Contexto e proposta regulatória
A Defensoria Pública do Estado de São Paulo, por meio do Núcleo Especializado de Direito do Consumidor (Nudecon), apresentou parecer à Agência Nacional de Proteção de Dados (ANPD) propondo a adoção de diretrizes para o setor de comércio eletrônico. A iniciativa visa estabelecer parâmetros mínimos para políticas de privacidade adequadas à Lei Geral de Proteção de Dados Pessoais (LGPD), utilizando o caso da Decolar como estudo de caso para identificar irregularidades recorrentes no setor.
O relatório analisa quatro versões da política de privacidade da Decolar publicadas entre 2018 e 2026, identificando que as atualizações não foram suficientes para corrigir irregularidades relacionadas à transparência e ao controle dos consumidores sobre seus dados pessoais. A proposta busca subsidiar a elaboração de um manual com parâmetros mínimos destinados a todo o setor, garantindo concorrência justa e proteção mais abrangente.
Principais irregularidades apontadas
O relatório da Defensoria aponta diversas falhas nas políticas de privacidade analisadas, incluindo a ausência de vinculação clara entre o dado coletado, a finalidade, a base legal e os destinatários. O uso de consentimento genérico, incorporado à aceitação integral do contrato de adesão, sem que o consumidor possa recusar separadamente tratamentos não essenciais, é uma das principais preocupações.
Outro ponto crítico é a política de cookies, que adota a coleta automática sem um painel que permita ao usuário escolher separadamente cookies necessários, analíticos, publicitários ou destinados à formação de perfis. A redação da política de cookies vigente seria, em substância, a mesma de 2018, apesar da entrada em vigor da LGPD e da publicação de guias da ANPD sobre o tema.
Implicações regulatórias e LGPD
A proposta da Defensoria dialoga diretamente com a agenda da ANPD, que já elenca os direitos dos titulares de dados como um dos focos de fiscalização para o biênio 2026-2027. O relatório destaca que as práticas analisadas demandam avaliação quanto à sua aderência aos objetivos regulatórios, incluindo o monitoramento do uso secundário de dados pessoais para publicidade direcionada.
A ausência de um plano de resposta a incidentes de segurança é outro ponto de atenção. A versão mais recente da política menciona o tema, mas se limita a afirmar que a empresa adotará medidas para minimizar impactos, sem detalhar prazos, procedimentos ou compromisso de comunicação ao consumidor e à ANPD, o que pode violar obrigações previstas na LGPD.
Impacto por setor e Brasil
As desconformidades verificadas na política da Decolar não representam necessariamente uma situação isolada, mas podem refletir dificuldades presentes no comércio eletrônico em geral. Entre elas estão a falta de individualização das operações de tratamento, o uso de consentimentos genéricos e a ausência de informações suficientes sobre a transferência internacional de dados.
Para o setor de comércio eletrônico no Brasil, a adoção de diretrizes claras e uniformes pode dar maior segurança jurídica às empresas, uniformizar a aplicação da legislação e permitir que os consumidores compreendam, na prática, quais dados são utilizados e como podem exercer seus direitos. Isso é especialmente relevante considerando o crescimento do e-commerce e a dependência de dados pessoais para operações de marketing e vendas.
Medidas de conformidade recomendadas
Para atender às recomendações da Defensoria e da ANPD, as empresas de comércio eletrônico devem revisar suas políticas de privacidade, garantindo a individualização entre dado, finalidade, base legal e destinatário. A adoção de consentimento granular e o opt-in para finalidades não essenciais são passos fundamentais para a conformidade.
Além disso, é necessário detalhar as transferências internacionais de dados, identificar nominalmente o encarregado pelo tratamento de dados pessoais e disponibilizar canais acessíveis para o exercício dos direitos dos titulares. A criação de um protocolo diferenciado para o tratamento de dados de crianças e adolescentes também é essencial para mitigar riscos regulatórios.
O que os CISOs devem fazer imediatamente
Os líderes de segurança da informação e compliance devem revisar as políticas de privacidade de suas organizações, garantindo que estejam alinhadas com as diretrizes propostas. A implementação de gestão granular de cookies, com opt-in para aqueles que não sejam estritamente necessários, deve ser priorizada.
É crucial também estabelecer um plano formal de resposta a incidentes de segurança, com prazos e comunicação obrigatória ao titular e à ANPD. A revisão das políticas de acesso e o monitoramento da qualidade e atualização das senhas são práticas recomendadas para fortalecer a governança de dados.
Perguntas frequentes
Qual o impacto da proposta da Defensoria?
A proposta visa estabelecer parâmetros mínimos para políticas de privacidade, garantindo transparência e proteção aos consumidores no comércio eletrônico.
Como a LGPD se aplica ao comércio eletrônico?
A LGPD exige que as empresas tratem dados pessoais com transparência, finalidade específica e consentimento adequado, aplicando-se a todas as operações de coleta e uso de dados.
Quais são as penalidades por não conformidade?
As penalidades podem incluir multas de até 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração, além de sanções administrativas e danos reputacionais.