Principais pontos
- A Emenda Constitucional 115/2022 inseriu a proteção de dados pessoais no art. 5º, LXXIX, da Constituição Federal como direito fundamental autônomo.
- A Lei 13.709/2018 (LGPD) prevê multa de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, conforme o art. 52.
- A Autoridade Nacional de Proteção de Dados (ANPD) publicou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas em 2023, detalhando os critérios de graduação das multas.
- O art. 7º da LGPD lista 10 bases legais para tratamento de dados; lojas virtuais utilizam principalmente consentimento, execução de contrato e legítimo interesse.
- O prazo para comunicação de incidente de segurança à ANPD e aos titulares é de 3 dias úteis após a ciência do controlador, conforme Resolução CD/ANPD 15/2024.
Uma coluna publicada pelo JOTA no Observatório Constitucional recolocou em debate uma questão que muitos gestores de e-commerce ainda subestimam: o que significa, na prática, a proteção de dados ter status de direito fundamental na Constituição de 1988? A pergunta não é acadêmica. Ela tem efeito direto sobre como tribunais e a Autoridade Nacional de Proteção de Dados (ANPD) interpretam e aplicam a Lei Geral de Proteção de Dados (Lei 13.709/2018).
A Emenda Constitucional 115/2022 incluiu no art. 5º, LXXIX, da Constituição Federal a proteção de dados pessoais como direito fundamental autônomo, ao lado de clássicos como a inviolabilidade do domicílio e o sigilo de correspondência. Esse movimento não é apenas simbólico: ele vincula a administração pública, o Poder Judiciário e os agentes privados a um padrão mínimo de respeito à privacidade que não pode ser afastado por legislação ordinária.
Para o e-commerce brasileiro, que processa dados de milhões de consumidores diariamente, como cadastros, históricos de compra, dados de pagamento e comportamento de navegação, esse contexto cria obrigações concretas e riscos financeiros mensuráveis. Este artigo explica o que mudou, quais são as exigências vigentes e como estruturar a conformidade de forma eficiente.
LGPD, EC 115/2022 e competências da ANPD
A constitucionalização da proteção de dados produziu um efeito interpretativo relevante: qualquer norma infraconstitucional, inclusive a própria LGPD, deve ser lida à luz do art. 5º, LXXIX, da Constituição Federal. Isso significa que, em caso de dúvida sobre o alcance de uma obrigação ou de uma exceção prevista na lei, o intérprete deve escolher a leitura que melhor proteja o titular dos dados, não a que mais favorece o agente de tratamento.
Bases legais do art. 7º da LGPD aplicáveis ao e-commerce
O e-commerce precisa identificar, para cada operação de tratamento de dados, qual das 10 hipóteses do art. 7º da LGPD a ampara. As mais comuns no varejo digital são:
- Consentimento (art. 7º, I): usado para envio de e-mail marketing e personalização de ofertas; exige manifestação livre, informada e inequívoca.
- Execução de contrato (art. 7º, V): cobre o cadastro, a entrega do produto e o pós-venda; dispensa consentimento adicional.
- Legítimo interesse (art. 7º, IX): aplicável a análise de fraude e segurança da operação; exige registro do teste de balanceamento de interesses.
- Cumprimento de obrigação legal (art. 7º, II): cobre a retenção de notas fiscais e dados contábeis exigidos pelo Fisco.
Estrutura sancionatória: art. 52 da LGPD e Regulamento de Dosimetria da ANPD
A ANPD regulamentou em 2023 os critérios de dosimetria das sanções administrativas, detalhando como fatores como a boa-fé do controlador, a adoção de boas práticas e a cooperação com a autoridade influenciam o valor final da multa. O teto legal é de 2% do faturamento do grupo econômico no Brasil no último exercício, limitado a R$ 50 milhões por infração. As sanções vão desde advertência e publicização da infração até bloqueio e eliminação dos dados tratados de forma irregular.
| Sanção (art. 52, LGPD) | Natureza | Limite |
|---|---|---|
| Advertência | Não pecuniária | Com prazo para correção |
| Multa simples | Pecuniária | Até 2% do faturamento, máx. R$ 50 mi/infração |
| Multa diária | Pecuniária | Mesmo teto acumulado |
| Publicização da infração | Reputacional | Não aplicável |
| Bloqueio ou eliminação dos dados | Operacional | Não aplicável |
Comunicação de incidentes: Resolução CD/ANPD 15/2024
A Resolução CD/ANPD 15/2024 fixou em 3 dias úteis o prazo para comunicação de incidentes de segurança à ANPD e aos titulares afetados, contados da ciência do controlador. O aviso tardio é agravante na dosimetria da multa. Lojas virtuais precisam ter um plano de resposta a incidentes documentado antes de qualquer vazamento, não depois.
Obrigações práticas para lojas virtuais em 2026
Do ponto de vista operacional, o e-commerce que ainda trata a LGPD como um checklist de política de privacidade está exposto a riscos que vão além das multas administrativas: ações civis coletivas de consumidores, bloqueio de processamento de dados por decisão judicial e danos reputacionais mensuráveis em queda de conversão. A conformidade precisa ser estruturada em processos, não apenas em documentos.
As obrigações mais críticas para o varejo digital incluem o mapeamento de dados (registro de atividades de tratamento exigido pelo art. 37 da LGPD), a nomeação de um Encarregado de Dados (DPO), a revisão dos contratos com plataformas de e-commerce, gateways de pagamento e ferramentas de marketing, e a implementação de mecanismos reais para atender os direitos dos titulares previstos no art. 18 da LGPD, como acesso, correção, portabilidade e eliminação dos dados. Esses direitos têm prazo de resposta e, descumpridos, geram reclamação direta à ANPD.
No aspecto contábil, os custos de conformidade precisam ser reconhecidos como despesas operacionais recorrentes, não como investimento pontual. Isso inclui honorários de DPO externo ou salário do interno, adequação de sistemas de TI, treinamento de equipe e auditoria periódica. Empresas que classificam esses gastos corretamente evitam distorções no resultado e facilitam a due diligence em operações societárias, onde a situação de LGPD da empresa-alvo é verificada com frequência crescente.
O gestor de e-commerce precisa tratar a LGPD como variável de custo recorrente e de risco jurídico mensurável, não como projeto de TI encerrado após a publicação da política de privacidade.
Lucas Mantovani, sócio da SAFIE (OAB-SP 506.733)
Proteção de dados como variável de gestão
A constitucionalização da proteção de dados, analisada pelo JOTA, reforça que a LGPD não é uma norma de vida curta sujeita a revogação política simples. Ela está ancorada na Constituição Federal e será interpretada de forma progressivamente mais exigente, acompanhando a jurisprudência do Supremo Tribunal Federal sobre direitos fundamentais. Para o e-commerce, isso significa que postergar a adequação aumenta, e não reduz, o custo total de conformidade.
A estrutura mínima viável de conformidade para uma loja virtual inclui mapeamento de dados atualizado, política de privacidade alinhada às bases legais efetivamente usadas, contratos de operação de dados com fornecedores e um canal funcional para atendimento de titulares. Esses quatro pilares não eliminam o risco, mas reduzem significativamente a exposição sancionatória e demonstram boa-fé perante a ANPD, fator que pesa na dosimetria das multas.