LGPD no email marketing: o que pode e checklist

Posso fazer email marketing sob a LGPD? Sob quais condições

Sim, pode — a LGPD não proíbe email marketing. O que ela exige é que cada envio tenha uma base legal, e na prática isso se resume a uma escolha por contato: ou a pessoa deu consentimento (marcou um opt-in claro), ou há legítimo interesse aplicável ao caso (principalmente B2B e cliente ativo). O que não é permitido em nenhuma das duas bases é o mesmo em todos os cenários: comprar lista, importar contatos enriquecidos e disparar promocional para quem nunca teve relação com a marca.

Na prática, três condições cobrem a conformidade da maioria das operações de email: (1) você consegue dizer de onde veio cada contato e qual base legal sustenta o envio; (2) todo email tem descadastro de um clique, funcionando de fato; (3) existe um canal e um prazo para atender quem pede acesso ou exclusão. Se as três estão de pé, a operação está em terreno seguro. As seções a seguir mostram como montar cada uma — começando pela escolha da base legal, que é a decisão que organiza tudo.

Qual base legal usar: consentimento ou legítimo interesse

A regra simples: consentimento para envio promocional a pessoa física (B2C) e a contatos sem vínculo prévio; legítimo interesse para B2B com expectativa razoável e para cliente ativo recebendo conteúdo relacionado ao que já comprou. A LGPD lista dez bases legais,^[1] mas em email marketing essas duas — mais a execução de contrato, para mensagens transacionais — resolvem quase todos os casos.

Quando usar consentimento (art. 7º, I)

Use consentimento sempre que não houver vínculo prévio claro com o destinatário, ou para qualquer envio promocional a pessoa física. A LGPD exige que o consentimento seja livre, informado, inequívoco e específico para finalidades determinadas.^[1] Na prática, isso significa opt-in ativo (checkbox que o usuário marca, nunca pré-marcado), texto claro sobre o que será enviado e registro de data, origem e versão do texto exibido. Consentimento embutido em "li e aceito os termos" não vale para marketing, porque não é específico.

Quando usar legítimo interesse (art. 7º, IX)

Use legítimo interesse quando há expectativa razoável do destinatário de receber a mensagem — o caso clássico é o cliente ativo recebendo oferta de produto relacionado ao que comprou, ou o contato profissional B2B obtido em evento setorial. O guia da ANPD sobre legítimo interesse organiza a avaliação em três fases: finalidade, necessidade e balanceamento com salvaguardas, incluindo a possibilidade efetiva de o titular se opor.^[2] O resultado dessa avaliação é o teste de legítimo interesse — um documento curto que justifica a decisão e fica arquivado. Sem ele, legítimo interesse vira alegação genérica que não se sustenta em fiscalização.

O que nenhuma das duas bases cobre

Prospecção fria em massa para lista comprada ou enriquecida não está amparada por consentimento (a pessoa não deu) nem por legítimo interesse (não há expectativa nem vínculo). Esse é o uso que mais gera exposição e o que a orientação da ANPD trata com mais clareza.^[2] O caminho para reaproveitar uma lista nessa situação é a campanha de re-permissão: enviar um único email pedindo que a pessoa confirme o opt-in, e tratar apenas quem confirmar.

E o email para cliente que já comprou?

Depende do conteúdo. Mensagem transacional ligada ao contrato (confirmação de compra, atualização de pedido, fatura) tem base na execução de contrato e não precisa de opt-in de marketing.^[1] Conteúdo promocional sobre produtos relacionados ao que o cliente já comprou costuma caber em legítimo interesse, com teste formalizado e opt-out funcional. Promoção de produto sem relação com a compra anterior é mais seguro tratar como consentimento específico.

Checklist de conformidade: o que fazer na prática

Antes da próxima campanha, percorra esta lista. Ela cobre a operação de email do opt-in ao atendimento de direitos do titular. Itens marcados como "por contato" precisam valer para cada registro da base, não só para os novos.

