Nesta página
A LGPD no varejo exige que a loja identifique uma base legal antes de tratar dados de clientes. O consentimento precisa ser livre, informado e inequívoco, para uma finalidade determinada, e pode ser revogado. Agentes de pequeno porte têm regras simplificadas da ANPD, mas continuam obrigados a respeitar princípios, bases legais e direitos dos titulares.
O que a LGPD no varejo exige antes de cadastrar um cliente?
Conteúdo informativo, não substitui contador ou advogado. As regras citadas aqui seguem as fontes listadas ao final. Confira sempre a norma em vigor no site da ANPD.
O primeiro passo é escolher a base legal, que é a justificativa prevista em lei para usar o dado. No guia sobre tratamento de dados pelo poder público, a ANPD afirma que "uma das principais providências a serem tomadas antes de realizar o tratamento de dados pessoais é a de identificar a base legal aplicável". As hipóteses estão no art. 7º da LGPD. Para dados sensíveis, valem as do art. 11.
Entre as bases do art. 7º citadas nas fontes estão:
- Consentimento (art. 7º, I): o cliente concorda com o uso do dado.
- Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual o titular seja parte (art. 7º, V).
- Legítimo interesse (art. 7º, IX): o interesse do negócio, desde que compatível com a expectativa do titular.
- Cumprimento de obrigação legal ou regulatória.
O que isso muda na sua loja. Cada uso do cadastro precisa de uma base própria. Emitir a nota, enviar ofertas e manter um programa de fidelidade são finalidades diferentes, e cada uma pode ter uma base legal diferente.
Como deve ser o consentimento do cliente?
A LGPD define consentimento como a "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada" (art. 5º, XII). Para dados sensíveis, ele deve ser dado "de forma específica e destacada, para finalidades específicas" (art. 11, I).
Segundo a ANPD, isso significa que:
- a autorização precisa ser intencional;
- o titular deve saber exatamente para que fim o dado será usado;
- é vedada a autorização tácita e para finalidades genéricas;
- deve haver uma escolha real entre autorizar e recusar;
- o titular pode revogar o consentimento a qualquer momento.
O que isso muda na sua loja. Se a loja usar o consentimento como base, por exemplo para enviar ofertas por WhatsApp ou e-mail, a pergunta no cadastro precisa ser clara e separada. Um aviso genérico ou uma caixa já marcada não atende a essas exigências. A loja também precisa de um jeito simples para o cliente retirar a autorização.
O que o caso do WhatsApp na ANPD ensina ao lojista?
Na Nota Técnica nº 02/2021, a ANPD analisou a nova política de privacidade do WhatsApp. Entre as preocupações apontadas estavam as práticas de compartilhamento ligadas ao WhatsApp Business, que permitem que o conteúdo de mensagens e dados de usuários saiam do domínio do WhatsApp e entrem em domínio de terceiros. Segundo o Anuário do Observatório da LGPD da UnB, as sanções administrativas (arts. 52 a 54) ainda não estavam em vigor quando a nota foi formulada.
A ANPD pediu esclarecimentos que funcionam como lista de verificação para qualquer negócio que compartilha dados:
- quais tipos de dados são compartilhados e com quem;
- de onde vêm os dados e como são armazenados;
- qual a finalidade do compartilhamento;
- qual a base legal e por que ela se aplica;
- como o consentimento é obtido e guardado, e o que acontece se o titular recusar;
- como o titular exerce os direitos do art. 18 da LGPD;
- quais mecanismos de segurança são usados.
Segundo trabalho da UFRN, as falhas identificadas incluíam informações pouco claras, base legal não explicitada e mecanismos frágeis de consentimento. Depois da fiscalização, o WhatsApp revisou as políticas, explicitou as bases legais e fortaleceu os canais para o titular pedir acesso, correção e exclusão de dados.
O que isso muda na sua loja. Quando você usa uma ferramenta de mensagens no atendimento, os dados do cliente passam por terceiros. Saber responder às perguntas da lista acima ajuda a demonstrar transparência.
O site da loja precisa pedir consentimento para cookies?
Cookies são arquivos que guardam informações da navegação. Segundo o resumo do escritório Lefosse sobre o guia orientativo da ANPD, eles se dividem em próprios ou de terceiros, necessários ou não necessários, e, pela finalidade, em analíticos, de funcionalidade e de publicidade.
O que a ANPD indica no guia:
- o consentimento não é a base adequada para cookies estritamente necessários, porque não há espaço para escolha livre;
- o consentimento se adequa melhor aos cookies não necessários;
- o legítimo interesse pode servir para cookies estritamente necessários e para cookies analíticos em diversos contextos, como a medição de audiência;
- para publicidade, o legítimo interesse dificilmente será a base mais apropriada, e o consentimento é considerado mais adequado;
- a política de cookies não tem forma obrigatória e pode constar, de forma destacada, na política de privacidade;
- no banner inicial, deve existir a opção de rejeitar os cookies não necessários e de selecionar quais aceitar, e não apenas o botão de aceitar.
O que isso muda na sua loja. Se o site ou a loja virtual usa cookies de publicidade, o banner precisa oferecer a opção de recusar.
Quais regras da ANPD valem para negócios de pequeno porte?
