WhatsApp e e-mail marketing sob a LGPD: o opt-in que sua empresa não tem

Cliente liga desesperado porque recebeu notificação de reclamação: o consumidor jurou, por escrito, que pediu descadastro três vezes e continuou recebendo e-mail promocional. Isso não é exagero de novela. É queixa que vira processo na ANPD e vira dor de cabeça de verdade. E o motivo quase nunca é má-fé: é ferramenta de disparo mal configurada, lista comprada sem checar origem e um botão de cancelar que só existe de enfeite.

Nome, telefone, e-mail, histórico de compra: cada linha da sua planilha de contatos é dado pessoal. E-mail marketing, SMS e WhatsApp comercial caem, sim, debaixo da Lei 13.709/2018. Não é regra pra multinacional de tecnologia. É regra pra loja de roupa em Blumenau que dispara SMS de liquidação, pra academia do Vale do Itajaí que manda WhatsApp de renovação e pra qualquer negócio que junta e-mail no balcão e depois usa pra campanha.

Sua lista de contatos tem base legal ou é intuição de marketing?

Antes de disparar qualquer campanha, pergunta simples: qual é a base legal daquele contato específico? A LGPD lista dez bases no art. 7º, mas na prática o marketing direto vive de duas: consentimento (inciso I) e legítimo interesse (inciso IX). São coisas diferentes, e a confusão entre elas é a origem de boa parte dos processos que a gente vê.

Legítimo interesse cobre, com limites, quem já é cliente: alguém que comprou de você, tem relação comercial ativa e recebe comunicação sobre produtos parecidos com o que já consumiu. Não cobre lista fria, não cobre contato de terceiro, não cobre quem nunca ouviu falar da sua empresa. Nossa leitura: se o destinatário vai se perguntar "de onde eles tiraram meu contato", a base legal está errada.

Lista comprada: por que isso é proibido, mesmo que o vendedor jure que é "opt-in"

Falando sério: lista comprada é praticamente sempre ilegal, mesmo quando o vendedor garante que os contatos "aceitaram receber ofertas". O art. 8º, §4º da LGPD é claro: o consentimento tem que se referir a finalidade determinada, autorização genérica é nula. Aquele contato pode até ter aceitado receber e-mail de quem coletou o dado, mas não autorizou a sua empresa, especificamente, a mandar nada.

Tem outro detalhe que pega muita gente de surpresa: responsabilidade solidária. O art. 42 trata da reparação de dano quando mais de um agente participa do tratamento. Comprou lista de fornecedor que agiu errado? Os dois respondem. Na prática, isso significa que terceirizar a captação não terceiriza o risco. A gente já viu empresa achar que estava protegida porque "o problema é de quem vendeu a lista" e descobrir, tarde, que não é assim que funciona.

Double opt-in não é frescura de gringo, é prova que salva sua empresa

Formulário preenchido não é consentimento comprovado. É só um formulário preenchido. O art. 8º, §2º da LGPD coloca o ônus da prova em cima do controlador: se a ANPD perguntar, é a empresa que precisa mostrar que aquele consentimento existiu e foi válido, não o titular que precisa provar que não deu.

Double opt-in resolve isso: a pessoa preenche o formulário, recebe um e-mail ou SMS de confirmação e só entra na lista depois de confirmar o segundo clique. Dá trabalho a mais e reduz volume de lista em uns 20% a 30% na nossa experiência prática. É exatamente essa fricção que separa base saudável de base que vira passivo jurídico.

Cancelamento em 1 clique: sua ferramenta cumpre isso hoje?

A lei dá até 15 dias (art. 19) pra resposta a pedidos do titular em geral. Mas convenhamos: manter alguém recebendo disparo depois de pedir pra sair é osso duro de engolir numa fiscalização, e o art. 18, IX garante o direito de revogar o consentimento a qualquer momento. Nossa leitura: cancelamento de marketing tem que ser imediato e automático, não uma resposta formal que espera o prazo máximo.

Erros que a gente encontra o tempo todo em auditoria:

• Link de descadastro que dá erro 404 ou redireciona pra home
• Cancelamento que exige login ou justificativa do motivo
• Pedido feito por e-mail que fica represado esperando alguém processar manualmente
• Lista de e-mail e lista de SMS/WhatsApp desconectadas: cliente cancela uma e continua recebendo a outra
• Campanha de reativação disparada justamente pra quem cancelou há pouco tempo

WhatsApp marketing: a zona cinzenta que já rendeu multa

WhatsApp é o canal mais arriscado hoje, porque a linha entre atendimento e marketing é fina. Pegou o número do cliente pra confirmar entrega e depois usou o mesmo número pra mandar promoção de Black Friday sem perguntar? Isso é desvio de finalidade, e desvio de finalidade é justamente o tipo de coisa que a ANPD enxerga fácil numa denúncia.

Na prática, recomendamos: opt-in de WhatsApp comercial tem que ser específico, separado do opt-in de atendimento. E cuidado com lista de transmissão ou grupo que expõe o número de um cliente pros outros: isso já é compartilhamento de dado pessoal sem base legal, e vira problema mesmo sem nenhuma campanha ter sido enviada ainda.

Retargeting por e-mail: pixel e cookie também são tratamento de dado

Pixel de rastreamento em e-mail, cookie que junta quem abriu a campanha mas não comprou pra depois impactar em anúncio: isso também é tratamento de dado pessoal, precisa de base legal e precisa estar descrito na política de privacidade. A gente vê muita empresa tratando retargeting como "só tecnologia de anúncio", como se isso ficasse fora da LGPD. Não fica.

Legítimo interesse costuma sustentar retargeting de quem já interagiu com sua marca, desde que documentado e com opção clara de recusa. Lista de e-mail comprada usada pra alimentar público de retargeting em plataforma de anúncio é, de novo, ilegal pelo mesmo motivo do disparo direto: falta consentimento específico daquele titular pra aquela finalidade.

O que fazer nas próximas duas semanas

Não precisa parar toda a operação de marketing pra resolver isso. Precisa de um checklist objetivo e alguém com autoridade pra executar, de preferência o encarregado que o art. 41 exige toda empresa ter.

• Audite a origem de cada lista ativa: se não sabe de onde veio, tire de circulação até confirmar
• Implemente double opt-in em todo formulário novo de captação
• Automatize o cancelamento: um clique, sem login, sem pergunta "por quê", efeito imediato em e-mail, SMS e WhatsApp ao mesmo tempo
• Elimine qualquer lista comprada ou herdada de fornecedor terceiro sem consentimento específico documentado
• Documente por escrito a base legal de cada canal: consentimento pra lista fria, legítimo interesse pra base de cliente ativo
• Revise a política de privacidade pra citar expressamente retargeting e cookies de campanha

Empresa pequena e média não fica isenta, mas a Resolução CD/ANPD nº 2/2022 dá regime simplificado pra microempresa, EPP e startup: menos formalidade, não menos responsabilidade. A multa vai até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, e a ANPD vem aplicando sanção de forma efetiva desde agosto de 2021. Não é mais hipótese distante.