Quem opera uma loja virtual ouve dois conselhos opostos: verificar a identidade de todo comprador para cortar fraude, ou não pedir nada para não perder venda. A pergunta útil é outra: em que situação a lei exige verificar, em que situação o risco justifica, e em que situação é excesso. A resposta curta: no comércio eletrônico comum, quem a lei obriga a se identificar é o fornecedor, pelo Decreto 7.962/2013; verificar o comprador é obrigação só em casos específicos, como produto proibido para menor, e é decisão de risco nos demais. A Lei Geral de Proteção de Dados Pessoais (LGPD) é o freio: o dado coletado precisa ser o mínimo necessário para a finalidade.
Em resumo
- O Decreto 7.962/2013 obriga a loja a mostrar nome empresarial, CPF ou CNPJ, endereço e contato (art. 2º); ele não obriga a loja a identificar o comprador.
- A verificação de idade do comprador é obrigatória na venda de produto proibido para menor, como bebida alcoólica, pelo Decreto 12.880/2026 (art. 18).
- Fora das obrigações legais, verificar é decisão de risco, e a LGPD limita a coleta ao mínimo necessário (art. 6º, III).
- A biometria tem base legal própria para prevenção à fraude em identificação e autenticação de cadastro (LGPD, art. 11, II, "g"), mas não para todo pedido.
Quem a lei manda identificar
O Decreto 7.962/2013 regulamenta o Código de Defesa do Consumidor (CDC) para o comércio eletrônico, e a regra de identificação aponta para a loja, não para o comprador.
Os sítios eletrônicos ou demais meios eletrônicos utilizados para oferta ou conclusão de contrato de consumo devem disponibilizar, em local de destaque e de fácil visualização, as seguintes informações: I - nome empresarial e número de inscrição do fornecedor, quando houver, no Cadastro Nacional de Pessoas Físicas ou no Cadastro Nacional de Pessoas Jurídicas do Ministério da Fazenda; II - endereço físico e eletrônico, e demais informações necessárias para sua localização e contato;
Quem se identifica é a loja. Em compra coletiva, o art. 3º soma a identificação do fornecedor do site e do fornecedor do produto. O consumidor não tem dever de se identificar além do necessário para a compra (nome para a nota, endereço para a entrega, dado de pagamento). O art. 4º, VII, por outro lado, manda o fornecedor usar mecanismos de segurança eficazes para pagamento e para tratamento de dados do consumidor, e o art. 14 do CDC responde o fornecedor de serviço, sem culpa, por defeito, entendido como o serviço que não oferece a segurança que o consumidor pode esperar. É desse lado, da segurança, que vem a justificativa para verificar.
Uma tabela de decisão
A tabela separa o que é obrigação de lei do que é decisão de risco, com a base de cada linha.
| Situação | Verificar? | Base |
|---|---|---|
| Produto proibido para menor (bebida, fumígeno, arma, fogos) | Sim, a idade, no cadastro ou na compra, sem autodeclaração | Decreto 12.880, arts. 15 e 18 |
| Compra comum com cartão ou Pix, sem sinal de risco | Não; dados da compra e do pagamento bastam | LGPD, art. 6º, III (necessidade) |
| Pedido com sinal de fraude (endereço e dados divergentes, valor fora do padrão da conta) | Decisão de risco, só para esse pedido | CDC, art. 14; Decreto 7.962, art. 4º, VII |
| Troca de e-mail, telefone ou senha da conta | Decisão de risco; reconfirmar quem é o titular | LGPD, art. 11, II, "g", quando biométrica |
| Vendedor que entra num marketplace | Sim, por regra da plataforma e pelo risco que ela assume | Ver texto sobre vendedor em marketplace |
| Retirada de pedido de alto valor por terceiro | Decisão de risco; documento de quem retira | Política da loja |
A linha do marketplace tem texto próprio: o KYC de vendedor em marketplace explica por que a plataforma verifica quem vende, não quem compra. A linha da troca de dados da conta é o caminho de tomada de conta, em que o fraudador quer o acesso, não o pedido.
Onde a verificação vira excesso
A LGPD não proíbe a selfie; ela pede proporção. O art. 6º, III, define necessidade como a limitação do tratamento ao mínimo necessário, com dados "pertinentes, proporcionais e não excessivos em relação às finalidades". Pedir documento e selfie de todo comprador para vender uma camiseta não passa nesse teste, porque a finalidade (entregar e receber) se cumpre sem eles.
A biometria facial é dado sensível, e o art. 11 tem uma base específica para ela, sem consentimento:
Atenção
A LGPD admite tratar dado sensível sem consentimento quando indispensável para a "garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos" (art. 11, II, "g"). A base cobre o cadastro e a autenticação, e exige que o tratamento seja indispensável; usá-la para cada compra, sem sinal de risco, é difícil de sustentar.
A leitura da casa é que o desenho proporcional no comércio eletrônico verifica no momento de maior risco, não em todos os momentos: no cadastro, quando o produto exige idade; na mudança de dado sensível da conta; e no pedido que já acendeu um sinal. O balanceamento quando a base é o legítimo interesse, e não a prevenção à fraude do art. 11, está em legítimo interesse e balanceamento.
O custo de não verificar quando devia
Na linha da idade, a ausência de verificação tem consequência escrita: o Estatuto da Criança e do Adolescente pune com detenção quem vende ou entrega bebida a menor (art. 243) e com multa e interdição a venda proibida (art. 258-C), e o detalhe está em bebida alcoólica online. Nas linhas de risco, a consequência é a do art. 14 do CDC: se o serviço não ofereceu a segurança que se podia esperar, a loja responde pelo dano, e a defesa é provar culpa exclusiva do consumidor ou de terceiro (§ 3º, II). A verificação feita no momento certo é parte dessa prova.
A página de marketplaces mostra onde a verificação de identidade entra numa plataforma com vendedores: no cadastro de quem vende, pessoa ou empresa.
Fontes citadas
- Decreto 7.962/2013, arts. 1º a 5º, no Planalto
- Código de Defesa do Consumidor, Lei 8.078/1990, art. 14, texto compilado no Planalto
- Lei 13.709/2018 (LGPD), arts. 6º e 11, texto compilado no Planalto
- Decreto 12.880/2026, arts. 15 e 18, no Planalto
- Lei 8.069/1990 (Estatuto da Criança e do Adolescente), arts. 243 e 258-C, no Planalto