ANPD muda fiscalização da LGPD: o que lojas virtuais devem saber

A Autoridade Nacional de Proteção de Dados (ANPD) está revisando as regras que definem como ela fiscaliza empresas e aplica sanções com base na Lei Geral de Proteção de Dados (LGPD). A minuta do novo regulamento, que substituirá a Resolução CD/ANPD 1/2021, foi colocada em consulta pública em 9 de setembro de 2026, e o prazo para envio de contribuições pela plataforma Brasil Participativo termina em 26 de outubro de 2026.

Este texto trata de um desdobramento: a consulta não é nova, mas o prazo final se aproxima e o conteúdo da proposta interessa diretamente a lojas virtuais e marketplaces, que tratam grande volume de dados de clientes.

O que a ANPD está propondo

Segundo análises publicadas por escritórios que acompanham o tema, a minuta traz mudanças relevantes:

• Medidas cautelares sem ouvir a empresa antes, quando houver perigo de dano ou risco ao resultado do processo, com possibilidade de multa diária para assegurar o cumprimento.
• Medidas preventivas, como avisos, determinações de regularização e exigência de plano de conformidade. Elas não são sanções, mas o descumprimento pode pesar em um processo sancionador posterior.
• Procedimento investigativo mais estruturado, com abertura formal, coleta de provas e inspeções presenciais ou remotas.
• Regras mais rígidas de sigilo: documentos enviados sem indicação precisa do trecho sigiloso e da hipótese legal poderão ser tratados como públicos, e a empresa terá de apresentar uma versão pública.
• Comunicações pelo SEI, com cadastro obrigatório de usuário externo na primeira manifestação.
• Ampliação do alcance, incluindo matérias como o ECA Digital e a proteção de mulheres no ambiente digital.

Ressalva: trata-se de minuta em consulta pública. O texto ainda não está em vigor e pode ser alterado antes da aprovação final.

O que muda na prática para o e-commerce

Lojas virtuais lidam com cadastro de clientes, endereços, histórico de compras, dados de pagamento, cookies e ferramentas de marketing. Com a proposta, a ANPD ganha instrumentos para agir mais rápido. Uma loja que sofre um vazamento ou que mantém práticas questionáveis de coleta pode receber uma determinação cautelar com prazo curto e multa diária, antes mesmo de apresentar sua defesa.

Outro ponto prático é a gestão de documentos. Se a empresa enviar à ANPD contratos, relatórios internos ou dados comerciais sem marcar corretamente o que é sigiloso, essas informações poderão se tornar públicas. Isso exige cuidado especial com segredos de negócio, como dados de fornecedores e estratégias de preço.

Pequenas lojas também estão no radar

É comum que pequenos e médios lojistas acreditem que a fiscalização da LGPD se volta apenas às grandes plataformas. A LGPD vale para qualquer empresa que trate dados pessoais, e a ANPD já tem regras simplificadas para agentes de pequeno porte, mas isso não significa dispensa de obrigações básicas, como segurança da informação, transparência com o titular e atendimento a pedidos de acesso e exclusão. Com instrumentos mais ágeis, a tendência é que reclamações de consumidores sobre vazamento, envio de mensagens sem autorização ou dificuldade para excluir cadastro cheguem à Autoridade com mais frequência.

Datas de alto volume de vendas, como a Black Friday, também costumam concentrar ataques e golpes. Estar organizado antes desse período reduz o risco de um incidente se transformar em processo administrativo.

Checklist de preparação para lojas virtuais

• Atualize o mapeamento de dados: quais dados a loja coleta, para quê, onde ficam e com quem são compartilhados (plataforma, gateway, transportadora, ferramentas de marketing).
• Revise a política de privacidade e o aviso de cookies, conferindo se refletem o que a loja realmente faz.
• Tenha um plano de resposta a incidentes, com responsáveis definidos, modelo de comunicação e prazos.
• Indique o encarregado (DPO) ou verifique se a empresa se enquadra nas regras de dispensa para agentes de pequeno porte.
• Organize evidências de conformidade: registros de consentimento, contratos com operadores, treinamentos e relatórios de impacto, quando cabíveis.
• Defina quem receberá comunicações da ANPD e como a empresa vai cadastrar e monitorar o acesso ao SEI, para não perder prazos.
• Prepare um padrão de versão pública de documentos, identificando previamente informações sigilosas.
• Se vende produtos ou serviços para crianças e adolescentes, revise as exigências do ECA Digital.
• Considere enviar contribuições à consulta, diretamente ou por meio de associações do setor, até 26 de outubro.

Quando buscar orientação jurídica

É recomendável buscar orientação ao receber qualquer ofício ou pedido de informação da ANPD, após um incidente de segurança, ao contratar novas ferramentas que tratem dados de clientes e para revisar a documentação de conformidade antes que o novo regulamento entre em vigor. Também vale apoio jurídico para quem quiser apresentar contribuições técnicas na consulta pública.

Para analisar a situação da sua loja virtual, o escritório pode ajudar.