROPA), com base legal documentada para cada fluxo?
• Seu banner de cookies bloqueia scripts de rastreamento antes do consentimento ser dado?
• Existe um canal funcional para solicitações de titulares, com SLA de 15 dias monitorado?
• Todos os contratos com fornecedores que acessam dados de clientes contêm cláusulas de proteção de dados?
• Você tem um plano de resposta a incidentes documentado e testado?
• O DPO está nomeado formalmente e seu contato está publicado no site?
• As equipes de marketing, atendimento e TI passaram por treinamento de privacidade no último ano?

Se a maioria das respostas for negativa, o ponto de partida é o mapeamento de dados: sem saber o que existe, nenhuma outra iniciativa terá base sólida. Se o inventário já existe mas os contratos e processos de atendimento estão incompletos, priorize essas duas frentes antes de avançar para controles técnicos mais sofisticados.

Compliance de dados para e-commerce não exige perfeição imediata. Exige um programa estruturado, com responsabilidades claras, documentação rastreável e evolução contínua, porque as normas, as tecnologias e os riscos continuam mudando.