A Lei Geral de Proteção de Dados (LGPD) deixou de ser tema teórico em 2026. Com a ANPD em plena fiscalização, multas públicas em volume crescente e jurisprudência consolidada, qualquer e-commerce brasileiro — de microempresa a grande varejista — precisa estar em conformidade. Este guia prático cobre o que importa para sua loja virtual em 2026.
TL;DR — LGPD para e-commerce em 60 segundos
- A LGPD se aplica a TODA empresa que opera no Brasil ou trata dados de brasileiros, mesmo que sediada no exterior (Art. 3, alcance extraterritorial)
- Multas: até R$ 50 milhões por infração (2% do faturamento limitado), além de advertência, bloqueio de dados e suspensão de atividade (Art. 52)
- Pequenas empresas NÃO estão isentas — ANPD reafirmou em 2024. Apenas regras simplificadas, não dispensa
- 9 direitos do titular obrigatórios (Art. 18): acesso, correção, anonimização, portabilidade, eliminação, revogação de consentimento, etc.
- Documentos obrigatórios: Política de Privacidade (Art. 9), Política de Cookies, Termos de Uso e Aviso de Cookies com consentimento
O que é a LGPD?
A LGPD (Lei n. 13.709/2018) é a lei brasileira de proteção de dados pessoais, em vigor desde 18 de setembro de 2020, com sanções administrativas aplicáveis desde agosto de 2021. Inspirada no GDPR europeu, a lei é fiscalizada pela Autoridade Nacional de Proteção de Dados (ANPD), criada em 2018 e operacional desde 2020.
A LGPD estabelece princípios (Art. 6), bases legais para tratamento (Art. 7), direitos dos titulares (Art. 18) e sanções administrativas (Art. 52). Para uma visão geral da lei, consulte nosso guia completo da LGPD para empresas brasileiras.
A LGPD se aplica à minha loja virtual?
Critério territorial (Art. 3, I)
Toda operação de tratamento de dados realizada no território nacional está sujeita à LGPD. Se sua empresa tem CNPJ brasileiro, servidores no Brasil ou equipe operando aqui, você é controlador (ou operador) sob a lei.
Critério extraterritorial (Art. 3, II e III)
A LGPD também se aplica a empresas estrangeiras que:
- Ofertem ou forneçam bens ou serviços a titulares localizados no Brasil
- Tratem dados pessoais coletados no território brasileiro
Ou seja, uma loja Shopify operada de Portugal ou um marketplace na Espanha que aceita compras com CPF estão sujeitos à LGPD. Esse alcance é similar ao GDPR, embora com diferenças importantes — ver LGPD vs GDPR: principais diferenças.
Pequenas empresas NÃO estão isentas
Em 2022, o Decreto 11.080 e a Resolução CD/ANPD 2/2022 criaram regras simplificadas para microempresas, empresas de pequeno porte, startups e empreendedores individuais. Em 2024, a ANPD reforçou em comunicado público: regras simplificadas não significam dispensa.
O que é simplificado:
- Relatório de impacto à proteção de dados (RIPD) facultativo
- Prazos dobrados para responder titulares (30 dias em vez de 15)
- Comunicação de incidentes em formulário simplificado
O que continua obrigatório:
- Política de privacidade pública e clara
- Base legal válida para cada tratamento
- 9 direitos do titular garantidos
- Indicação de Encarregado (DPO)
- Comunicação de vazamentos à ANPD
Os 9 direitos do titular (Art. 18) que sua loja deve garantir
Todo titular — cliente, visitante, leadnewsletter — tem direito a, mediante requisição gratuita:
- Confirmação da existência de tratamento dos seus dados pessoais
- Acesso aos dados (formato simplificado ou cópia integral)
- Correção de dados incompletos, inexatos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade
- Portabilidade dos dados a outro fornecedor de serviço
- Eliminação dos dados pessoais tratados com base no consentimento
- Informação sobre compartilhamento com terceiros (entidades públicas e privadas)
- Informação sobre a possibilidade de não fornecer consentimento e suas consequências
- Revogação do consentimento a qualquer momento, mediante manifestação expressa
A loja deve disponibilizar canal claro (e-mail, formulário web, área do cliente) para receber e processar essas solicitações em até 15 dias (ou 30 para PME qualificada).