1. Captura: todo formulário tem checkbox de opt-in não pré-marcado, com texto específico sobre o que será enviado.
2. Identificação: o formulário deixa claro quem é a empresa, traz link para a política de privacidade e o canal do encarregado.
3. Registro técnico (por contato): data, hora, origem (qual formulário/evento), texto exibido na época e versão da política vigente ficam gravados e exportáveis.
4. Base legal (por contato): cada contato tem registrada a base que sustenta o envio — consentimento ou legítimo interesse — e, no caso de legítimo interesse, há teste formalizado.
5. Descadastro: link visível em todo email, de um clique, sem exigir login, processado em até 48 horas (prática consolidada), com confirmação ao usuário.
6. Direitos do titular: existe canal de entrada definido (email do encarregado ou formulário), responsável pela triagem e prazo de resposta.
7. Exclusão ≠ opt-out: o fluxo distingue quem pediu para parar de receber (opt-out) de quem pediu exclusão completa do registro.
8. Listas herdadas: contatos importados sem base legal documentada estão isolados até passar por re-permissão; nada promocional é disparado para eles antes disso.
9. Fornecedores (operadores): a plataforma de email e a ferramenta de automação têm contrato de tratamento (DPA) com cláusulas de LGPD assinado.
10. Transferência internacional: se a ferramenta hospeda dados fora do Brasil, a transferência está amparada por garantia adequada (cláusulas-padrão da ANPD, certificação ou decisão de adequação).
11. Revisão periódica: há rotina (semestral é razoável) de limpar contatos inativos e checar se a base legal de cada finalidade continua válida.

Como montar o consentimento na prática

Consentimento válido tem cinco elementos operacionais, e o que mais separa o opt-in que se sustenta do que não se sustenta é a especificidade do texto e o registro técnico.

Como deve ser o checkbox de opt-in

O checkbox precisa ser marcado deliberadamente pelo usuário — pré-marcar e contar o silêncio como concordância não é consentimento válido. Quanto mais granular, mais robusto: separar opt-in de newsletter, de promoções e de comunicações de parceiros é melhor do que um checkbox único que mistura tudo.

Exemplos de texto de captação

O texto define se o consentimento é específico. Compare:

• Fraco (vago): "☐ Aceito receber comunicações."
• Bom (específico): "☐ Quero receber por email a newsletter semanal da [Empresa] com conteúdo sobre [tema] e ofertas de produtos."
• Melhor (granular): dois checkboxes separados — "☐ Newsletter semanal com conteúdo sobre [tema]" e "☐ Ofertas e promoções da [Empresa]" — cada um registrado de forma independente.

Junto ao formulário, deixe visível: "Seus dados são tratados pela [Empresa] conforme nossa Política de Privacidade. Você pode descadastrar a qualquer momento. Dúvidas sobre seus dados: [email do encarregado]."

O que registrar de cada opt-in

Guarde data e hora, formulário de origem, o texto exibido na época e a versão da política de privacidade vigente. A maior parte das plataformas modernas faz isso automaticamente, mas é preciso conferir que está ativo e exportar periodicamente — em fiscalização, é esse registro que comprova o consentimento.

Como deve ser o rodapé e o descadastro

O rodapé de um email em conformidade identifica o remetente e oferece descadastro fácil. Esconder o link, usar fonte minúscula ou exigir login cria fricção e vira risco regulatório, já que a LGPD garante ao titular revogar o consentimento ou se opor ao tratamento a qualquer momento, sem justificar.^[1]

Exemplo de rodapé

Um rodapé funcional contém, em texto legível:

• Identificação: "Você recebe este email porque se cadastrou em [origem] / é cliente da [Empresa]."
• Remetente: razão social e endereço da empresa.
• Descadastro: "Não quer mais receber? Cancelar inscrição" — link de um clique, visível.
• Privacidade: link para a política e o canal do encarregado.

