O que é a LGPD e por que o varejo está no centro das obrigações

A Lei Geral de Proteção de Dados (Lei 13.709/2018) regula o tratamento de dados pessoais no Brasil, seja em ambiente digital ou físico, por pessoas jurídicas de direito público ou privado. Ela estabelece princípios, bases legais, direitos dos titulares e obrigações para quem coleta, armazena, compartilha ou usa qualquer informação capaz de identificar uma pessoa natural.

O varejo ocupa posição central nesse contexto porque coleta dados em volume e variedade difíceis de encontrar em outros setores. Em uma única transação, um varejista pode registrar CPF, nome completo, endereço, e-mail, telefone, forma de pagamento, histórico de compras e, em lojas físicas com câmeras analíticas, até padrões de comportamento e deslocamento do consumidor.

A distinção entre varejo físico e digital é relevante para entender onde os riscos se concentram. No ponto de venda físico, os dados transitam por sistemas de PDV, programas de fidelidade em papel ou aplicativo e câmeras de segurança. No e-commerce e em aplicativos, a coleta é ainda mais granular: comportamento de navegação, tempo em página, produtos visualizados, abandono de carrinho e geolocalização são capturados continuamente.

O descumprimento da lei expõe o varejista a sanções aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD): advertências, multas de até 2% do faturamento do grupo no Brasil no último exercício, limitadas a R$ 50 milhões por infração, e publicização da penalidade, que pode gerar dano reputacional mais caro do que a própria multa.

Quais dados o varejo trata e quais bases legais se aplicam

O primeiro passo para qualquer programa de conformidade é saber o que está sendo tratado. No varejo, os dados se organizam em quatro grandes grupos: dados cadastrais (nome, CPF, e-mail, telefone), dados de transação (valor da compra, itens, forma de pagamento), dados de comportamento (navegação, cliques, histórico de buscas) e, em alguns casos, dados sensíveis, como biometria usada em reconhecimento facial no PDV ou dados de saúde em farmácias e drogarias.

A LGPD exige que cada operação de tratamento esteja ancorada em uma base legal. No varejo, as três mais frequentes são:

• Execução de contrato: tratar o endereço do cliente para entrega ou o CPF para emissão de nota fiscal é necessário para cumprir a relação comercial.
• Consentimento: necessário quando o dado é usado para finalidades que vão além da relação comercial imediata, como envio de e-mail marketing ou compartilhamento com parceiros de anúncio.
• Legítimo interesse: aplicável a situações como prevenção a fraudes e melhoria de experiência, mas exige avaliação formal de proporcionalidade, o chamado teste de balanceamento.

Uma armadilha comum são os termos de adesão genéricos que pedem consentimento para “uso dos dados conforme política de privacidade”. A LGPD exige que o consentimento seja livre, informado, inequívoco e específico para cada finalidade. Um opt-in único cobrindo marketing, análise de comportamento e compartilhamento com terceiros não atende ao padrão legal.

Atenção especial merece o tratamento de dados de menores de 18 anos em programas de fidelidade infantojuvenis. A lei exige consentimento específico dos pais ou responsáveis legais e proíbe o tratamento de dados de crianças (menores de 12 anos) sem essa autorização, vedando ainda o condicionamento da participação no programa à coleta de dados desnecessários.

Direitos do consumidor que o varejista precisa viabilizar

A LGPD concede ao titular — o consumidor — um conjunto de direitos que o varejista é obrigado a viabilizar de forma efetiva, não apenas declaratória. Listá-los na política de privacidade sem criar mecanismos reais de atendimento constitui infração.

Acesso, correção e portabilidade

O consumidor pode solicitar a confirmação de que seus dados estão sendo tratados, ter acesso a uma cópia deles, corrigir informações desatualizadas ou incorretas e, em determinadas situações, pedir a portabilidade para outro fornecedor. O varejista precisa ter um canal estruturado para receber e registrar essas solicitações: formulário no site, e-mail dedicado ou atendimento presencial com protocolo.

