A Lei Geral de Proteção de Dados mudou a forma como equipes de marketing coletam, armazenam e usam informações de clientes e prospects. Quem trata dados sem base legal clara está exposto a sanções e, mais relevante no dia a dia, à perda de confiança do consumidor. Este guia detalha o que muda na operação, canal por canal.

O que é a LGPD e por que o marketing é o departamento mais afetado

A LGPD (Lei 13.709/2018) regula o tratamento de dados pessoais no Brasil, seja por pessoas físicas ou jurídicas, em meio digital ou físico. Ela se apoia em princípios como finalidade (usar o dado apenas para o objetivo declarado), necessidade (coletar só o mínimo indispensável) e transparência (informar o titular de forma clara sobre o que acontece com seus dados).

Marketing é, na maioria das empresas, o departamento que mais coleta e trata dados pessoais. Formulários de captação, listas de e-mail, pixels de rastreamento, integrações de CRM, ferramentas de automação: cada ponto de contato gera dados que precisam de base legal. A área concentra, naturalmente, boa parte do risco de conformidade.

Dados pessoais e dados sensíveis

A lei distingue dados pessoais comuns (nome, e-mail, telefone, comportamento de navegação) de dados sensíveis, que exigem cuidado redobrado. Dados sensíveis incluem origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual e dados genéticos ou biométricos.

Campanhas segmentadas podem inadvertidamente cruzar essa linha. Uma segmentação por “interesse em produtos veganos” ou “conteúdo religioso” pode revelar dados sensíveis por inferência. O tratamento de dados sensíveis tem requisitos mais rígidos e, na prática, quase sempre exige consentimento específico.

O papel da ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) fiscaliza o cumprimento da lei, edita regulamentações e aplica sanções. O enforcement brasileiro amadureceu gradualmente: as primeiras multas e notificações começaram a partir de 2023, com foco inicial em casos de grande visibilidade e falhas graves de segurança. A tendência é de crescimento na atuação, o que torna a adequação uma questão de tempo, não de escolha.

Bases legais que o marketing pode usar e como escolher a certa

Todo tratamento de dados precisa de uma das dez bases legais previstas no artigo 7º da LGPD. Não é opcional: sem base legal, o tratamento é irregular, independentemente de haver dano. Para marketing, quatro bases concentram a maioria dos casos.

Consentimento

O consentimento é a manifestação livre, informada e inequívoca do titular autorizando o tratamento para uma finalidade específica. Ele é obrigatório em situações como envio de newsletter, uso de cookies não essenciais e comunicações promocionais quando não há outra base aplicável.

Para ser válido, o consentimento não pode estar embutido em termos genéricos nem ser pré-marcado. Precisa ser granular (o titular escolhe o que aceita), revogável a qualquer momento e registrado: a empresa deve conseguir provar quando e como o consentimento foi obtido. Caixas de checkbox pré-selecionadas não valem.

Legítimo interesse

O legítimo interesse permite tratar dados sem consentimento quando há interesse legítimo do controlador que não fere direitos e liberdades do titular. Marketing direto é explicitamente mencionado na lei como situação em que essa base pode ser aplicada.

Para usá-la com segurança, é preciso documentar um teste de proporcionalidade (LIA, Legitimate Interest Assessment) que avalie a necessidade, o balanceamento entre o interesse da empresa e a expectativa do titular, e as salvaguardas adotadas. Retargeting de quem já é cliente costuma se enquadrar melhor do que abordagens frias a quem nunca interagiu com a marca.

Execução de contrato e obrigação legal

Quando o tratamento é necessário para cumprir um contrato, como enviar confirmação de pedido, comunicar status de entrega ou prestar suporte pós-venda, a base é a execução de contrato. Não é preciso pedir consentimento para uma mensagem operacional sobre algo que o cliente contratou.

A obrigação legal cobre casos em que a empresa é obrigada por lei a tratar dados, como retenção fiscal de informações de compra. No CRM, isso ajuda a justificar a manutenção de determinados registros mesmo após o fim do relacionamento comercial.

O erro mais comum

Usar a base errada é a falha mais frequente. Empresas rotulam qualquer envio como “legítimo interesse” para evitar pedir consentimento, ou coletam consentimento genérico e o usam para finalidades não declaradas. Ambos os caminhos criam exposição: o titular pode reclamar à ANPD, e a empresa não consegue sustentar a legalidade do tratamento. A base precisa ser definida antes da coleta e documentada.

Impactos práticos por canal de marketing

E-mail marketing

O modelo de opt-in explícito é o mais seguro: o contato ativamente concorda em receber comunicações. Listas compradas ou importadas sem origem clara são um passivo, pois não há como provar consentimento e a base legal é frágil.

Todo e-mail promocional deve conter opt-out funcional e fácil de acionar. A revogação precisa ser respeitada de imediato e refletida em todas as ferramentas conectadas. Gestão de supressão bem feita evita que alguém que descadastrou volte a receber mensagens por causa de uma importação subsequente.

Anúncios pagos e pixels de rastreamento

Cookies e pixels de terceiros, usados por plataformas de mídia como Meta Ads, Google Ads e LinkedIn Ads, representam tratamento de dados pessoais. Cookies não essenciais exigem consentimento prévio antes de disparar. Instalar o pixel no carregamento da página, sem autorização, é uma prática cada vez mais questionada.

Na relação com essas plataformas, a empresa geralmente atua como controladora conjunta ou como controladora que compartilha dados. Isso exige atenção aos termos de tratamento de dados oferecidos por cada plataforma e à forma como públicos personalizados são construídos.

CRM e segmentação de audiências

O CRM acumula histórico de longo prazo, e a LGPD limita a retenção ao tempo necessário para a finalidade. Dados de um lead que nunca converteu e não interage há anos dificilmente se justificam. Definir políticas de retenção e descarte é parte da conformidade, não um detalhe operacional.

