Em 8 de junho de 2026, o G1 Economia noticiou que a Agência Nacional de Proteção de Dados (ANPD) abriu processo administrativo contra a Claro por compartilhamento irregular de dados pessoais de clientes com a Serasa. Segundo a reportagem, a operadora teria transferido informações sem observar os requisitos da Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), em especial a exigência de base legal válida para o tratamento compartilhado.
O caso não é isolado. É o sinal mais claro até agora de que a ANPD está operando em regime de fiscalização ativa, com capacidade de responsabilizar empresas de grande porte. Para operadores de e-commerce, o episódio tem implicação direta: práticas similares de compartilhamento de dados com bureaus de crédito, plataformas de marketing e parceiros logísticos estão sob o mesmo conjunto de regras.
Este artigo analisa o que motivou o processo, quais dispositivos da LGPD estão em jogo e quais medidas concretas o comércio digital precisa adotar para não ocupar o lugar da Claro na próxima notícia.
Contexto jurídico e regulatório
O que a LGPD exige para compartilhar dados com terceiros
O compartilhamento de dados pessoais com terceiros é um dos pontos mais sensíveis da LGPD. O artigo 7º da lei lista dez bases legais que autorizam o tratamento de dados, e todas elas exigem que a finalidade seja legítima, específica e informada ao titular. Não basta ter um contrato com o parceiro que recebe os dados.
No caso da Claro e da Serasa, a questão central é saber qual base legal a operadora invocou para justificar o repasse. As candidatas mais comuns nesse tipo de operação são o legítimo interesse (art. 7º, IX) e a execução de contrato (art. 7º, V). Ambas têm limites claros: o titular precisa ter sido informado, a finalidade precisa ser compatível com a relação original e o dado só pode ser o mínimo necessário, conforme o princípio da necessidade previsto no art. 6º, III.
Além disso, o artigo 49 da LGPD determina que os sistemas de tratamento de dados devem ser estruturados para atender aos princípios da lei desde a concepção (privacy by design). Compartilhar dados em volume indiscriminado com uma empresa de análise de crédito, sem critério de minimização, contraria esse dispositivo e pode configurar violação autônoma, independente de outros ilícitos.
A ANPD tem competência para aplicar sanções que vão de advertência a multa de até 2% do faturamento do grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração, conforme o art. 52 da LGPD. Para uma empresa do porte da Claro, a exposição financeira potencial é relevante. Para um e-commerce médio, mesmo percentuais menores representam risco existencial.
Impacto prático
Para o e-commerce, o paralelo mais direto com o caso Claro é o compartilhamento de dados de clientes com plataformas de antifraude, bureaus de crédito, marketplaces e ferramentas de CRM terceirizadas. Todas essas integrações envolvem transferência de dados pessoais e exigem base legal documentada, contrato de operação de dados (art. 39 da LGPD) e registro no programa de governança da empresa.
Do ponto de vista contábil e de gestão de risco, a ausência de controles de privacidade deve ser tratada como passivo contingente. Empresas que operam sem política de privacidade atualizada, sem mapeamento de fluxos de dados e sem cláusulas contratuais de proteção de dados com fornecedores estão acumulando risco que não aparece no balanço, mas aparece na autuação. A abertura de processo administrativo pela ANPD, mesmo antes de sanção, já impacta reputação e pode afetar negociações com investidores e parceiros.
O checklist mínimo para um e-commerce em conformidade inclui: política de privacidade publicada e acessível, com indicação das finalidades e dos parceiros que recebem dados; contratos de operação com todos os fornecedores que processam dados por conta da empresa; registro de atividades de tratamento (art. 37 da LGPD); base legal definida para cada operação de compartilhamento; e canal de atendimento ao titular funcionando. Esses itens não são opcionais, são o piso mínimo esperado pela ANPD em qualquer fiscalização.
Considerações finais
O processo administrativo contra a Claro marca uma inflexão na atuação da ANPD: a agência saiu da fase normativa e entrou na fase punitiva de forma consistente. Empresas de qualquer porte que tratam dados pessoais precisam entender que o risco de sanção é real e que a conformidade com a LGPD é uma obrigação permanente, não um projeto pontual.
Para o comércio digital, o momento é de revisar contratos com parceiros, auditar integrações de dados e documentar as bases legais utilizadas. Investir em governança de dados agora custa menos do que responder a um processo administrativo depois, sem contar o impacto reputacional que acompanha qualquer notícia de vazamento ou uso irregular de informações de consumidores.