Descadastro (opt-out) e exclusão são a mesma coisa?

Não. Opt-out é parar de enviar — o contato continua registrado na base como "não enviar". Exclusão é remover o registro do banco. A LGPD garante os dois, mas são pedidos diferentes: manter alguém como opt-out depois de um pedido de exclusão só é aceitável se houver outra base legal específica para guardar o dado (obrigação legal, exercício de direito em processo). Operacionalmente, o link de descadastro do email resolve o opt-out; a exclusão completa chega pelo canal do titular.

Direitos do titular que precisam estar operacionalizados

A LGPD garante ao titular direitos que precisam ter um fluxo de atendimento definido — canal de entrada, responsável e prazo.^[1] Em email marketing, os mais acionados são acesso, exclusão e oposição.

Quais direitos aparecem em email marketing

Acesso (confirmação de que a empresa trata os dados e cópia do que tem), correção (dado incorreto), exclusão (remoção do banco, não só opt-out), oposição (quando o tratamento se baseia em legítimo interesse, o titular pode se opor — equivale a opt-out total) e portabilidade (receber os dados em formato estruturado, raro em marketing, mas previsto).

Qual o prazo para responder

A LGPD prevê prazo para a confirmação de existência e acesso aos dados, e prazo razoável para executar os demais pedidos.^[1] O importante na prática é ter um responsável e registrar cada atendimento — a ausência de fluxo, mais do que o tempo de resposta, é o que costuma expor a empresa. Em pequena empresa o fluxo pode ser manual; em grande, automatizado via portal de privacidade integrado ao CRM.

Plataforma fora do Brasil e contrato com fornecedor

Usar plataforma com servidores fora do Brasil é permitido, desde que a transferência internacional esteja amparada por garantia adequada: cláusulas-padrão da ANPD no contrato, certificação reconhecida ou decisão de adequação do país.^[1] A maioria das ferramentas globais (Mailchimp, HubSpot, Salesforce) processa dados nos EUA ou na Europa e oferece cláusulas-padrão sob solicitação.

O que pedir ao fornecedor

Peça o DPA (Data Processing Agreement) com cláusulas de LGPD, a lista de subprocessadores e a base que ampara a transferência internacional. Guarde esses documentos: quem opera sua plataforma de email é um operador na LGPD, e o contrato de tratamento é o que define responsabilidades entre controlador (sua empresa) e operador.

O que registrar internamente

O art. 37 da LGPD exige registro das operações de tratamento.^[1] Em email marketing, isso significa documentar quais finalidades de envio existem, a base legal de cada uma, a política de retenção e quem são os operadores. Em pequena empresa, é uma planilha de poucas páginas; em grande, alimenta o registro mantido pelo encarregado.

Erros comuns e o que fazer em cada um

A maioria das falhas que geram exposição cabe em seis erros previsíveis — cada um com correção direta.

1. Checkbox de opt-in pré-marcado. Correção: auditar todos os formulários ativos e desmarcar o padrão.
2. Importar lista comprada ou enriquecida. Correção: parar a importação ou rodar campanha de re-permissão antes de qualquer envio promocional.
3. Descadastro escondido ou complicado. Correção: link de um clique, processado em até 48 horas, com confirmação.
4. Não atender pedido de exclusão (tratar como opt-out). Correção: fluxo formal de exclusão completa do registro.
5. Não registrar a base legal por contato. Correção: integrar o registro de origem à plataforma de email, contato a contato.
6. Ignorar transferência internacional. Correção: solicitar o DPA ao fornecedor, revisar com o jurídico e registrar a base da transferência.

Sobre sanção: o art. 52 da LGPD prevê desde advertência até multa de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.^[1] Na prática, a ANPD tem priorizado a adequação sobre a sanção pesada, mas a fiscalização vem se estruturando.^[3]