Exclusão e revogação do consentimento

O titular pode revogar o consentimento a qualquer momento e solicitar a eliminação dos dados tratados com base nele, sem que isso gere qualquer penalidade ou discriminação no atendimento. Na prática, o consumidor que pediu para sair do programa de fidelidade não pode ser tratado de forma diferente nas compras subsequentes.

Há exceções: dados necessários para cumprir obrigação legal (como registros fiscais pelo prazo determinado pela Receita Federal) ou para exercício regular de direitos em processos judiciais podem ser retidos mesmo após a revogação do consentimento.

Prazo e documentação

A LGPD não fixa um prazo rígido, mas a ANPD orienta que o atendimento deve ocorrer em prazo razoável. A referência prática adotada por muitas empresas é de até 15 dias úteis. Todo o processo precisa ser documentado: data do pedido, canal, conteúdo da solicitação e resposta dada. Essa documentação é a principal defesa em caso de auditoria ou reclamação.

Impacto no CRM e em programas de fidelidade

Quando um cliente solicita exclusão, o varejista precisa garantir que os dados sejam removidos não apenas do sistema principal, mas também de ferramentas integradas de CRM, automação de marketing, plataformas de e-mail e qualquer operador com acesso à base. Ignorar sistemas secundários é um dos erros mais comuns e mais difíceis de detectar sem um mapeamento de dados consistente.

Pontos críticos de adequação no ponto de venda e no e-commerce

PDV físico

A coleta de CPF na nota fiscal é legítima quando vinculada à emissão do documento fiscal, mas usá-lo automaticamente para enriquecer o cadastro do programa de fidelidade, sem informar o cliente e obter consentimento separado, configura desvio de finalidade. O varejista precisa separar claramente as finalidades e comunicá-las no momento da coleta.

Câmeras de segurança em lojas são tratadas como dado pessoal quando as imagens permitem identificar indivíduos. O uso de tecnologia de reconhecimento facial para análise de perfil, contagem de visitantes por faixa etária ou personalização de ofertas em tempo real exige base legal sólida: em geral, consentimento explícito ou legítimo interesse com aviso visível na entrada da loja.

E-commerce e rastreamento

Pixels de rastreamento, cookies de terceiros e SDKs de plataformas de anúncio coletam dados comportamentais e os transferem para servidores fora do controle direto do varejista. Isso caracteriza compartilhamento de dados com terceiros e exige, no mínimo, banner de consentimento funcional, política de cookies detalhada e contratos com os operadores envolvidos.

O banner de cookies precisa oferecer opção real de recusa sem que isso impeça o acesso ao site. Banners que só exibem “aceitar” ou que tornam a recusa tecnicamente impossível não atendem ao padrão da LGPD.

Programas de fidelidade e bases antigas

Muitas redes de varejo têm bases de fidelidade construídas antes de agosto de 2020, quando a LGPD entrou em vigor. Esses cadastros antigos precisam ser revisados: o regulamento do programa deve estar alinhado à lei, e o consentimento original, se for a base legal escolhida, precisa ser renovado de forma adequada. Campanhas de reconfirmação de opt-in, embora reduzam o tamanho da base, são a alternativa mais segura.

Fornecedores como operadores

Todo fornecedor que acessa dados pessoais dos clientes do varejista, seja empresa de logística, plataforma de e-mail marketing, gateway de pagamento ou agência de CRM, atua como operador de dados e precisa firmar um contrato específico de processamento de dados (DPA, Data Processing Agreement). Esse documento define finalidades, responsabilidades, medidas de segurança e o que acontece com os dados ao término da relação.

Passos práticos para iniciar a adequação à LGPD no varejo

Mapeamento de fluxo de dados

O data mapping é o ponto de partida. Ele responde: que dados são coletados, por qual canal, com qual finalidade, por quanto tempo são retidos, quem tem acesso e para quem são compartilhados. O resultado é um inventário de dados que alimenta todas as decisões de conformidade subsequentes. Sem ele, qualquer programa de adequação é construído no escuro.

