Em julho de 2019, a [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) (a regulação geral de proteção de dados da União Europeia) pediu a maior multa da história da lei: 183 milhões de euros. A empresa multada foi a [British Airways](https://oglobo.globo.com/economia/defesa-do-consumidor/british-airways-multada-em-us-230-milhoes-por-caso-de-roubo-de-dados-de-passageiros-23791711), companhia aérea inglesa. O motivo foi o seguinte: a empresa, por falha de segurança, vazou dados pessoais de mais de 500 mil clientes.

Ja faz algum tempo que a LGPD entrou em vigor, mas o assunto ainda continua gerando muitas dúvidas aos brasileiros. Quais multas são previstas na LGPD? Qual é a multa máxima que uma empresa pode receber? Qual é o prazo para um site se adequar e não ser multado?

Neste artigo responderemos todas as suas perguntas com relação às multas da Lei Geral de Proteção de Dados.

## Quais multas foram aplicadas na GDPR?

Na União Europeia, empresas podem ser penalizadas com uma multa de 20 milhões de euros ou até 4% do faturamento, aquilo que for maior. Como vimos, a British Airways teve um prejuízo de 183 milhões de euros pelo mau uso de dados.

A Alemanha multou em 1,5 mil dólares um policial que utilizou, para fins pessoais, a placa de carro de um cidadão para encontrar o número telefônico dele. Ou seja, não apenas grandes empresas que chamam atenção com seus erros e são penalizadas.

Mas e a nossa LGPD? Essas multas serão as mesmas na Lei Geral de Proteção de Dados, inspirada no regulamento europeu?

## Quais casos na LGPD são passíveis de multa?

A LGPD deve ser acatada por inteiro, não em partes. A British Airways, por um deslize não proposital, foi multada em valor recorde.

Por isso, é de extrema importância que você leia [tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) e se adeque o mais rápido possível. Toda empresa deverá ter um Encarregado de Proteção de Dados e é recomendável que utilize uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/), o que torna o trabalho muito mais fácil.

Deslizes maiores acarretarão em multas maiores; deslizes menores, obviamente, serão penalizados de forma diferente. A lei diz que os seguintes fatores serão levados em conta: 

•	A gravidade e a natureza das infrações e dos direitos pessoais afetados;
•	A boa-fé do infrator;
•	A vantagem auferida ou pretendida pelo infrator;
•	A condição econômica do infrator;
•	A reincidência;
•	O grau do dano;
•	A cooperação do infrator;
•	A adoção de política de boas práticas e governança;
•	A pronta adoção de medidas corretivas; e
•	A proporcionalidade entre a gravidade da falta e a intensidade da sanção.

As sanções administrativas completas estão no artigo 52 da lei, que pode ser consultada [aqui](http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm).

## Quais são as multas e penalidades na LGPD?

A LGPD prevê seis penalidades ou multas. São elas:

1.	Advertência. Essa advertência virá com um prazo para que a empresa se adeque à legislação. Se não se corrigir no prazo estipulado, haverá penalidade.

2.	Multa simples em cima do faturamento. Essa multa pode ser de até 2% do faturamento da pessoa jurídica. O limite é de 50 milhões de reais por infração.

3.	Multa diária. Essa multa também será limitada a 50 milhões de reais.

4.	Publicização da infração. A infração se tornará pública e os prejuízos à imagem da empresa poderão ser enormes.

5.	Bloqueio dos dados pessoais. Essa sanção administrativa impede que as empresas utilizem os dados pessoais coletados até a situação se regularizar.

6.	Eliminação dos dados pessoais. A sexta penalidade prevista na LGPD obriga a empresa a eliminar por completo os dados coletados em seus serviços, causando danos à operação da empresa.

O limite das multas na LGPD é de 50 milhões. Mas algumas das penalidades podem ser ainda piores, dependendo da empresa. Por exemplo, assumir publicamente o vazamento de dados pessoais de milhares de clientes pode derrubar até mesmo empresas sólidas, minando totalmente a credibilidade de uma marca.

Mas essas multas também se aplicam a negócios menores, com pequenas operações de tratamento de dados? Ou apenas a empresas grandes, como a British Airways e o Google?

## Qualquer um pode ser multado?

A lei fala de “agentes de tratamento”. Qualquer site ou empresa que realiza coleta de dados se torna, automaticamente, um agente de tratamento.