A Resolução CD/ANPD nº 2/2022 simplifica obrigações para agentes de tratamento de pequeno porte. Agente de tratamento é quem decide sobre o uso dos dados ou os trata. Segundo dissertação da PUC Minas, a simplificação muda o modo de cumprir a lei, mas não dispensa o essencial. Pelo art. 6º da resolução, esses agentes continuam obrigados a respeitar princípios, bases legais, direitos dos titulares e ajustes contratuais.
Pontos da resolução citados na fonte:
- Art. 8º: os agentes de pequeno porte podem se organizar por entidades de representação da atividade empresarial para negociar, mediar e conciliar reclamações de titulares.
- Art. 9º: o registro das operações de tratamento, exigido pelo art. 37 da LGPD, pode ser feito de forma simplificada, com modelo fornecido pela ANPD.
- Art. 10: a ANPD vai dispor sobre procedimento simplificado de comunicação de incidente de segurança.
O art. 48 da LGPD prevê comunicar à ANPD e aos titulares afetados o incidente que possa gerar "risco ou dano relevante aos titulares". Segundo a mesma dissertação, enquanto o tema não era regulamentado, a ANPD recomendava comunicar com a maior brevidade possível, indicando o prazo de 2 dias úteis previsto no Decreto nº 9936/2019. Confira a regra atual no site da ANPD.
A fonte lembra ainda que manter registro das operações é uma boa prática de governança. A adoção de mecanismos internos para tratamento seguro pode ser considerada para atenuar sanções, conforme o art. 52, VIII, da LGPD.
Quais direitos o cliente tem e como aplicar na sua loja esta semana?
Os direitos dos titulares estão nos arts. 17 a 22 da LGPD, com proteção específica para crianças e adolescentes no art. 14. As fontes citam, entre eles, o acesso, a correção e a exclusão de informações. A LGPD também prevê a transparência na relação com o titular (art. 6º, IV e VI; art. 9º).
Aplique na sua loja esta semana
1. Liste os dados que a loja coleta no caixa, no cadastro, na fidelidade, no WhatsApp e no site. Anote onde ficam guardados e quem tem acesso. 2. Para cada uso, anote a finalidade e a base legal escolhida. 3. Revise o texto do cadastro. Se o envio de ofertas depender de consentimento, faça uma pergunta clara e separada e explique como o cliente pode cancelar. 4. Defina um canal simples para o cliente pedir acesso, correção ou exclusão dos dados, e quem na equipe responde. 5. Se tiver site, verifique se o banner de cookies permite rejeitar os cookies não necessários. 6. Combine com a equipe o que fazer se houver vazamento, acesso indevido ou perda de dados.
A Salon Line acredita que lojista bem informado e equipe bem preparada vendem mais e melhor. Em temas jurídicos, isso inclui conversar com um advogado antes de mudar seus processos.
Linha do tempo
- 2016 O WhatsApp passa a compartilhar metadados com o Facebook, empresa do mesmo grupo econômico, segundo o Anuário do Observatório da LGPD da UnB.
- janeiro de 2021 O WhatsApp notifica os usuários sobre atualizações na sua Política de Privacidade e Termos de Serviço. A ANPD acompanha o caso e elabora a Nota Técnica nº 02/2021 e uma Recomendação Conjunta.
- 27 de janeiro de 2021 A Portaria nº 11 publica a agenda regulatória da ANPD, que prevê um guia de boas práticas sobre hipóteses legais de tratamento de dados pessoais.
- março de 2021 A ANPD inicia fiscalização sobre o TikTok, a partir de denúncia sobre tratamento de dados sem consentimento válido e riscos à privacidade de crianças e adolescentes.
- 2022 A Resolução CD/ANPD nº 2/2022 adapta obrigações da LGPD aos agentes de tratamento de pequeno porte.
Perguntas frequentes
Uma loja pequena precisa cumprir a LGPD?
Sim. A Resolução CD/ANPD nº 2/2022 simplifica o modo de cumprir algumas obrigações para agentes de pequeno porte, como o registro das operações. Pelo art. 6º da resolução, porém, eles continuam obrigados a respeitar princípios, bases legais, direitos dos titulares e ajustes contratuais.
Posso considerar que o cliente aceitou receber mensagens porque deixou o telefone no cadastro?
Se a base legal for o consentimento, não. Segundo a ANPD, a autorização deve ser intencional e para finalidade determinada. É vedada a autorização tácita e para finalidades genéricas, e o titular pode revogar o consentimento a qualquer momento.
Consentimento é a única base legal possível?
Não. O art. 7º da LGPD prevê outras hipóteses, como execução de contrato, legítimo interesse e cumprimento de obrigação legal. No guia de cookies, por exemplo, a ANPD aponta o legítimo interesse para cookies necessários e analíticos, e o consentimento como mais adequado para publicidade.
O que é um incidente de segurança com dados pessoais?
Para a ANPD, é qualquer evento adverso confirmado ligado à violação da segurança de dados pessoais, como acesso não autorizado, acidental ou ilícito que resulte em destruição, perda, alteração ou vazamento, e que possa gerar risco aos direitos do titular.
Fontes
- ANPD: Guia de tratamento de dados pessoais pelo poder público · oficial
- Anuário do Observatório da LGPD da Universidade de Brasília · academica
- PUC Minas: dissertação do Programa de Pós-graduação em Direito sobre proteção de dados e agentes de pequeno porte · academica
- UFRN: trabalho de graduação sobre RIPD e LGPD, com casos WhatsApp e TikTok · academica
- Lefosse: ANPD publica Guia Orientativo sobre o uso de cookies · empresa
