LGPD no varejo: o que a loja física precisa fazer no cadastro
O que a lei exige na prática de quem coleta nome, telefone e aniversário no caixa — e como cumprir isso com uma folha de papel, sem advogado e sem sistema caro.
Para uma loja física, cumprir a LGPD no cadastro se resume a cinco práticas: informar a finalidade ao pedir o dado, coletar apenas o mínimo necessário, registrar o consentimento, guardar com acesso restrito e excluir quando solicitado. Nenhuma delas exige software específico ou consultoria jurídica permanente — exigem organização e uma decisão consciente sobre o que realmente é necessário perguntar.
Este guia traduz as obrigações legais em rotinas de balcão. Ele é informativo e não substitui orientação jurídica para casos específicos.
O que a lei considera dado pessoal
Dado pessoal é qualquer informação que identifique ou possa identificar uma pessoa. No contexto de uma loja, isso inclui praticamente tudo o que se anota em uma ficha: nome, telefone, e-mail, endereço, data de nascimento, CPF, número de documento, e até preferências associadas a uma pessoa identificada.
Alguns dados recebem proteção reforçada por serem considerados sensíveis — entre eles, informações sobre saúde. Isso é especialmente relevante para farmácias, óticas e clínicas: registrar que alguém comprou determinado medicamento ou tem determinado grau é tratar dado sensível, o que exige cuidado maior e finalidade bem delimitada.
Prática 1 — Informar a finalidade
A pessoa precisa saber para que o dado será usado no momento em que o fornece. Isso não exige texto jurídico: exige uma frase honesta.
"Posso anotar seu nome e WhatsApp? A gente usa para avisar quando chega peça da sua numeração e para dar suporte depois da compra. Não mandamos propaganda todo dia — e se quiser sair, é só responder 'sair'."
Se a loja pretende usar o contato também para promoções, isso precisa estar na frase. Omitir para depois usar é o erro mais comum de conformidade no varejo — e o que mais gera reclamação.
Prática 2 — Coletar o mínimo necessário
A lei orienta que a coleta se limite ao necessário para a finalidade declarada. É, ao mesmo tempo, uma obrigação legal e uma boa prática comercial: cada campo a menos aumenta a taxa de aceitação do cadastro.
| Dado | Necessário para relacionamento? | Observação |
|---|---|---|
| Primeiro nome | Sim | Base do tratamento pessoal |
| Telefone ou WhatsApp | Sim | Canal do contato; um número basta |
| Dia e mês de aniversário | Sim, se houver ação de aniversário | Não colete o ano sem uso concreto |
| CPF | Normalmente não | Só com finalidade específica, como nota fiscal ou crediário |
| Endereço completo | Só se houver entrega | Bairro costuma bastar para análise de alcance |
| Documento de identidade | Não | Aumenta responsabilidade sem contrapartida |
| Dados de saúde | Só com finalidade essencial ao serviço | Dado sensível: exige cuidado reforçado |
Prática 3 — Registrar o consentimento
Não basta ter consentimento: é preciso poder demonstrá-lo. Na prática de balcão, isso significa um campo simples na ficha ou na planilha:
- Autoriza contato: sim ou não
- Data do aceite
- Forma: presencial no caixa, por mensagem, no formulário
Se o cadastro é em papel, o próprio campo preenchido e datado cumpre a função. Se é digital, uma coluna adicional resolve. O importante é que exista registro e que ele seja localizável quando alguém questionar.
Consentimento não é o único caminho
A lei prevê outras bases legais além do consentimento, como a execução de contrato e o legítimo interesse. Para o comércio de bairro, porém, o consentimento explícito para contato de relacionamento é o caminho mais simples de explicar, de registrar e de defender — e tem a vantagem de ser também o mais respeitoso com o cliente.
Prática 4 — Guardar com segurança
Segurança da informação em uma loja pequena é sobretudo controle de acesso e organização:
- Papel em local fechado. Fichas de cadastro não ficam sobre o balcão nem em gaveta aberta ao público.
- Planilha com senha e cópia de segurança. Um arquivo único, com backup, e não várias versões espalhadas.
- Acesso restrito a quem precisa. Nem toda a equipe precisa da base completa.
- Nada de lista em grupo de mensagens. Compartilhar planilha de clientes em grupo da equipe é uma das falhas mais comuns e mais graves.
- Celular da loja separado do pessoal. Contatos de clientes não devem ficar misturados à agenda particular de um funcionário que pode sair amanhã.
- Descarte seguro. Fichas antigas devem ser destruídas, não jogadas inteiras no lixo.
Prática 5 — Atender pedidos do cliente
A lei garante ao titular alguns direitos que, no varejo, se traduzem em pedidos simples e frequentes:
- Saber quais dados a loja tem. Responda de forma direta e completa.
- Corrigir dado errado. Atualize e confirme.
- Excluir o cadastro. Remova de todos os lugares e confirme. Não exija justificativa e não tente reverter a decisão.
- Parar de receber mensagens. Efetive imediatamente, mesmo que o cadastro permaneça para outras finalidades.
Defina um prazo interno de resposta — quinze dias é uma referência razoável — e um responsável. Em uma loja pequena, esse responsável costuma ser o próprio proprietário.
Situações específicas do varejo
Número que aparece na maquininha
Dado obtido em uma transação de pagamento não autoriza contato de marketing. Usar essa informação para relacionamento sem pedir permissão é uso fora da finalidade.
