Voltamos ao assunto do momento, caros leitores e leitoras do blog da AdOpt.

Em 25 de agosto de 2026, a Autoridade Nacional de Proteção de Dados publicou o Despacho Decisório nº 27/2026 e aplicou ao TikTok multa de R$153.769.671,33. A decisão também determinou a eliminação dos dados de adolescentes entre 13 e 18 anos sem representação legal regularizada em 60 dias úteis, além da comunicação dessa exclusão a todos os terceiros com quem esses dados foram compartilhados.

Já escrevemos por aqui sobre a decisão em si. Agora queremos olhar para ela por um ângulo mais específico: o de quem tem uma loja virtual.

Mas a minha loja não é uma rede social, o que o caso TikTok tem a ver com o meu negócio?
A relação não está nos vídeos de dancinhas. Está na forma como se coletam dados de quem apenas navega pelo site, sem se cadastrar, e na base legal usada para justificar essa coleta. E é aqui que as semelhanças com o caso TikTok começam chamar a atenção.

Boa parte da análise da ANPD recaiu sobre o chamado feed sem cadastro, a experiência oferecida a quem usa o aplicativo sem criar conta. Mesmo sem login, a plataforma coletava interações com os vídeos, configurações do dispositivo, idioma, país e fuso horário.

A empresa alegou que não havia identificação dos usuários, apenas cálculos numéricos com dados estatísticos de navegação, usados para recomendar vídeos. A ANPD não aceitou o argumento. Entendeu que essas informações são dados pessoais e que a prática configura, sim, formação de perfil comportamental.

Agora o passe de mágica. Substitua feed sem cadastro por visitante não logado. Substitua recomendação de vídeos por vitrine personalizada, remarketing e anúncio. É isso que acontece em praticamente todo e-commerce brasileiro, todos os dias, por meio da coleta de dados via cookies.

A decisão da ANPD não é especificamente sobre cookies, mas sobre o tratamento de dados de crianças e adolescentes. Os princípios da LGPD foram apenas aplicados para as atividades do TikTok. Esses mesmos princípios valem para o seu site e é por isso que ela exige atenção de quem vende online.

Escolher a base legal no piloto automático
O TikTok entrega conteúdo personalizado a partir da base legal de execução de contrato, o inciso V do artigo 7º da LGPD. A ANPD rejeitou: a hipótese exige que o titular seja parte do contrato e alcance apenas o que é estritamente necessário ao núcleo dele. E quem usa o TikTok sem cadastro não tem um contrato com a plataforma.

No e-commerce, o erro equivalente é classificar cookies de publicidade, remarketing e medição de audiência como necessários, ou acomodá-los no legítimo interesse sem estudo prévio e sem documentação que sustente a escolha. Para cookies não necessários, a base adequada é o consentimento, o inciso I do mesmo artigo 7º.

Vale lembrar que a LGPD tem dez hipóteses legais e o consentimento é apenas uma delas. A escolha certa para cada finalidade de tratamento é o fundamental para qualquer empresa que pretende estar adequada. Para saber mais, confira o artigo que escrevemos em detalhe sobre as bases legais.

Coletar antes de perguntar
Se a coleta acontece no instante em que a página abre, ela já aconteceu antes de qualquer manifestação do titular. E consentimento obtido depois não valida o tratamento de dados feito antes da autorização do titular.

Conforme a decisão da ANPD, esse erro vai custar mais de R$ 63 milhões de reais e se refere justamente à violação do princípio da prevenção, o inciso VIII do artigo 6º da LGPD.

Repare no que foi decidido pela ANPD: não basta ter a intenção de respeitar a escolha do visitante. É preciso que o site esteja organizado para que nada desnecessário aconteça antes dela. Prevenção não é promessa, depende de ações práticas.

Quer saber o que a sua loja coleta antes de qualquer clique do visitante? Converse com a nossa equipe.

Não conseguir provar o que foi feito
Outra parte da multa aplicada, a bagatela de mais de R$ 27 milhões de reais, veio da violação ao princípio da responsabilização e prestação de contas, o inciso X, do artigo 6º da LGPD. A decisão exigiu a apresentação de um relatório técnico com registros de auditoria assinado pelo Encarregado, sob pena de multa diária.

A pergunta que fica é direta: se a ANPD pedir hoje, você consegue demonstrar quem consentiu, quando, para quais finalidades e o que aconteceu a partir disso?

Se a resposta for “não”, ou uma narrativa em vez de um registro, o problema não é jurídico, é de estrutura.

O efeito cascata dos terceiros
A ANPD determinou que o TikTok agora deve comunicar a obrigação de exclusão a todos os parceiros com quem compartilhou dados, e que comprove essa comunicação.