Mas há exceções. São elas:

•	Pessoas naturais que utilizem dados para fins particulares e não econômicos;
•	Pessoas que utilizem dados para fins jornalísticos, artísticos ou acadêmicos;
•	Agentes de segurança pública ou defesa nacional que utilizem dados para cumprir a lei.

Nestas hipóteses, não há a necessidade de um consentimento formal. Portanto, não existe a possibilidade de multa, tendo em vista que não infringem a lei.

Mas todo negócio, sem exceção, estará sujeito às multas assim que a lei entrar em vigor. Mas enquanto não entra você tem uma tarefa:

## Qual é o prazo para adequação?

O prazo já acabou! A lei entrou em vigor em território nacional no dia 16 de agosto de 2020.

Se a sua empresa ainda não está adequada recomendamos que comece o quanto antes e obtenha o máximo de informações sobre a lei, para seu negócio não estar sujeito às multas e penalidades. Para entender melhor o regulamento, leia o artigo [Tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)!


Multas na LGPD – Quais são, valores e prazos de adequação

Ter um aviso de cookies no site da sua marca tornou-se indispensável para muitos. Já para os e-commerces acabou se tornando, praticamente, uma obrigação tê-lo. Pois, esse tipo de site possui uma composição tecnológica cujos cookies são parte estrutural. Fluxo de login, itens no carrinho, vitrine de recomendação, remarketing… Todos na sua grande maioria disparam cookies.

Com isso, o uso de cookies é algo essencial para que o comércio online sobreviva. Logo, também os banners de cookies, para evitar multas e outros tipos de penalidades que podem se impor após a entrada da [LGPD (a Lei Geral de Proteção de Dados)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) em vigor.

Contudo, saibamos que além da simples obrigação por lei, o aviso de cookies mantém uma relação transparente e aberta com o público.

Nossa experiência nos permite antecipar para você algumas "consequências" do aviso de cookies na sua loja virtual. É importante que você entenda cada uma delas para não ser pego de surpresa e conseguir se ajustar a essa nova realidade.

## Aviso de cookies: O que é?

Como o nome dele já indica, o aviso de cookies nada mais é do que um alerta sobre o uso desse tipo de dado pelo seu site. A partir dele, então, o visitante toma conhecimento do fato de que aquela página usa esses arquivos tão importantes para seu funcionamento, bem como para melhorar a experiência do usuário.

Contudo, não é apenas isso. Com a entrada em vigor da LGPD em 2020, o titular dos dados passou a ter poder de autorizar ou não o uso dessas ferramentas durante sua navegação. Ou seja, ele pode aceitar os cookies ou não, a qualquer momento.

Por isso, o aviso de cookies informa o uso deles pelo site e, ao mesmo tempo, solicita a autorização do usuário para usá-los. Este, então, tem o poder de escolha quanto aos tipos de cookies que autorizará.

Assim, todo o gerenciamento dessas variáveis está contido em uma plataforma chamada CMP - _Consent Management Platform_, ou Plataforma de Gestão de Consentimentos.

[Para saber mais o que é uma CMP, separamos este artigo para você.](https://goadopt.io/blog/o-que-e-uma-cmp/)

**## Algumas dicas para a configuração do aviso de cookies**

Conforme o texto da [LGPD o consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.](https://presrepublica.jusbrasil.com.br/legislacao/612902269/lei-13709-18#art-5) Ou seja, abaixo alguns pontos que você deve observar ao construir a coleta de consentimentos para o seu e-commerce.

 - **LIVRE**: Fica proibida a coleta de consentimento em troca de algum benefício. Pois, pode configurar o chamado "vício de consentimento". Assim, o visitante não pode ser forçado ou coagido a aceitar.
 - **INFORMADA**: O cidadão deverá ser informado sobre os detalhes do consentimento. Somente com o livre acesso a estas informações o consentimento poderá ser "celebrado"  entre as partes. 
 - **INEQUÍVOCA**: O consentimento deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, podendo ser demonstrado com registro, data e hora.
 - **FINALIDADE DETERMINADA**: O consentimento deverá ser dado para um uso com finalidade específica e não generalista, genérica.

Somente com os 4 pontos acima listados pode-se desenhar uma série de interpretações para o fluxo de coleta de consentimentos. Neste [artigo](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) separamos uma análise específica sobre cada um dos argumentos de fluxo, design e jurídicos para te ajudar na escolha do seu aviso de cookies.