Lista de espera e encomendas
O dado coletado para avisar sobre uma encomenda serve para isso. Depois de concluída a entrega, se você quiser manter o contato para relacionamento, peça a permissão separadamente.
Sorteios e promoções
Deixe claro no regulamento quais dados serão coletados, para que servem e por quanto tempo serão guardados. Participar de sorteio não equivale a autorizar contato promocional permanente.
Fotos de clientes
Publicar imagem de cliente exige autorização específica, que é diferente do consentimento para cadastro. Peça e registre separadamente.
Um checklist de trinta minutos
- Revise sua ficha de cadastro e elimine todo campo que não tenha uso concreto.
- Escreva a frase de finalidade e treine a equipe para dizê-la sempre.
- Acrescente o campo de consentimento com data.
- Defina onde a base fica guardada e quem tem acesso.
- Estabeleça o canal e o prazo para pedidos de exclusão.
- Faça uma limpeza inicial: apague dados que você coletou e nunca usou.
O ponto que resume tudo: a conformidade no comércio de bairro raramente é um problema de tecnologia. É um problema de disciplina — pedir menos, explicar melhor, guardar direito e respeitar o pedido de saída. Feito assim, o cadastro deixa de ser um risco e volta a ser o que deveria: a base de um relacionamento que o cliente aceitou ter com a sua loja.
Quem responde pelos dados na prática
Em uma loja pequena, a responsabilidade pelo tratamento de dados não se dilui: ela é do negócio, independentemente de quem digitou a informação. Isso tem três consequências práticas.
- Defina um responsável nominal. Uma pessoa — normalmente o proprietário — que recebe e responde pedidos relacionados a dados pessoais. Sem responsável definido, os pedidos se perdem entre turnos.
- Documente o básico. Uma página descrevendo quais dados a loja coleta, para que, onde ficam guardados, quem tem acesso e como são excluídos. É o documento que responde qualquer questionamento.
- Inclua o tema na integração. Quem entra na equipe precisa saber, no primeiro dia, que a lista de clientes não sai da loja e não circula em conversa particular.
Fornecedores e prestadores
Quando a loja usa um sistema de gestão, uma ferramenta de mensagens ou um serviço de emissão fiscal, esses fornecedores tratam dados dos seus clientes em nome do negócio. Três verificações razoáveis:
- O contrato menciona proteção de dados? Fornecedores sérios tratam do tema em termos de uso ou em cláusula específica.
- Você consegue exportar e excluir os dados? Se um cliente pedir exclusão, você precisa ser capaz de cumprir dentro da ferramenta.
- O acesso é individual? Login compartilhado impede saber quem fez o quê e é a falha de controle mais comum em sistemas de varejo.
Incidentes: o que fazer se algo vazar
Perda de um caderno de cadastros, celular da loja furtado, planilha enviada por engano, computador comprometido. Incidentes acontecem, e a diferença entre um problema administrado e um problema grave está na reação.
| Passo | Ação |
|---|---|
| 1. Conter | Encerrar acessos, trocar senhas, recolher o que for recuperável |
| 2. Registrar | Anotar o que aconteceu, quando, quais dados e quantas pessoas |
| 3. Avaliar o risco | Verificar se há risco relevante aos titulares |
| 4. Comunicar | Havendo risco relevante, informar os titulares e a autoridade competente |
| 5. Corrigir | Ajustar o processo que permitiu o incidente |
A comunicação assusta muitos lojistas e é, na maior parte dos casos, menos danosa do que o silêncio. Um cliente informado de que o telefone dele pode ter sido exposto entende a situação; o mesmo cliente descobrindo por conta própria conclui que a loja tentou esconder.
Um lembrete sobre o alcance deste guia
O conteúdo aqui descreve práticas de organização e boas condutas de tratamento de dados no varejo de proximidade, com base no que a legislação estabelece. Ele não substitui orientação jurídica para situações específicas — especialmente em negócios que tratam dados sensíveis de forma rotineira, como farmácias, clínicas e óticas, onde o cuidado exigido é maior e a análise de um profissional habilitado é recomendável antes de definir processos.
Para a maioria dos comércios, porém, a conformidade não é um projeto complexo: é a soma de cinco hábitos — explicar a finalidade, pedir só o necessário, registrar o consentimento, guardar com acesso restrito e excluir quando solicitado — repetidos todos os dias no caixa.
Perguntas frequentes
Preciso de um documento de consentimento assinado?
Não necessariamente. O que a lei exige é que o consentimento seja livre, informado e inequívoco, e que você consiga demonstrá-lo. Um campo de "sim" com data na ficha de cadastro, precedido de uma explicação clara da finalidade, cumpre essa função para o uso típico de um comércio de bairro.
Posso usar a lista de clientes para mandar promoção?
Somente se a finalidade tiver sido informada quando o dado foi coletado. Se você pediu o telefone para "avisar quando chegar o produto" e passou a enviar promoção semanal, o uso extrapolou a finalidade declarada.
O que fazer se um cliente pedir para excluir os dados?
Excluir de todos os lugares onde estiverem — caderno, planilha, sistema e agenda do celular da loja — e confirmar a exclusão. O pedido não precisa ser justificado e não deve ser negociado.
A LGPD vale para loja pequena?
Vale para qualquer pessoa física ou jurídica que trate dados pessoais com finalidade econômica, independentemente do porte. O que muda com o porte é a complexidade das medidas, não a obrigação de cumpri-las.
