BLINDAGEM JURÍDICA PARA E-COMMERCE: SEU NEGÓCIO DIGITAL ESTÁ REALMENTE PROTEGIDO?

Loja virtual aberta, checkout de pagamento integrado, e-mail marketing disparando promoção toda semana. Para o empreendedor digital, esse é o retrato do negócio funcionando. O que costuma passar despercebido é que, a cada pedido finalizado, o site coletou nome, CPF, endereço, telefone, e-mail e histórico de compra do cliente, e que esse conjunto de dados, por lei, não pertence à loja para usar como quiser. É rotina, e também dúvida frequente de quem empreende online: uma política de privacidade copiada da internet e um "aceito os termos" no rodapé do site já bastam para proteger o negócio?

A resposta curta é não. E a resposta completa exige entender os reflexos que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) não trata a política de privacidade como peça decorativa, mas como retrato fiel de uma operação comercial. O artigo 7º da lei lista as bases legais que autorizam o tratamento de dados, como consentimento, execução de contrato ou legítimo interesse, e cada uma dessas bases precisa corresponder ao que a empresa efetivamente faz. Não existe base legal genérica que sirva para qualquer coleta. Se o documento publicado no site diz uma coisa e a operação faz outra, esse descompasso não é falha de redação, é prova documental contra o próprio negócio caso haja fiscalização da Autoridade Nacional de Proteção de Dados (ANPD) ou disputa judicial movida por um cliente em casos de, por exemplo, fraudes e práticas golpistas aplicadas dentro da plataforma comercial por terceiros.

Aqui mora a confusão mais comum entre quem vende online: tratar a LGPD como assunto de marketing ou de TI, quando na verdade é estrutura contratual. Toda integração da loja virtual com terceiros, gateway de pagamento, plataforma de e-mail, ferramenta de CRM, chatbot de atendimento, é um ponto de compartilhamento de dados pessoais. O artigo 39 da LGPD exige que esse tratamento por operador siga instruções documentadas do controlador, o que na prática significa contrato formal prevendo o que cada fornecedor pode fazer com os dados repassados. Negócio digital que integra ferramenta atrás de ferramenta sem nenhum contrato de processamento de dados assinado está, tecnicamente, perdendo o controle sobre informação pela qual continua sendo responsável perante a lei.

O risco prático não está apenas na multa, embora ela exista e não seja pequena: o artigo 52 prevê sanção de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração. O risco maior, para o pequeno e médio negócio digital, costuma ser outro: a ausência de um protocolo de resposta a incidente. O artigo 48 obriga a comunicação à ANPD e aos titulares afetados em prazo razoável quando há vazamento que possa acarretar risco relevante. Empresa que descobre um incidente e não sabe quem avisar, em quanto tempo e com que redação, perde tempo precioso justamente no momento em que a lei cobra agilidade, e essa demora pesa contra o negócio na avaliação de eventual sanção.

Para quem opera e-commerce ou qualquer negócio digital no dia a dia, alguns cuidados reduzem esse risco de forma concreta: manter a política de privacidade condizente com o que a operação realmente coleta e faz com os dados, e não com um modelo genérico baixado da internet; formalizar contrato de processamento de dados com cada fornecedor que tenha acesso a informação de cliente; e ter, previamente definido, um fluxo interno de resposta a incidente, com responsável, prazo e canal de comunicação já estabelecidos antes que o problema apareça. Negócio digital que trata a proteção de dados como estrutura, e não como formalidade de rodapé, evita o retrabalho caro de reconstruir tudo isso depois de um vazamento ou de uma notificação da ANPD.

O comércio eletrônico brasileiro não vai parar de crescer, e a exigência regulatória sobre ele também não. O que separa um negócio blindado de um exposto não é o tamanho da empresa, é a existência de estrutura jurídica e documental compatível com a operação real. Revisar essa estrutura antes que o risco se materialize é, sempre, a opção mais barata.

Claudia Cavalcante
Advogada OAB/SP 468.550