LGPD para Operações de Arbitragem

A Lei Geral de Proteção de Dados (Lei 13.709/2018) entrou plenamente em vigor em agosto de 2020, com aplicação de sanções administrativas a partir de agosto de 2021. Apesar disso, uma fatia considerável das operações de arbitragem brasileiras opera com adequação superficial — política de privacidade genérica copiada de algum modelo, cookie banner mal configurado, nenhuma documentação sobre bases legais de tratamento. Esse artigo cobre o que a LGPD exige na prática para uma operação que faz arbitragem com tráfego brasileiro.

A quem a LGPD se aplica

A LGPD se aplica a qualquer operação que trate dados pessoais de pessoas localizadas no Brasil, independentemente de onde a empresa esteja estabelecida. Isso significa que:

• Um site brasileiro com tráfego brasileiro: aplica-se integralmente.
• Um site sediado no exterior, mas que recebe tráfego brasileiro: aplica-se também.
• Um site brasileiro que opera apenas com tráfego internacional: pode não se aplicar a esse fluxo específico, mas se aplica a qualquer dado da própria empresa, funcionários e fornecedores nacionais.

Em arbitragem, o cenário típico (site no Brasil + tráfego brasileiro + Meta Ads + Google Ad Manager) está plenamente dentro do escopo da lei.

Quais dados pessoais uma operação de arbitragem trata

Muito operador de arbitragem acredita que “não coleta dados pessoais”, já que não tem formulário de cadastro. Erro de leitura. A LGPD considera dado pessoal qualquer informação relacionada a pessoa natural identificada ou identificável. Na prática, uma operação típica trata:

• Endereços IP — coletados automaticamente pelo servidor e por scripts de terceiros (Google Analytics, Meta Pixel, etc.)
• Cookies de identificação — definidos por GA4, Meta Pixel, Conversions API e SSPs do header bidding
• Identificadores de dispositivo — informações de navegador, sistema operacional, resolução de tela
• Dados de comportamento — páginas visitadas, tempo na página, cliques, fonte de tráfego
• Dados de geolocalização aproximada — derivada do IP
• Dados de e-mail — se houver formulário de newsletter ou contato

Tudo isso é dado pessoal segundo a LGPD. Ignorar essa realidade não a torna menos verdadeira.

Bases legais para o tratamento

A LGPD lista 10 bases legais que justificam o tratamento de dados pessoais. As mais relevantes para arbitragem são:

• Consentimento — manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento. Aplicável a cookies não essenciais, marketing direto, newsletters.
• Legítimo interesse — o controlador pode tratar dados quando há interesse legítimo dele ou de terceiros, desde que não prevaleçam direitos e liberdades fundamentais do titular. Aplicável a cookies de funcionamento essenciais e a algumas formas de medição (com nuances).
• Execução de contrato — quando o tratamento é necessário para cumprir um contrato com o titular. Aplicável quando há cadastro com termo de uso aceito.
• Obrigação legal — quando outra norma exige o tratamento (por exemplo, retenção fiscal de dados).

Em arbitragem, a configuração mais comum é: cookies essenciais por legítimo interesse, cookies de analytics e marketing (Meta Pixel, GA4, SSPs) por consentimento, dados de formulário por consentimento ou execução de contrato.

Cookie consent management

Quem tem cookies que dependem de consentimento precisa de um sistema que solicite e gerencie esse consentimento. Não basta o banner genérico “Este site usa cookies. Ok”. A LGPD exige consentimento livre, informado e inequívoco, o que significa:

• Livre — o usuário pode aceitar, rejeitar ou personalizar sem prejuízo de uso essencial do site
• Informado — o usuário precisa saber para o que está consentindo (finalidades, terceiros envolvidos, tempo de retenção)
• Inequívoco — clique ativo, não pré-marcado, não pelo simples uso do site

Soluções comuns no mercado para gerenciar isso são as Consent Management Platforms (CMPs):

• Iubenda — popular no Brasil, com plano em português, conformidade com LGPD e GDPR
• Cookiebot — sólida, com escaneamento automático de cookies do site
• OneTrust — opção corporativa, mais cara
• Quantcast Choice — gratuita em planos básicos
• Complianz — plugin WordPress popular

Todas essas integram com o Consent Mode do Google e a Consent API do Meta, permitindo que os pixels respeitem as escolhas do usuário automaticamente.

