LGPD na loja virtual: a lição da multa do TikTok

Em 25 de agosto de 2026, o Diário Oficial da União publicou a decisão da ANPD que multou a ByteDance, controladora do TikTok, em R$ 153,7 milhões por falhas na proteção de dados de crianças e adolescentes.

O número chama atenção, mas não é a parte útil da notícia para quem tem loja virtual. A parte útil está no motivo — e o motivo cabe numa frase que deveria preocupar qualquer lojista: a empresa não conseguiu comprovar que fazia o que dizia fazer.

O que exatamente a ANPD apontou

Foram cinco infrações, ligadas aos artigos 6º (incisos VIII e X) e 7º da LGPD. Traduzindo do juridiquês, a autoridade concluiu que a empresa:

• tratou dados pessoais sem hipótese legal válida;
• deixou de adotar medidas para prevenir esse tratamento;
• deixou de demonstrar medidas eficazes e capazes de comprovar a observância das normas de proteção de dados.

Além da multa, vieram duas sanções que costumam doer mais que dinheiro: determinação de eliminar os dados coletados irregularmente e obrigação de implementar um plano de conformidade.

Repare no terceiro item. Ele não diz que a empresa não tinha medidas — diz que ela não conseguiu demonstrar que tinha. Na LGPD isso tem nome: princípio da responsabilização e prestação de contas. Na prática do dia a dia, significa que dizer “a gente cuida dos dados” não vale nada. O que vale é o registro.

Por que isso importa para uma loja com dez pedidos por dia

A comparação óbvia é injusta: sua loja não é o TikTok, não trata dados de milhões de adolescentes e não vai receber uma multa de nove dígitos. Nada disso está em discussão.

O que mudou é o ambiente. Em fevereiro de 2026, a Lei nº 15.352 transformou a ANPD em agência reguladora autônoma, com orçamento próprio e quadro em expansão. O efeito prático já apareceu: em 2026 a agência encaminhou 21 entidades diretamente para processo administrativo sancionador simplesmente porque não responderam a pedidos de informação.

Esse é o cenário que atinge o lojista médio. Ninguém vai auditar sua loja do nada. Mas basta uma denúncia de cliente, um vazamento de base ou um ofício não respondido para o assunto começar. E aí a pergunta é sempre a mesma: você consegue provar?

A LGPD prevê multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Para uma loja que fatura R$ 200 mil por mês, 2% é dinheiro real.

As três perguntas que a sua loja precisa saber responder

Antes de qualquer ferramenta, três perguntas objetivas:

1. Com que base legal você trata cada dado? Dados do pedido — nome, CPF, endereço — têm base sólida: são necessários para executar o contrato, e entram no conjunto de obrigações legais de quem abre um e-commerce. Já o e-mail que você usa para disparar promoção, o pixel que rastreia comportamento e o mapa de calor que grava a navegação são outra história. Esses dependem de consentimento ou de legítimo interesse bem fundamentado.

2. Você consegue mostrar quando e como a pessoa consentiu? Não “temos um banner”. Um registro com data, hora, versão do texto aceito e quais finalidades foram marcadas. Sem isso, o consentimento é alegação, não prova — e foi exatamente esse tipo de lacuna que pesou contra o TikTok.

3. O que acontece quando um cliente pede os dados dele de volta, ou pede exclusão? A LGPD dá esse direito e prazo para atender. Se hoje isso significa alguém do suporte procurando em três sistemas diferentes, você tem um problema esperando para acontecer — e vale rever também as práticas de backup, porque dado que você não consegue localizar é dado que você não consegue apagar quando pedirem.

O erro mais comum: o banner decorativo

O erro que mais vejo em loja virtual é o banner de cookies que não bloqueia nada. A tarja aparece, o cliente clica em “aceitar”, e a verdade é que o Google Analytics, o pixel de anúncio e o chat já tinham carregado antes de qualquer clique.

Isso é pior do que não ter banner. Você declara publicamente que pede consentimento, e a inspeção do próprio navegador mostra que a coleta começou antes do consentimento existir. É uma prova contra você, produzida por você.

Consentimento que vale precisa de três coisas:

• bloqueio prévio: nada de rastreamento dispara antes do aceite;
• granularidade: a pessoa pode aceitar o necessário e recusar o de marketing, separadamente;
• registro auditável: log íntegro do que foi aceito, quando e sob qual versão do texto.

A parceria da iSET com a AdOpt

Foi por isso que fechamos parceria com a AdOpt, que agora está no catálogo de integrações da plataforma.

A AdOpt é uma CMP — plataforma de gestão de consentimento — e resolve justamente a camada onde a maioria das lojas está descoberta:

• bloqueio prévio de tags e consentimento granular por finalidade;
• logs de consentimento criptografados, com trilha de auditoria para comprovar conformidade;
• gerador de documentos de privacidade, para quem não tem política escrita;
• hub de privacidade para receber e tratar pedidos de titulares;
• cobertura de mais de 40 legislações, incluindo LGPD, GDPR e CCPA — útil para quem vende para fora.

A escolha por uma ferramenta especializada, em vez de um script genérico, é deliberada: o que se compra ali não é o banner, é a prova. E prova é o item que faltou no caso que abriu este texto.

Do lado do lojista, a ativação é pelo painel, sem projeto técnico. Há período de teste gratuito e planos que começam em faixas acessíveis para loja pequena — o custo é ordens de grandeza menor que o de uma consultoria de adequação, e menor ainda que o de um processo.

Um roteiro curto para a semana que vem

Se você quer sair do zero sem parar a operação:

1. Liste o que a sua loja coleta. Pedido, newsletter, chat, pixel, mapa de calor. Escreva. A maioria dos lojistas se surpreende com o tamanho da lista.
2. Ative a gestão de consentimento com bloqueio prévio. É o item de maior risco e menor esforço.
3. Publique política de privacidade e de trocas de verdade, coerentes com o que a loja faz. Elas também são obrigatórias na abertura da loja.
4. Revise a segurança da loja. Vazamento é o caminho mais curto para uma fiscalização, e as medidas básicas de segurança continuam sendo a melhor prevenção.
5. Defina quem responde por dados na empresa. Em operação pequena, pode ser o dono — mas precisa ter nome e canal de contato publicado.
6. Teste o pedido de exclusão você mesmo, como se fosse cliente. Se levar mais de um dia, ajuste o processo.

Nenhum desses passos exige parar de vender, e todos produzem o que a ANPD cobrou do TikTok: evidência.

Resumo

A multa de R$ 153,7 milhões não é um aviso sobre o tamanho da punição — é um aviso sobre o tipo de falha que está sendo punida. Não foi ausência de política. Foi incapacidade de comprovar.

Para uma loja virtual, isso se traduz em algo bem concreto: banner que bloqueia de verdade, registro de consentimento que sobrevive a uma auditoria e um processo claro para atender o cliente que pede seus dados. Com a AdOpt na plataforma, essa camada deixou de ser um projeto e virou uma ativação.

Fontes: Autoridade Nacional de Proteção de Dados (ANPD), decisão publicada no Diário Oficial da União em 25/08/2026; Lei nº 15.352/2026; Lei nº 13.709/2018 (LGPD), arts. 6º, 7º e 52.