Designação do encarregado de dados (DPO)

A LGPD exige a indicação de um encarregado pelo tratamento de dados, responsável por ser o canal de comunicação entre o varejista, os titulares e a ANPD. Para redes de médio e grande porte que tratam dados em larga escala, a designação é obrigatória na prática. Para pequenos varejistas, a ANPD publicou resolução com regime simplificado, mas a indicação ainda é recomendável. O DPO pode ser interno ou terceirizado.

Revisão de contratos com fornecedores de tecnologia

Plataformas de e-commerce, ERPs, ferramentas de automação de marketing, meios de pagamento e empresas de analytics precisam ter DPAs firmados. Verifique se os contratos atuais contêm cláusulas de proteção de dados, quais medidas de segurança o fornecedor adota e como ele trata violações de dados. Fornecedores que não aceitam assinar um DPA representam um risco jurídico que deve ser avaliado com critério.

Treinamento de equipes

Atendentes de loja que coletam CPF, equipes de e-commerce que configuram pixels, analistas de CRM que segmentam bases e times de TI que gerenciam infraestrutura precisam entender as regras básicas de privacidade aplicadas ao seu trabalho. Treinamentos pontuais não são suficientes: o conhecimento precisa ser integrado aos processos de onboarding e às rotinas operacionais.

Política de privacidade e comunicação ao consumidor

A política de privacidade deve ser redigida em linguagem acessível, não em juridiquês. Ela precisa informar quais dados são coletados, para quê, com quem são compartilhados, por quanto tempo ficam armazenados e como o consumidor pode exercer seus direitos. Deve estar visível no site, no aplicativo e, quando possível, referenciada no PDV físico. Revisões periódicas são obrigatórias sempre que houver mudança nas práticas de tratamento.

Conformidade como vantagem competitiva no varejo brasileiro

Pesquisas realizadas no mercado brasileiro após a entrada em vigor da LGPD indicam que consumidores que percebem transparência no uso de seus dados têm maior propensão a compartilhar informações voluntariamente, o que alimenta estratégias de first-party data com qualidade superior à de bases compradas ou coletadas de forma opaca.

A conformidade com a LGPD se alinha diretamente à transição do mercado para um ambiente com menos dependência de cookies de terceiros. Varejistas que constroem relações de confiança e coletam dados com consentimento explícito estão menos expostos a mudanças nas políticas de navegadores e plataformas de publicidade. O first-party data bem gerenciado vale mais do que volumes grandes de dados de origem duvidosa.

Do ponto de vista B2B, varejistas adequados têm vantagem em processos de auditoria de fornecedores, editais de licitação pública e parcerias com grandes marcas que precisam garantir conformidade em toda a cadeia. A conformidade deixa de ser diferencial opcional e passa a ser critério de habilitação.

A adequação à LGPD deve ser tratada como processo contínuo de governança, não como projeto com data de encerramento. Novas tecnologias de coleta, novos parceiros, mudanças regulatórias da ANPD e evolução das práticas do setor exigem revisão periódica do programa de privacidade.

Como avaliar a maturidade de conformidade do seu varejo

Use as perguntas abaixo como diagnóstico inicial. Respostas negativas indicam lacunas prioritárias:

• Você tem um inventário atualizado de todos os dados pessoais que coleta, onde estão armazenados e com quem são compartilhados?
• Cada finalidade de uso dos dados está ancorada em uma base legal identificada e documentada?
• Existe um canal funcional para que consumidores exerçam seus direitos de acesso, correção e exclusão?
• Os contratos com todos os fornecedores que acessam dados pessoais dos seus clientes incluem cláusulas de DPA?
• O banner de cookies do seu e-commerce oferece opção real de recusa e está integrado a um sistema de gestão de consentimento?
• Há um encarregado de dados designado, com contato publicado na política de privacidade?
• As equipes de atendimento, vendas e TI receberam treinamento sobre privacidade nos últimos 12 meses?
• A política de privacidade reflete as práticas atuais de coleta e tratamento, em linguagem compreensível para o consumidor?

Se mais da metade das respostas for negativa, o programa de adequação precisa começar pelo mapeamento de dados e pela designação de um responsável interno pelo tema, os dois pilares que viabilizam todo o restante.