Com o avanço da sociedade e dos sistemas de computação, muitas empresas de comércio migraram ou abriram operações online. Até meados de 2013, a legislação que tratava sobre o tema era o Código de Defesa do Consumidor, sendo decretada posteriormente a regulamentação do serviço. O Decreto n° 7.962/13 obriga os sites ou demais meios eletrônicos utilizados para oferta ou conclusão de contrato de consumo a adotarem a utilização de mecanismos de segurança eficazes para pagamento e tratamento de dados do consumidor (art.4° inciso VII do Decreto).
No ano seguinte, o Marco Civil da Internet foi sancionado, trazendo conceitos sobre segurança da informação, porém ainda com lacunas quanto ao tratamento de dados. Em setembro de 2020 a Lei Geral de Proteção de Dados Pessoais (LGPD) entrou em vigor, sendo inspirada diretamente no General Data Protection Regulation (GDPR), implementado na União Europeia. Com o advento da LGPD, houve o preenchimento do vácuo legislativo sobre o tratamento de dados pessoais, trazendo definições, classificações dos dados e o modo de como realizar o respectivo tratamento, respeitando a privacidade.
De acordo com o estudo realizado em 2019 por pesquisadores, a GDPR ensejou impactos para o tráfego da web e consequentemente para o e-commerce europeu. Segundo o artigo, foram identificadas quedas de visitas de aproximadamente 4% e receitas decaindo em 8% no recente panorama da publicação do regulamento. Contudo, o trabalho pondera os resultados tendo em vista fatores subjetivos e que ficaram fora do escopo, como: o benefício para o titular do dado; a pluralidade de níveis de 'compliance' das empresas estudadas; diferentes necessidades de negócio; e a perspectiva atual do usuário em vista de como eles chegam aos sites.
Tendo isso em vista, o CCPA (California Consumer Privacy Act) em sua versão reformulada e aprovada em 2018, é considerada a 'equivalente' GDPR para os estadunidenses. Apesar de mais brando, há a busca pelo melhor tratamento de dados por parte das empresas. O Ato é vigente no estado da Califórnia, mas qualquer empresa externa que negocie com residentes do Estado pode estar sujeita ao CCPA.
Além disso, Nova York, Maryland, Massachusetts, Hawaii são alguns dos Estados que publicaram atos semelhantes para se adequarem às novas tendências, além, é claro, do Privacy Shield 'Framework' disponibilizado pelo departamento de comércio dos EUA para proporcionar conformidade de proteção de dados entre EUA e Europa/mundo. Ou seja, a preocupação no tratamento de dados pessoais vem sendo modelo no mundo inteiro, e os sites de venda online, inclusive no Brasil, estão mais que sujeitos a essa mudança.
Dado este contexto, os e-commerces envolvidos no mercado brasileiro terão de se adequar não só ao tratamento de dados imposto pela LGPD, mas ao consentimento válido do titular expresso na lei como: "​manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada"​. Ademais, o consentimento do titular do dado deve ser calcado em uma boa política de privacidade, a qual deve possuir todas as informações necessárias dos serviços prestados bem como comunicar aos consumidores como será realizado o tratamento de seus dados. Segundo pesquisa realizada pelo Serasa Experian em 2019 com mais de 500 empresas no Brasil, cerca de 85% diziam não estarem conformidade com a LGPD, o que coloca em evidência a necessidade de conformidade do tratamento dos dados no meio dos sites de venda online, visto que em 2019 os e-commerces somariam mais de 930 mil empresas.
Em suma, a LGPD abarca mudanças de conceitos enraizados sobre o tratamento de dados, o que gera consequentemente o engajamento dos profissionais e das empresas que possuem serviços de e-commerce. Para isso é necessário estudar exaustivamente sobre boas práticas, participar de cursos de formação e implementar uma nova cultura de proteção de dados pessoais.
Empresas de GRC podem ajudar nesse quesito de adequação elaborando e adotando normas de governança para tratamento de dados pessoais, medidas preventivas de segurança para tratar incidentes e problemas com agilidade.