## A configuração mais ignorada e temida do mercado.

A configuração mais complexa e ignorada do mercado é a de bloqueio de cookies de terceiros, liberando-os apenas após o consentimento. Ou seja, somente após o consentimento do visitante você poderá disparar tags como: Google Analytics, Pixel de Conversão, Remarketing, etc. Com exceção das tags essenciais, logicamente.

Esse é um dos pontos mais importantes que asseguram o direito de escolha dos titulares e sua privacidade, que muitas empresas ainda custam em compreender, aderir e implementar. Afinal, isso impactaria completamente na leitura do site, KPI's de conversão, e infinitas métricas de acompanhamento.

Contudo, vale destacar que essa configuração também é uma das primeiras análises que se faz quando se olha se o site está adequado ou não. Logo, disparar cookies antes do consentimento causam uma péssima impressão e, certamente, é uma red-flag para auditorias e autoridades.

Infelizmente muitas ferramentas de SEO, performance e analytics não valorizam a privacidade. O próprio Google favorece os sites que usam seus serviços e compartilham os dados com ele. Então o mercado todo deverá passar pela adaptação. Uma alternativa interessante para quem procura um serviço de analytics respeitando a privacidade é o [Fathom](https://usefathom.com/)

## Como um aviso de cookies impacta seu e-commerce?

Aprofundando um pouco mais as interferências diretas e indiretas do aviso de cookies no e-commerce, listamos abaixo algumas das principais interferências.

**1. Bounce, cuidado com o tamanho e harmonia de design.**
Todo pop-up, banner ou aviso que aparece na tela tende a causar uma pronta reação e, consigo, rejeição (principalmente no mobile). Para que isso não aconteça, é importante que o Aviso de Cookies tenha um design minimalista e esteja em harmonia com o estilo do seu site. Caso contrário a chance da rejeição/bounce aumentar é muito grande. Procure oportunidades de customização de cores, formatos, fonte, textos e imagens para que a comunicação do aviso seja a mais leve o possível.

**2. Bloqueio de cookies, impacto das métricas. Aviso em formato balão é mais aceito que barra.**
Conforme explanado no item anterior, uma vez implementado o bloqueio de cookies de terceiros as métricas associadas a esse disparo serão diretamente impactadas. 

Pela nossa experiência observamos que cerca de 25% dos visitantes do site dão o consentimento. E, os sites que utilizam o aviso de cookies como balão tem 80% mais aceitação que o formato de barra inferior.

**3. Requisições dos titulares criarão um novo fluxo/processo na sua empresa.**
Uma das obrigatoriedades que as leis de privacidade ([LGPD, GDPR, CCPA, PIPEDA](https://goadopt.io), etc) trazem é o livre acesso dos cidadãos aos seus dados, bem como as consultas diretas às empresas. Ou seja, um cidadão poderá a qualquer momento questionar a sua empresa se vocês possuem algum dado relacionado a ele, bem como pedir maiores informações, a portabilidade ou até mesmo exclusão deste.

É por isso que na AdOpt prezamos tanto pelo fluxo de requisições dos titulares. Cada aviso da AdOpt gera também uma página de Opt-out onde, a qualquer momento, as pessoas poderão fazer suas requisições. Isso gera um e-mail que é enviado ao [Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) da empresa e, pela lei deve ser respondido em até 15 dias.

Logo, sua empresa precisará de um processo estruturado para que as requisições e suas respostas sejam plenamente atendidas dentro do prazo. Para isso alguém deverá ser treinado e responsabilizado por este fluxo.

Quer maiores dicas sobre como organizar a casa para melhro atender essas requisições? Separei dois artigos para você:

- Conheça mais sobre o [documento ROPA da LGPD](https://goadopt.io/blog/ropa-lgpd/).
 - [Data Mapping ou Inventário de Dados, o colete salva vidas do DPO.](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)

**4. Alterações das tags, testes de ferramentas terão um fluxo maior.**
Algumas empresas costumam testar muitas ferramentas e tecnologias nos seus sites. Isso não é um problema em si. Contudo, uma vez que muitas destas disparam cookies é essencial que todo o fluxo de comunicação, agora estabelecido pela LGPD seja revisado e, se necessário, atualizado com a entrada de uma nova tecnologia que dispare cookies e, ou colete dados.

Principalmente se nos seus documentos como a Política de Privacidade e, eventualmente, os Termos de Uso você já tenha listado os cookies que utiliza, suas finalidades, prazos, etc.

