Primeiro: você trata dado pessoal?
A pergunta que organiza tudo é se dados pessoais de compradores passam pelas suas mãos. Um creator afiliado que só publica vídeo e recebe comissão normalmente não recebe nome nem endereço de ninguém — quem trata esses dados é a plataforma.
Já o vendedor recebe. Para separar, embalar e postar um pedido, você tem nome, endereço, telefone e às vezes documento. A partir do momento em que esses dados estão com você, as obrigações da LGPD passam a fazer sentido para o seu caso.
O regulamento da ANPD registra ainda que ele não se aplica ao tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos. Vender é fim econômico, então essa exceção não cobre a sua operação.
Consentimento não é a base legal do envio
Esse é o erro conceitual mais espalhado sobre a LGPD, e ele gera trabalho inútil. O artigo 7º lista várias hipóteses que autorizam o tratamento, e o consentimento é apenas a primeira delas.
O inciso V autoriza o tratamento quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados. É exatamente a situação de alguém que comprou e quer receber o produto.
A consequência prática é boa: você não precisa pedir autorização para usar o endereço na entrega, porque a entrega é o contrato. Onde o consentimento volta a importar é no uso que vai além disso — mandar promoção depois, montar lista de marketing, compartilhar contato com terceiros.
O que a ANPD dispensou para pequeno porte
A Resolução CD/ANPD nº 2, de 2022, aprovou um regulamento específico para agentes de tratamento de pequeno porte, que a norma define incluindo microempresas e empresas de pequeno porte — com o microempreendedor individual expressamente citado —, startups, pessoas jurídicas de direito privado inclusive sem fins lucrativos e pessoas naturais que tratam dados assumindo obrigações de controlador ou operador.
| Obrigação | Como fica para pequeno porte | Base |
|---|---|---|
| Registro das operações de tratamento | Pode ser cumprido de forma simplificada; a ANPD fornece modelo | Art. 9º |
| Comunicação de incidente | A ANPD disporá sobre flexibilização ou procedimento simplificado | Art. 10 |
| Encarregado (DPO) | Não é obrigatório indicar | Art. 11 |
| Canal de comunicação | Quem não indica encarregado deve disponibilizar canal com o titular | Art. 11, §1º |
| Prazo para pedidos do titular | Concedido em dobro | Art. 14, I |
| Prazo para comunicar incidente | Em dobro, com exceções | Art. 14, II |
Quem não pode usar o regime simplificado
- Quem realiza tratamento de alto risco para os titulares, conforme os critérios do próprio regulamento.
- Quem aufere receita bruta superior ao limite da Lei Complementar nº 123 para empresa de pequeno porte.
- Quem pertence a grupo econômico, de fato ou de direito, cuja receita global ultrapasse esse limite.
- Vale notar que a dispensa do encarregado não é dispensa de responsabilidade: indicar um encarregado é considerado boa prática de governança pela própria resolução.
- E a exceção do prazo em dobro para incidentes vale quando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional.
O que continua valendo para todo mundo
Segurança não foi flexibilizada em substância. O artigo 46 da LGPD exige que os agentes adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou tratamento inadequado. E determina que essas medidas sejam observadas desde a fase de concepção do produto ou serviço.
Os direitos do titular também continuam. Pelo artigo 18, a pessoa pode pedir confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos, portabilidade e eliminação.
E o artigo 48 obriga o controlador a comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante — com o prazo em dobro para pequeno porte, mas com a obrigação mantida.
O que costuma dar errado na prática
- Exportar a lista de compradores para uma planilha pessoal e nunca mais apagar.
- Jogar nome e endereço em grupo de WhatsApp com a equipe de expedição.
- Usar o contato de quem comprou para disparar promoção, sem base legal para essa finalidade.
- Guardar dado que não é mais necessário porque nunca ninguém definiu por quanto tempo guardar.
- Compartilhar a base com um parceiro ou agência sem nenhum controle sobre o que ele faz com ela.
- Não ter canal nenhum para a pessoa pedir acesso ou exclusão dos dados dela.
O básico que resolve a maior parte do risco
A leitura editorial da 4You é que, para uma operação pequena, quase tudo se resume a coletar menos, guardar menos tempo e restringir quem acessa. Não é sofisticação jurídica: é higiene operacional.
Registre de forma simplificada o que você trata e para quê, defina por quanto tempo guarda, mantenha um canal onde a pessoa possa falar com você sobre os dados dela, e não use dado de comprador para finalidade diferente da compra sem uma base que sustente isso.
Esta página não é parecer jurídico e a 4You não é escritório de advocacia. Lemos a lei no site do Planalto e a resolução no site da ANPD e apontamos onde elas estão, para você conferir na fonte e, se precisar, levar a um advogado.
Perguntas frequentes
Preciso de consentimento do cliente para enviar o pedido?
Não necessariamente. O artigo 7º da LGPD lista várias hipóteses de tratamento, e o inciso V autoriza o tratamento necessário para a execução de contrato do qual o titular seja parte, a pedido dele. Entregar o que foi comprado é execução do contrato. O consentimento importa para usos que vão além disso, como marketing posterior.
Creator afiliado precisa se preocupar com LGPD?
Depende de receber dados pessoais. Quem apenas publica vídeo e recebe comissão normalmente não recebe nome nem endereço de comprador, porque quem trata esses dados é a plataforma. As obrigações passam a fazer sentido quando dados de pessoas passam pelas suas mãos.
MEI precisa nomear encarregado de dados?
O artigo 11 da Resolução CD/ANPD nº 2/2022 estabelece que agentes de tratamento de pequeno porte não são obrigados a indicar encarregado. Quem não indicar deve disponibilizar um canal de comunicação com o titular. A norma inclui expressamente o microempreendedor individual entre os agentes de pequeno porte.
O que muda no prazo para atender pedidos de titulares?
O artigo 14 da resolução concede prazo em dobro aos agentes de pequeno porte, tanto no atendimento das solicitações dos titulares quanto na comunicação de incidente de segurança — nesse caso com exceção quando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional.
Quem não pode usar o regime simplificado?
Quem realiza tratamento de alto risco para os titulares, quem tem receita bruta acima do limite da Lei Complementar nº 123 para empresa de pequeno porte, e quem pertence a grupo econômico cuja receita global ultrapasse esse limite.
Fontes e metodologia
Priorizamos documentação oficial, indicamos a data da análise e separamos fatos publicados de interpretação editorial. Recomendações do 4You não são garantia de resultado.