LGPD no Marketing Digital: o Que Sua Empresa Pode (e Não Pode) Fazer Com os Dados dos Leads
Todo formulário de contato, toda conversa de WhatsApp vinda de anúncio e todo pixel instalado no site envolvem dados pessoais. Desde 2020 a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) está em vigor, e desde 1º de agosto de 2021 as sanções administrativas podem ser aplicadas. Mesmo assim, ainda é comum ver empresa comprando lista de contatos, disparando mensagem para quem nunca pediu nada e guardando planilha de leads sem saber quem tem acesso.
Este texto explica, do ponto de vista de quem faz marketing, o que a LGPD permite e o que ela proíbe no dia a dia da captação de leads. É um material informativo, não um parecer jurídico: cada operação tem detalhes próprios, e a orientação de um advogado especializado em proteção de dados continua indispensável.
O que conta como dado pessoal no marketing
Para a lei, dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável. No marketing, isso inclui nome, e-mail, telefone, número de WhatsApp, endereço, histórico de compras e até identificadores de navegação quando podem ser ligados a alguém.
Existe ainda uma categoria mais protegida, a de dados sensíveis: origem racial ou étnica, convicção religiosa, opinião política, dados de saúde, vida sexual, dados genéticos e biométricos, entre outros. Clínicas, consultórios e campanhas políticas lidam com esse tipo de informação o tempo todo, e as regras para tratá-la são mais rígidas.
As bases legais que mais aparecem no marketing
A LGPD só permite tratar dados pessoais quando existe uma base legal. O artigo 7º lista dez hipóteses. No marketing, três aparecem com mais frequência:
Consentimento: a lei o define como manifestação livre, informada e inequívoca, para uma finalidade determinada. Autorizações genéricas são nulas, o consentimento pode ser revogado a qualquer momento por procedimento gratuito e facilitado, e cabe à empresa provar que ele foi obtido corretamente.
Procedimentos preliminares a um contrato: quando a própria pessoa pede um orçamento, a empresa pode usar os dados dela para responder a esse pedido.
Legítimo interesse: permite tratar dados para apoiar e promover as atividades da empresa, desde que só com os dados estritamente necessários, com transparência e respeitando as expectativas legítimas do titular. Em fevereiro de 2024 a ANPD publicou um guia sobre o tema, com um modelo de teste de balanceamento em três fases: finalidade, necessidade, e balanceamento e salvaguardas. O mesmo guia deixa claro que o legítimo interesse não serve para dados sensíveis.
Escolher a base legal errada, ou não escolher nenhuma, é o problema mais comum. "Todo mundo faz assim" não é base legal.
Na prática: o que pode e o que não pode
Traduzindo a lei para a rotina de uma empresa que capta clientes pela internet, algumas práticas são seguras quando bem feitas e outras deveriam ser abandonadas.
O que pode, com cuidado:
Captar leads por formulário informando para que os dados serão usados e com link para a política de privacidade. A landing page que converte também é a que deixa isso claro sem assustar o visitante.
Enviar conteúdo e ofertas a quem consentiu com essa finalidade, sempre com opção simples de sair.
Retomar o contato com quem pediu orçamento, dentro do assunto que motivou o pedido.
Usar dados de clientes em ações de relacionamento, desde que a base legal tenha sido analisada e o cliente tenha sido informado.
O que evitar:
Comprar, alugar ou "trocar" listas de contatos.
Usar caixinha de consentimento já marcada ou um texto genérico do tipo "concordo com tudo".
Reaproveitar dados coletados para um fim em outro fim incompatível, sem informar o titular.
Repassar a base para parceiros. A lei exige consentimento específico quando dados obtidos por consentimento são compartilhados com outros controladores.
Ignorar pedidos de descadastro ou de exclusão.