Assim, caso haja alguma alteração na listagem dos documentos oficiais, é importante que a comunicação também seja toda refeita e atualizada. Vale destacar que sempre que uma nova política de privacidade, ou política de cookies é atualizada todos os consentimento coletados até aquele momento deverão ser atualizados/substituídos. Pois, o consentimento é um acordo entre a empresa e o cidadão, cujos termos estão justamente na política. Logo, se a política muda, a anuência das partes deve ser coletada.

 - [Saiba mais sobre como notificar usuários na atualização dos termos.](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso/)
 - [Dicas importantes sobre a política de privacidade ideal das empresas.](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)


## Aviso de Cookies e CMP são a mesma coisa?

Não, a CMP (_Consent Management Platform_) ou Plataforma de Gestão de Consentimentos é a ferramenta onde, aviso ou banner de cookies é uma funcionalidade integrada a diversas outras. 

Essa diferenciação é importante pois algumas pessoas acham que o banner de cookies é só um pop-up com um botão para o site. Contudo, a tecnologia envolvida vai muito além disso.

O banner é capaz de identificar se o visitante está acessando pela primeira vez, ou não. Ao coletar o consentimento do visitante ela dispara esse registro para o banco de dados, e para as demais ferramentas que aguardam o consentimento para também reagir ao acesso. Tudo isso em milésimos de segundo.

Isso é apenas uma das várias funcionalidades. Outras como:

- Bloqueio de cookies de terceiros;
- Esconder após o aceite;
- Reconhecimento do idioma do navegador, para que o aviso seja traduzido para o idioma de prefência;
- Reconhecimento do país do IP que acessou, para que o aviso seja adequado à legislação do país do visitante;
- Redirecionamento para página de Opt-out/direito dos titulares;
- Acionar o DPO quando uma solicitação é feita, unificando as informações do visitante;
- Integração com sistemas via API, call-backs para que os dados alimentem outros bancos de dados.
- entre outras…

- Quer saber mais sobre uma [CMP e como escolher uma para sua empresa, esse link pode te ajudar.](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/)

## Por que ter um aviso de cookies?

Em resumo, de acordo com o que vimos até aqui, isso é importante especialmente por dois motivos. Em primeiro lugar, porque a LGPD exige. Segundo a lei, todo e qualquer uso de dados de titulares deve contar com a ciência deles, bem como com a concordância deles. Se você conseguir controlar essa informação no off-line, ou de alguma maneira particular, ótimo! Se precisar dar escala e automação aos fluxos, o aviso de cookies (CMP) é essencial para você

Mas não é só isso. O aviso de cookies também é importante para demonstrar ao seu público como você se importa, ao mesmo tempo, com a experiência dele no seu site e com a transparência na relação entre a página e ele.

Portanto, melhora a confiabilidade da relação. Igualmente, mostra responsabilidade do site perante seu público e a busca dele pela melhor experiência possível sem que isso passe por cima da sua privacidade.

Por isso, é de extrema importância contar com um bom aviso de cookies. Ele deve ser intuitivo, chamar a atenção do público e se integrar ao seu site de forma natural. Abaixo, então, veja como obter um bom banner de informações e gestão de consentimentos.

## Como obter um bom aviso de cookies que ajude na gestão de dados e consentimentos?

Para isso você pode contar com a AdOpt! A nossa plataforma de cookies acompanha não só o aviso deles, mas também uma ferramenta de gestão, isto é, de CMP.

A plataforma, aliás, é adaptável ao seu site de acordo com o seu design, acoplando-se naturalmente. Assim, ao abrir o site ela fica disponível e conta com informações sobre os cookies que são utilizados, bem como apresenta a possibilidade de configuração personalizada sobre aqueles que terão autorização ou não pelo titular de dados.

Igualmente, a AdOpt traz juntamente ao aviso de cookies outros documentos essenciais ao cumprimento da LGPD pela página: os Termos de Uso e a Política de Privacidade. Desse modo, em um só lugar há a organização de todos esses dados.

Para fechar com chave de ouro, então, a AdOpt traz tudo isso combinado com uma ferramenta que atualiza e acompanha em tempo real todas as entradas, saídas e alterações de consentimento. Ao fazê-lo, garante que somente haverá o uso dos dados de acordo com a vontade do titular.

Por isso, não deixe de contar com a AdOpt e conhecer nossos planos. Você vai ver como se adequar à LGPD é muito mais fácil e benéfico do que parece!


Multas na LGPD – Quais são, valores e prazos de adequação

O impacto dos aviso de cookies no seu e-commerce - LGPD