Documentos obrigatórios para loja virtual em 2026
1. Política de Privacidade (Art. 9)
Documento público que informa: dados coletados, finalidades, base legal, prazo de conservação, compartilhamento com terceiros (Stripe, Mercado Pago, Correios, marketplaces), direitos do titular, contato do Encarregado e da ANPD. Deve ser linguagem clara, não juridiquês. Veja nosso modelo de política de privacidade LGPD.
2. Política de Cookies
Detalha cada cookie ou tecnologia similar utilizada (Google Analytics, Meta Pixel, hotjar, Stripe), sua finalidade, duração e categoria (necessário, analítico, marketing, preferências). Articula-se com a LGPD e o Marco Civil da Internet — ver política de cookies: regras e sanções.
3. Termos de Uso (CGU)
Define as regras do contrato entre a loja e o usuário: cadastro, conta, compra, devolução, propriedade intelectual, limitações de responsabilidade, foro. Não é exigido pela LGPD diretamente, mas pelo Código de Defesa do Consumidor (Lei 8.078/90) e Marco Civil.
4. Aviso/Banner de Cookies com consentimento
Banner exibido na primeira visita, com botões claros: “Aceitar todos”, “Rejeitar todos” e “Personalizar”. Sem pré-marcação de caixas, sem dark patterns. Cookies analíticos e de marketing só disparam após consentimento explícito (opt-in).
Multas LGPD em 2024-2026 — exemplos reais ANPD
Tipos de sanção administrativa (Art. 52):
- Advertência, com prazo para correção
- Multa simples: até 2% do faturamento da pessoa jurídica de direito privado, limitada a R$ 50 milhões por infração
- Multa diária
- Publicização da infração
- Bloqueio dos dados pessoais
- Eliminação dos dados pessoais
- Suspensão parcial ou total do banco de dados
- Suspensão do exercício da atividade de tratamento por até 6 meses
- Proibição parcial ou total do exercício de atividades
A primeira multa pública da ANPD ocorreu em julho de 2023 contra uma microempresa que se recusou a cooperar com a investigação (R$ 14.400). Em 2024-2025, processos contra grandes plataformas (Meta/WhatsApp, OpenAI, Serasa, operadoras de telecom) avançaram, com sanções acumuladas na faixa de centenas de milhares a milhões de reais. Para valores atualizados, consulte o boletim oficial da ANPD.
Checklist de conformidade LGPD em 10 minutos
- Política de Privacidade publicada, datada e linkada no rodapé
- Política de Cookies detalhada, com lista atualizada de cookies e finalidades
- Banner de cookies com botões “Aceitar”, “Rejeitar” e “Personalizar” — sem pré-marcação
- Encarregado (DPO) indicado, com nome e e-mail públicos
- Canal funcional para exercício de direitos do titular (e-mail dpo@ ou formulário web)
- Base legal documentada para cada finalidade de tratamento (consentimento, execução contratual, legítimo interesse, etc.)
- Termos de Uso publicados e aceitos no checkout
- Lista de operadores e suboperadores (Stripe, Mercado Pago, Correios, plataforma de e-mail) mapeada
- Procedimento interno de comunicação de incidentes à ANPD em até 72h
- Registros de tratamento (Art. 37) atualizados, mesmo em formato simplificado para PME
Pode escanear sua loja para diagnóstico rápido em /pt/scan/.
Como gerar documentos LGPD-compliant rapidamente
Três caminhos:
- Advogado especializado: 60-90 dias, custo R$ 3.000-15.000 por documento, alta personalização. Indicado para grupos com tratamento sensível ou multinacional.
- Modelos genéricos gratuitos: 0 R$, mas frequentemente desatualizados ou genéricos demais para responder a exigências da ANPD. Risco de não conformidade material.
- Geradores de IA especializados como WebLegal: 5-10 minutos, três pacotes de 2 a 4 documentos por 19,90-49,90 € (≈ R$ 110-275), formulário guiado, jurisdição brasileira nativa, multilíngue (PT, EN, ES) para lojas que vendem para América Latina e Europa. Sem venda de documentos avulsos.
Para uma análise comparativa detalhada, ver gerador IA de documentos legais: guia completo 2026 ou a comparação específica Iubenda vs Termly vs WebLegal.
Conclusão
A LGPD é o novo padrão operacional do e-commerce brasileiro. Em 2026, com a ANPD madura e jurisprudência consolidada, a não conformidade não é mais um risco abstrato — é um custo financeiro e reputacional concreto. A boa notícia: o núcleo da conformidade (política de privacidade, cookies, direitos do titular) pode ser implementado em uma manhã de trabalho com as ferramentas certas.