A segmentação também deve respeitar a finalidade original da coleta. Usar dados coletados para atendimento em uma campanha de venda cruzada pode extrapolar o que o titular esperava, dependendo da base legal aplicada.

Lead generation e formulários

Formulários devem coletar apenas os campos necessários para a finalidade declarada, o princípio da necessidade em ação. Pedir CPF e endereço completo para baixar um e-book raramente se justifica.

Cada formulário precisa exibir aviso de privacidade acessível, informar a finalidade do uso e, quando a base for consentimento, oferecer opções claras e separadas (por exemplo, aceitar o download versus aceitar receber comunicações futuras). Misturar as duas coisas em um único checkbox invalida o consentimento.

Como adequar operações de marketing à LGPD

Mapeamento de dados

O ponto de partida é o data mapping: mapear todos os fluxos de dados de marketing. Que dados são coletados, por quais formulários e integrações, onde são armazenados, quais ferramentas os processam, para onde são transferidos e por quanto tempo ficam retidos. Sem esse inventário, é impossível saber o que precisa de base legal ou o que responder a um titular.

Política de privacidade e avisos de coleta

A política de privacidade deve refletir o que realmente acontece com os dados, não um texto genérico copiado. Ela precisa listar finalidades, bases legais, compartilhamentos com terceiros (incluindo plataformas de mídia e ferramentas de automação) e como exercer direitos. Avisos de coleta pontuais nos formulários complementam a política com informação no momento certo.

Gestão de consentimento no site

Uma plataforma de gestão de consentimento (CMP) controla quais cookies e scripts disparam conforme a escolha do visitante. Soluções como OneTrust, Cookiebot e Osano cobrem esse papel, mas o essencial é o comportamento: nenhum script não essencial deve carregar antes da autorização, e a escolha do usuário precisa ser registrada e respeitada em visitas futuras.

Atendimento aos direitos dos titulares

A LGPD garante ao titular direitos de acesso, correção, exclusão, portabilidade e informação sobre compartilhamentos. Marketing precisa de um processo definido para atender esses pedidos dentro dos prazos, o que inclui saber localizar os dados de uma pessoa em todas as ferramentas. Um pedido de exclusão que remove o contato do CRM mas o mantém na plataforma de e-mail é atendimento incompleto.

Treinamento das equipes

Ferramenta nenhuma resolve sozinha. A equipe precisa entender por que não se compra lista, por que consentimento pré-marcado não vale e por que cada campo de formulário deve ser justificado. Treinamento periódico reduz o risco de decisões erradas no dia a dia, que é onde a maioria das falhas acontece.

Penalidades, riscos e como evitá-los

As sanções da LGPD vão da advertência à multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Há ainda multa diária, bloqueio ou eliminação dos dados envolvidos, e a divulgação pública da infração, que amplia o dano reputacional.

As notificações da ANPD já alcançaram práticas relacionadas a marketing e tratamento de dados de larga escala, com foco em transparência e segurança. À medida que o enforcement se estrutura, o custo de operar sem base legal tende a subir.

Risco reputacional

Além da multa, existe o custo de confiança. O consumidor brasileiro está mais atento a como suas informações são usadas. Uma prática invasiva, um vazamento ou uma solicitação de descadastro ignorada geram reclamações públicas que afetam a marca mais do que qualquer sanção administrativa.

Checklist mínimo de conformidade

• Base legal definida e documentada para cada tratamento de marketing;
• Consentimento coletado de forma granular, registrada e revogável;
• Opt-out funcional e sincronizado em todos os canais de e-mail;
• CMP configurada para bloquear scripts não essenciais antes da autorização;
• Política de privacidade atualizada e refletindo os fluxos reais;
• Processo ativo para atender direitos dos titulares dentro do prazo;
• Políticas de retenção e descarte definidas no CRM;
• Contratos de tratamento (DPA) firmados com fornecedores e plataformas.

LGPD como vantagem competitiva: marketing baseado em dados com ética

Conformidade não precisa ser vista só como custo. Ela força uma disciplina de dados que, bem executada, melhora resultados e reduz dependência de práticas que estão desaparecendo.

Dados first-party como estratégia

Com o fim gradual dos cookies de terceiros e as restrições de rastreamento em navegadores e sistemas operacionais, os dados first-party, coletados com consentimento direto do público, tornaram-se o ativo mais valioso. Investir em coleta transparente e relacionamento direto substitui a dependência de terceiros e produz segmentações mais precisas e sustentáveis.

Transparência como diferencial de marca

Empresas que comunicam com clareza o que fazem com os dados e respeitam as escolhas do usuário constroem confiança. Em um mercado saturado de abordagens invasivas, a transparência vira diferencial percebido, não apenas obrigação legal.

Conformidade facilita parcerias

Empresas maduras exigem DPA (Data Processing Agreement) de seus fornecedores e parceiros. Estar em conformidade abre portas para parcerias e contratos B2B que dependem de garantias de tratamento de dados. A falta de estrutura de privacidade, ao contrário, elimina a empresa de processos de compra desde a triagem.

Próximos passos

Comece pelo data mapping para enxergar o cenário real, depois corrija as bases legais e a coleta de consentimento nos pontos de maior volume, normalmente formulários, e-mail e pixels. Estabeleça o processo de atendimento aos direitos dos titulares e revise contratos com fornecedores.

A regulação continua evoluindo: a ANPD publica novas regulamentações e o entendimento sobre bases legais se refina com o tempo. Trate a estratégia de dados como algo vivo, com revisão periódica a cada mudança relevante de ferramenta, canal ou regulamentação, em vez de um projeto pontual que se encerra.