Listas compradas: o caso que virou a primeira multa
A primeira multa aplicada pela ANPD, em julho de 2023, atingiu uma microempresa, a Telekall Infoservice. Segundo a autoridade, a empresa oferecia listas de contatos de WhatsApp de eleitores para divulgação de material de campanha na eleição municipal de 2020 em Ubatuba (SP). O resultado foram duas multas que somaram R$ 14.400, uma delas por tratar dados sem base legal (artigo 7º da LGPD), além de advertência por não ter indicado encarregado.
O caso mostra duas coisas. Porte pequeno não isenta ninguém. E a prática de negociar listas de contato, tão comum em disparos de WhatsApp, é justamente o tipo de conduta que a ANPD já tratou como infração.
Direitos do titular: o lead pode pedir, e você precisa atender
O artigo 18 garante a qualquer pessoa, mediante requisição, o direito de:
confirmar se a empresa trata seus dados e acessá-los;
corrigir dados incompletos, inexatos ou desatualizados;
pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
pedir a portabilidade e a eliminação dos dados tratados com consentimento;
saber com quem os dados foram compartilhados;
revogar o consentimento.
Na prática, isso exige um canal para receber esses pedidos e uma operação capaz de localizar e apagar o registro de uma pessoa em todas as ferramentas: CRM, planilhas, plataforma de e-mail e públicos de anúncio. Pela Resolução CD/ANPD nº 2/2022, agentes de tratamento de pequeno porte podem ser dispensados de indicar um encarregado, mas precisam manter um canal de comunicação com o titular. Quem ainda guarda leads espalhados em planilhas e celulares vai ter dificuldade para cumprir o básico, um tema que aprofundamos em como proteger os dados da sua empresa ao adotar ferramentas de IA.
Cookies, pixels e o banner do site
Pixels de anúncio e ferramentas de análise funcionam com cookies e tecnologias parecidas. Em outubro de 2022 a ANPD publicou um guia orientativo sobre o assunto. Em resumo: para cookies estritamente necessários ao funcionamento do site, o legítimo interesse tende a ser a base adequada; para cookies não necessários, como os de publicidade, o consentimento é apontado como a hipótese mais adequada. O guia recomenda que o banner ofereça a opção de rejeitar já na primeira camada, desaconselha caixas pré-marcadas e orienta que cookies baseados em consentimento fiquem desativados por padrão.
Isso afeta diretamente a mensuração, porque parte dos visitantes vai recusar os cookies de publicidade. É mais um motivo para medir certo em vez de gastar mais e para acompanhar a venda também pelo CRM, e não só pelo pixel.
Sanções: o que a ANPD pode aplicar
O artigo 52 prevê advertência; multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração; multa diária; publicização da infração; bloqueio ou eliminação dos dados envolvidos; e, nos casos mais sérios, suspensão e até proibição, parcial ou total, das atividades de tratamento.
O cálculo segue o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023), que classifica as infrações em leves, médias e graves e considera fatores como boa-fé, vantagem obtida, condição econômica, reincidência, cooperação e adoção de boas práticas. Em fevereiro de 2026, a Lei nº 15.352 transformou a ANPD em Agência Nacional de Proteção de Dados, com mais autonomia e novos cargos de fiscalização. Além da esfera administrativa, a própria LGPD prevê reparação de danos causados aos titulares.
Por onde começar
Mapeie de onde vêm os dados dos leads, em quais ferramentas ficam e quem acessa. Defina a base legal de cada uso, revise formulários e banner de cookies, e crie um fluxo para atender pedidos de titulares. Os riscos de deixar isso para depois estão em os riscos invisíveis de usar IA sem política de dados e em segurança de dados na era da IA. Ao contratar uma agência, pergunte como ela trata a sua base; esse é um dos critérios que listamos em como escolher a melhor agência de marketing digital.
Na AtriaON, formulários, CRM e atendimento automatizado são desenhados para registrar a origem de cada lead e facilitar pedidos de acesso ou exclusão. Se quiser revisar como seus formulários, listas e ferramentas estão tratando os dados dos leads, do ponto de vista do marketing (a parte jurídica fica com o seu advogado), fale com a AtriaON pelo WhatsApp.
Comentários