Pense na sua empresa por um instante. Sua loja virtual compartilha dados com plataformas de anúncio, ferramentas de análise, CRM, régua de e-mail, canal de venda. Se a base legal cai, é preciso saber quais dados foram compartilhados, com quem foram compartilhados e o mais importante: avisar cada um dos parceiros sobre a necessidade de exclusão de dados.

Na prática, sabemos que esse plano de ação dificilmente foi estruturado e está organizado. E não é por desleixo. A operação de uma loja que vende muda toda semana: entra uma campanha, sai um parceiro, alguém instala uma ferramenta nova para testar por quinze dias e esquece de remover... o resultado é que as informações sobre compartilhamento de dados (ou seja, quem recebe dados da sua operação) precisa sair da cabeça do gestor e passar para o papel.

Esses processos internos precisam ser documentados.

Quem vende também em marketplace conhece a sensação de não saber exatamente onde termina a responsabilidade de um lado e começa a do outro. Já tratamos disso em marketplace e adequação à LGPD, e a conclusão é sempre a mesma: canal compartilhado não dilui responsabilidade, distribui.

Público infantojuvenil e o “acesso provável” à plataforma
O TikTok argumentou que menores de 13 anos não são autorizados pelos seus Termos de Uso. A ANPD entendeu que a simples proibição nos termos de uso da plataforma não impede o acesso de crianças e adolescentes e que o mecanismo de autodeclaração de idade é uma salvaguarda frágil, podendo ser burlada facilmente.

Um e-commerce voltado ao público infantojuvenil, como uma loja de brinquedos, games ou de moda infantil, deve ter especial atenção para atender as obrigações legais previstas no ECA Digital (Lei 15.211/2025), que alcança sites, aplicativos que ofertam produtos e serviços nos quais se pode presumir um “acesso provável” por menores de idade.

O critério – note bem – não é apenas para quem você quis vender, mas também deve considerar o público que provavelmente vai chegar até a sua loja virtual.

Quer entender onde a sua loja virtual está nisso hoje? Fale com o nosso time e comece pelo diagnóstico.

Aviso de cookies é declaração, e quem declara tem que provar
Como já dissemos por aqui: não basta dizer que faz. O banner é a promessa, é compromisso. O registro do consentimento é a prova de que o usuário do seu site tem conhecimento sobre o tratamento de dados pessoais. Sem registro íntegro e auditável, a sua empresa fica fragilizada perante uma fiscalização da ANPD.

É por isso que insistimos numa distinção que o mercado costuma ignorar. Um aviso de cookies é o que o visitante vê. A infraestrutura de consentimento é o que sustenta aquilo: a varredura que descobre o que roda de verdade no seu domínio, incluindo o que alguém subiu no meio da campanha, o registro legal de cada escolha e a atualização conforme a lei e as exigências das plataformas mudam. Uma CMP séria é a segunda coisa. A primeira é apenas a janela.

Rejeitar cookies precisa ser tão fácil quanto aceitar
No Guia Orientativo sobre cookies, publicado em outubro de 2022, a ANPD orienta que o botão para rejeitar cookies não necessários seja de fácil visualização e que a revogação das autorizações dadas pelo titular seja viabilizada de forma gratuita e facilitada.

Todo consentimento obtido pelo cansaço não é livre. Portanto, não é autoriza o tratamento de dados pessoais, de acordo com o artigo 5º, XII, da LGPD (que define o consentimento como “manifestação livre, informada e inequívoca”).

O design do aviso de cookies é tão importante quanto o seu conteúdo, pois é ali que o titular visualiza e compreende como seus dados serão tratados. E isso traz impactos até mesmo na taxa de interação e aceite dos usuários do seu e-commerce.

Transparência genérica traz falsa sensação de proteção
O titular precisa saber a finalidade específica de cada cookie, o prazo de retenção e com quem os dados são compartilhados. Texto genérico não informa. E, sem informação, não existe consentimento informado.

Existe uma diferença prática entre informar e avisar. Avisar é dizer que você usa cookies. Informar é dizer para quê, por quanto tempo e com quem compartilha. O primeiro cumpre uma formalidade. O segundo é o que permite ao visitante decidir de verdade, e é só a decisão de verdade que serve como base legal.

Vale revisar a sua política de cookies e a sua política de privacidade com uma pergunta simples: esse documento descreve o que o meu site faz de fato, ou descreve o que eu gostaria que ele fizesse?

Aqui vem a boa notícia: saber que boa parte do mercado peca pelo excesso.

