Comprou lista de e-mail pra disparar campanha? Isso é infração à LGPD

A dúvida chega assim: "posso mandar e-mail marketing pra base que capturei há 2 anos?" ou "e essa lista de leads que comprei, dá pra usar?". Falando sério: na maioria dos casos que analisamos aqui na banca, a resposta é não. E o motivo não é burocracia, é que a base legal que sustentava aquele contato simplesmente não existe mais, ou nunca existiu.

Marketing direto é a área da LGPD onde mais vemos empresa catarinense se queimando por economia de tempo. A gente vai direto ao ponto: o que é opt-in válido, o que é lista proibida e como montar um fluxo que não vira processo administrativo.

Lista comprada: por que isso é sempre proibido

Não existe lista de e-mail comprada que seja legal pra disparo de marketing. O motivo é simples: consentimento não é transferível. Quando alguém deu o e-mail pra um formulário de sorteio, pra uma pesquisa, pra outra empresa, aquele consentimento vale pra aquele contexto específico, não pra qualquer empresa que comprar o banco de dados depois.

Na prática, empresa que compra lista assume três riscos ao mesmo tempo: reclamação de titular que nunca autorizou nada, denúncia à ANPD por terceiro (concorrente, ex-funcionário, cliente insatisfeito) e ainda o risco reputacional de aparecer marcado como spam em massa. Já vimos caso de empresa de e-commerce de Itajaí que comprou lista de "leads qualificados" de um fornecedor terceirizado e levou notificação da ANPD 40 dias depois do primeiro disparo.

• Lista de evento presencial sem opt-in explícito pra marketing: proibida
• Base de cliente antigo sem consentimento atualizado: proibida pra nova finalidade
• Lista "orgânica" comprada de agência de leads: proibida
• Contato coletado via formulário próprio com checkbox de opt-in claro: válida

O que é opt-in válido de verdade (não é só um checkbox qualquer)

Opt-in válido tem três características que a gente cobra em toda auditoria de marketing que fazemos: é específico, é informado e é registrável. Especifico quer dizer que o titular sabe que está autorizando marketing, não só "cadastro na plataforma". Informado quer dizer que ele sabe que pode receber e-mail, SMS ou WhatsApp, e com que frequência aproximada.

Registrável é o ponto que mais empresa ignora. Se a ANPD perguntar "quando esse titular consentiu e com que texto", você precisa ter resposta em minutos, não em dias. Isso significa guardar timestamp, IP, e o texto exato do consentimento que estava na tela naquele momento.

Checkbox pré-marcado não vale. A LGPD trabalha com consentimento como manifestação livre, informada e inequívoca (art. 5º, XII). Caixa já marcada por padrão é o oposto de manifestação ativa do titular. Se seu formulário de captura de lead já vem com "aceito receber ofertas" marcado, troque isso ainda essa semana.

Double opt-in: vale a pena o atrito extra?

Double opt-in é aquele segundo passo: o titular se cadastra, recebe um e-mail de confirmação, e só entra na lista ativa depois de clicar em "confirmar". Muita empresa reclama que isso reduz conversão. É verdade, reduz mesmo, entre 15% e 30% dependendo do nicho, segundo dados que a gente acompanha em campanhas de cliente.

Mas o double opt-in resolve dois problemas ao mesmo tempo: elimina e-mail digitado errado (que vira reclamação de terceiro que nunca se cadastrou) e cria prova documental do consentimento com data e hora exatas. Pra empresa que faz volume alto de captura, esse segundo ponto vale mais que a conversão perdida, porque é exatamente o que a ANPD pede em caso de fiscalização.

Nossa recomendação prática: single opt-in serve pra lead magnet de baixo risco (e-book, desconto pontual). Double opt-in é obrigatório pra qualquer lista que vai receber comunicação recorrente por meses.

WhatsApp marketing: a armadilha que ninguém avisa

WhatsApp virou o canal favorito de pequena e média empresa no Vale do Itajaí, e é justamente onde vemos mais descuido. Número de celular que o cliente deu pra "confirmar pedido" não vira automaticamente autorização pra receber campanha de Black Friday.

O erro mais comum: empresa junta números de WhatsApp Business (atendimento) com lista de disparo em massa via ferramenta de automação, sem nunca ter perguntado se o cliente quer receber promoção por ali. Isso é mudança de finalidade sem base legal nova, e é justamente o tipo de reclamação que mais chega na ANPD hoje, porque o titular sente a invasão de forma mais direta que no e-mail.

• Peça opt-in específico pra WhatsApp marketing, separado do opt-in de atendimento
• Documente a autorização com data, mesmo que seja um "sim" em texto simples
• Ofereça opção clara de sair da lista ("digite PARAR" ou similar) e respeite em até 48h

Cancelamento em 1 clique: por que isso não é luxo, é obrigação prática

O art. 18 da LGPD garante ao titular o direito de revogar consentimento a qualquer momento, e o art. 19 fixa prazo de 15 dias pra resposta a solicitações. Mas na prática de marketing, 15 dias é uma eternidade: se o titular pede pra sair da lista e ainda recebe 3 disparos nesse meio tempo, a reclamação piora, não melhora.

Nossa leitura: link de descadastro precisa remover o contato da lista ativa em até 24h, não em 15 dias. Ferramenta de e-mail marketing decente (a maioria das plataformas do mercado) já processa isso de forma automática. O erro que vemos é empresa que usa disparo manual via planilha e demora semanas pra atualizar a lista depois de um pedido de saída.

Cancelamento tem que ser visível, de 1 clique, sem pedir login nem preencher formulário longo. Se o titular precisa de mais de 10 segundos pra sair da lista, isso já é motivo suficiente pra reclamação.

Retargeting por e-mail: base legal escondida que ninguém questiona

Retargeting via e-mail (enviar oferta pra quem abandonou carrinho, por exemplo) costuma se apoiar em legítimo interesse (art. 7º, IX) em vez de consentimento explícito, porque é decorrente direto de uma interação comercial real do titular com a empresa. Isso é defensável, mas com limite.

O limite é a expectativa razoável do titular. Quem abandonou carrinho num e-commerce espera um lembrete em 24h ou 48h. Não espera receber campanha de outro produto, de outra marca do mesmo grupo, seis meses depois. Se sua régua de retargeting extrapola o que o titular razoavelmente esperaria, o legítimo interesse deixa de proteger a empresa e vira exposição.

O que fazer nas próximas 2 semanas

Pare de adiar isso pra "quando sobrar tempo". Nas próximas duas semanas, dá pra resolver o essencial:

• Audite suas listas ativas: identifique quais têm opt-in documentado e quais não têm nenhum registro
• Remova imediatamente qualquer lista comprada ou de origem duvidosa das campanhas ativas
• Ative double opt-in nos formulários de captura de e-mail que geram lista recorrente
• Teste o botão de descadastro do seu e-mail marketing: veja se remove o contato em minutos, não em dias
• Separe opt-in de WhatsApp atendimento do opt-in de WhatsApp marketing, com registro de data pra cada um

Empresa pequena, sob o regime simplificado da Resolução CD/ANPD 02/2022, tem menos exigência documental que empresa grande, mas isso não significa dispensa de opt-in válido. O que muda é a formalidade do registro, não a exigência de consentimento em si.