Política de privacidade

Documento obrigatório, e que precisa refletir o tratamento real feito pelo site. Conteúdo mínimo que uma política de privacidade séria contém:

• Identificação do controlador (CNPJ, endereço, contato)
• Quais dados são coletados (categorias e finalidades)
• Bases legais aplicadas a cada categoria
• Quem são os operadores e terceiros envolvidos (Meta, Google, eventuais SSPs do header bidding, ferramentas de analytics)
• Transferências internacionais de dados (quase sempre presentes em arbitragem, dado que Meta e Google operam globalmente)
• Tempo de retenção dos dados
• Direitos dos titulares e como exercê-los
• Contato do encarregado de dados (DPO), se aplicável
• Data da última atualização

Política copiada de outro site é um problema. Cada operação tem particularidades — quais SSPs estão integradas, quais ferramentas de analytics estão rodando, se há captura de e-mail, qual é a estrutura societária. Política genérica falha quando o titular exige exercer um direito.

Direitos dos titulares

A LGPD garante uma série de direitos que o titular pode exercer junto ao controlador:

• Confirmação da existência de tratamento
• Acesso aos dados tratados
• Correção de dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
• Portabilidade
• Eliminação de dados tratados com base em consentimento
• Informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados
• Informação sobre a possibilidade de não fornecer consentimento
• Revogação do consentimento

O controlador precisa ter um canal de atendimento a esses pedidos — geralmente um e-mail específico ([email protected] ou [email protected]), divulgado na política de privacidade. Pedidos devem ser respondidos em prazo razoável (a ANPD orienta até 15 dias).

Encarregado de dados (DPO)

A LGPD exige a nomeação de um encarregado pelo tratamento de dados pessoais. Para operações de pequeno porte, a ANPD publicou em 2022 uma resolução flexibilizando essa exigência — não dispensa o encarregado, mas permite que pequenas empresas tenham menos formalidade na nomeação.

Na prática, em operações pequenas, o próprio sócio ou um responsável interno pode assumir a função. Em operações maiores, recomenda-se contratar ou designar formalmente alguém — pode ser interno ou externo (escritórios de advocacia oferecem o serviço como DPO terceirizado).

Sanções e fiscalização

A ANPD (Autoridade Nacional de Proteção de Dados) é o órgão responsável pela fiscalização e aplicação de sanções. As sanções previstas vão de advertência até multa de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração.

Na prática, a ANPD tem sido relativamente progressiva na fiscalização — começando por advertências e orientações antes de partir para multas. As primeiras multas significativas começaram a ser aplicadas a partir de 2023. O ambiente é de fiscalização crescente, não de complacência.

Checklist mínimo para uma operação adequada

• Política de privacidade atualizada, específica e visível no rodapé do site
• CMP rodando, com banner de cookies que permite aceitar, rejeitar e personalizar
• Integração CMP ↔ Meta Pixel via Consent API
• Integração CMP ↔ Google Analytics e GAM via Consent Mode
• Canal de contato para titulares (e-mail próprio para questões de privacidade)
• Encarregado nomeado, com contato divulgado
• Registro de operações de tratamento (RoPA), pelo menos em planilha simples
• Procedimento documentado para atender solicitações de direitos
• Contratos com fornecedores principais (Meta, Google) verificados quanto a cláusulas de tratamento de dados — geralmente já existem nos termos de serviço

Para fechar

LGPD não é “burocracia que ninguém fiscaliza”. É uma realidade jurídica que afeta cada operação de arbitragem com tráfego brasileiro, e a fiscalização vem crescendo a cada ano. Adequação custa pouco (uma CMP boa custa R$ 50-200/mês, política de privacidade decente sai de R$ 1.500-3.000 com advogado especializado) e protege contra problemas que podem custar muito mais caro depois.

É um daqueles itens que parece chato e improdutivo, mas que separa operações sérias de operações que vão ter problema quando crescerem o suficiente para entrar no radar de alguém.

Aviso: Este artigo é informativo e não substitui consulta jurídica. Para adequação completa da sua operação à LGPD, busque assessoria de advogado especializado em direito digital e proteção de dados.