Não, a sua loja não precisa pedir consentimento para todo e qualquer cookie. O Guia Orientativo da ANPD separa as coisas com clareza. Os cookies necessários são aqueles sem os quais a navegação do usuário simplesmente não funciona e que, portanto, não precisam de uma autorização para processamento (ou seja, não precisam de consentimento).

No e-commerce essa lista é fácil de reconhecer: o cookie que mantém o produto no carrinho quando o visitante muda de página, o que sustenta a sessão de quem fez login, o que garante o funcionamento dos fluxos de pagamento, o que protege contra fraudes no momento do envio de formulários, entre outros.

Esses cookies não dependem de consentimento. Existem outras bases legais que justificam o tratamento dos dados. Consequentemente, não é necessário permitir a recusa no aviso de cookies (até porque não faria sentido oferecer ao visitante a chance de desligar o próprio carrinho). O que você deve fazer é informar que eles existem e para que servem.

Se isso nunca foi pensado para a sua loja, agende uma conversa com a AdOpt e desenhe esses processos com quem faz isso todos os dias.

Já os cookies não essenciais são outra história: publicidade, remarketing, perfilamento, teste de vitrine, mapa de comportamento... esses cookies exigem, em regra, consentimento prévio. E é justamente essa fronteira que a maioria das lojas nunca desenhou com clareza.

Entender essa diferença é o que permite cumprir a LGPD, parar de coletar consentimento para tudo e passar a pedir autorização só para o que importa.

O visitante que não compra também é titular
Se você levar só essa lição a partir desse artigo, já ficamos super felizes.

Cada visitante da sua loja virtual, mesmo sem se cadastrar ou fazer uma compra também é considerado um titular de dados pessoais se os cookies do seu site fazem o rastreamento da navegação do usuário.

Nesse ponto, o TikTok acabou sendo penalizado, pois a ANPD entendeu que a coleta de dados sobre o perfil comportamental de usuários (cadastrados ou não na plataforma) também configuram atos de tratamento de dado pessoal.
Por isso, entender as categorias de cookies, suas finalidades e separar corretamente quem são os titulares que serão impactados por cada tipo de cookie é fundamental para toda e qualquer loja virtual.

Informação bônus: segundo pesquisa publicada no portal Voz do Consumidor 2024, da PwC, 90% dos entrevistados no Brasil apontaram a proteção dos seus dados pessoais como um dos fatores mais importantes para confiar em uma empresa.

Seguir a LGPD não é apenas uma preocupação para evitar multas. É parte central da construção de relacionamento com o seu cliente, gerando confiança para o seu negócio.

Não é possível afirmar isso. O que a decisão mostra é que a ANPD pode vir a fiscalizar empresas – incluindo e-commerces – por motivos similares aos que levaram à aplicação de multa contra o TikTok, especialmente o tratamento de dados pessoais de crianças e adolescentes sem os cuidados exigidos na LGPD (princípios, bases legais, provas de registro do tratamento de dados).

Não. Cookies necessários ao funcionamento, como carrinho, sessão de login e fluxo de pagamento, se apoiam em outra base legal e não aparecem como opção recusável no aviso. Você deve informar que eles existem e para que servem. Cookies não essenciais, especialmente de publicidade e perfilamento, exigem em regra consentimento prévio, conforme o Guia Orientativo da ANPD sobre cookies.

Importa. A decisão do caso TikTok mostra que mesmo sem um login de cadastro, pode haver tratamento de dados pessoais de quem acessa e navega em um site. A ANPD entendeu que dados de navegação, dispositivo, idioma e localização e que o uso deles para formação de perfis comportamentais pode configurar tratamento sujeito à LGPD.

Registro, não descrição. A decisão contra o TikTok exigiu relatório técnico com registros de auditoria assinado pelo Encarregado, sob pena de multa diária. No caso de um e-commerce, o equivalente seria conseguir comprovar quem consentiu, em que data, para quais finalidades e sob qual versão do aviso, de forma íntegra e auditável.

Depende. Quem decide instalar uma ferramenta de terceiros na própria loja virtual, também responde pelo que acontece durante a coleta e tratamento de dados pessoais. O parágrafo 1º, do artigo 42 da LGPD prevê responsabilidade solidária entre agentes de tratamento pelos danos causados ao titular. Terceirizar a ferramenta não afasta responsabilidade.

A AdOpt é especializada em resolver dois problemas que o TikTok enfrentou e que o seu e-commerce também pode estar enfrentando: fazer do consentimento uma base legal adequada para o tratamento realizado via cookies, inclusive quando envolve crianças e adolescentes, e produzir as evidências desse tratamento, dando cumprimento ao princípio da prestação de contas.

Agora resta agir. Fale com o nosso time e entenda como a AdOpt pode ajudar a sua loja na jornada de adequação à LGPD.