LGPD no marketing: lista de WhatsApp, formulário e anúncio dentro da lei
LGPD no marketing na prática: consentimento ou legítimo interesse, formulário correto, lista de WhatsApp, público de anúncios e pedido de exclusão.
O que a LGPD exige de quem faz marketing?
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa que trate dado pessoal: nome, telefone, e-mail, CPF, endereço, histórico de compra. Isso inclui a planilha de clientes, o formulário do site, a lista do WhatsApp e o público de anúncios.
A lei não proíbe fazer marketing. Ela pede que você tenha um motivo legal (a "base legal") para cada uso, informe a pessoa sobre ele, use o dado só para o que foi informado e respeite os direitos dela, como pedir acesso ou exclusão.
Este texto é um guia prático, não parecer jurídico. A lei e a regulação da ANPD (Autoridade Nacional de Proteção de Dados) podem mudar; para casos específicos, consulte um advogado de proteção de dados.
Consentimento ou legítimo interesse: qual usar?
Das bases legais do artigo 7º, duas aparecem mais no marketing.
| Consentimento | Legítimo interesse | |
|---|---|---|
| O que é | A pessoa autoriza de forma livre, informada e para uma finalidade | A empresa tem um interesse legítimo e demonstra que ele não fere os direitos da pessoa |
| Exemplo | Quem se cadastra para receber ofertas por WhatsApp | Avisar um cliente que comprou ontem sobre produto semelhante |
| Exige | Registro de quando e como foi dado; saída fácil | Teste de balanceamento documentado e canal para a pessoa se opor |
| Limite | Pode ser retirado a qualquer momento | Não serve para dado pessoal sensível |
O legítimo interesse está no artigo 7º, inciso IX, e o artigo 10 trata de seus limites. A ANPD publicou em 2024 um guia orientativo sobre o tema, com um teste em fases (finalidade, necessidade e balanceamento) que deve ser documentado antes de usar essa base. Na dúvida com lead que nunca teve relação com a empresa, a escolha mais segura é pedir consentimento.
Como montar um formulário dentro da LGPD?
O formulário de captação é onde mais empresas erram. Siga este roteiro:
- Peça só o que vai usar. Se você só liga para agendar, não precisa de CPF nem de data de nascimento.
- Escreva a finalidade ao lado do botão, em linguagem comum.
- Deixe a caixa de aceite desmarcada. Caixa pré-marcada não conta como escolha livre.
- Separe as finalidades: uma coisa é o retorno sobre o pedido de orçamento, outra é receber promoções.
- Linke a política de privacidade, com quem é o controlador, para que serve o dado, por quanto tempo é guardado e como pedir exclusão.
- Guarde o registro: data, texto aceito e origem do cadastro.
Um texto simples serve: "Quero receber ofertas da [empresa] por WhatsApp. Posso sair quando quiser respondendo SAIR." Ele diz o canal, o conteúdo e a saída.
Posso usar lista de transmissão no WhatsApp?
Pode, para quem autorizou. Duas regras práticas: só adicione quem deu consentimento claro para receber aquele tipo de mensagem e ofereça a saída em toda comunicação. Salvar o número de um cliente na agenda e despejar promoção sem aviso é o erro mais comum; a pessoa passou o contato para tirar uma dúvida, não para entrar em lista.
Há também as regras do próprio WhatsApp. Segundo a documentação oficial da Meta, a empresa precisa de opt-in antes de enviar mensagens, e o aceite deve citar o nome da empresa e dizer que a pessoa quer receber suas mensagens. Confira os termos atuais no documentação oficial da Meta sobre opt-in no WhatsApp. Para entender o que muda ao automatizar, veja o que é robô do WhatsApp.
Posso comprar lista de contatos?
Não faça. Quem está na lista não sabe que você existe, não consentiu e não tem relação com a sua empresa, então não há consentimento nem legítimo interesse fácil de sustentar. Além do risco jurídico, o desempenho é ruim: baixa abertura, reclamação de spam e marca queimada.
Substitua a compra por captação própria: conteúdo útil, isca digital com formulário correto, indicação de clientes, evento. A lista começa menor, mas quem está nela pediu para receber e responde mais.
E os anúncios com público personalizado?
Subir lista de clientes ou visitantes para Meta e Google (públicos personalizados) é tratamento de dado pessoal e precisa estar previsto na sua política de privacidade. Antes de subir, confira se a base veio de quem sabe que a empresa pode usar o dado para publicidade. Evite enviar dados sensíveis, como saúde, a plataformas de anúncio.
As plataformas também têm regras próprias sobre o que pode ser enviado e sobre o uso de pixel. Para entender como o pixel coleta dados, leia o que é pixel no marketing digital. O banner de cookies deve informar o que é coletado e permitir recusar o que não é indispensável.
O que fazer quando alguém pede para sair ou apagar os dados?
A lei garante ao titular direitos como acesso, correção, eliminação e oposição (artigo 18). Monte um processo antes do primeiro pedido chegar:
- defina um e-mail ou formulário para pedidos de privacidade e quem responde;
- atenda o pedido de sair da lista de forma imediata e registre;
- apague o contato de todas as bases (planilha, CRM, ferramenta de e-mail, público de anúncios), guardando só o que a lei exigir manter, como nota fiscal;
- responda dentro do prazo que a lei e a regulação da ANPD estabelecem, que deve ser conferido na norma vigente.
Checklist rápido de adequação
- Sei quais dados pessoais coleto e onde estão (site, CRM, planilhas, WhatsApp).
- Cada uso tem uma base legal registrada.
- Formulários explicam a finalidade e têm caixa desmarcada.
- Há política de privacidade publicada e um canal para o titular.
- A equipe sabe que não se compra lista nem se envia dado sensível para anúncios.
- Fornecedores (agência, ferramenta de e-mail, CRM) têm contrato que trate do dado.
A lei prevê sanções administrativas aplicadas pela ANPD. O risco prático para uma empresa pequena costuma ser a reclamação de clientes e a perda de confiança antes de qualquer multa. Se você terceiriza campanhas, peça à agência para explicar como cada dado é coletado e usado. Conheça também como funciona uma agência de marketing digital e o que perguntar na contratação.
Perguntas frequentes
Preciso de consentimento para mandar mensagem de marketing?
Para quem nunca teve relação com a empresa, o consentimento é o caminho mais seguro. Para clientes que já compraram, o legítimo interesse pode servir, se documentado e com opção de sair. Na dúvida, consulte um advogado de proteção de dados.
A LGPD proíbe comprar lista de e-mails e telefones?
A lei não cita a compra de lista, mas quem está nela não consentiu nem tem relação com a sua empresa, o que torna a base legal muito difícil de sustentar. O melhor é construir a lista com captação própria e transparente.
Pequena empresa precisa cumprir a LGPD?
Sim, a lei vale para quem trata dado pessoal, independentemente do porte. A Resolução CD/ANPD nº 2/2022 prevê tratamento simplificado para agentes de pequeno porte (como ME, EPP e MEI) em alguns pontos, como o registro das operações e a dispensa de encarregado, mas as regras básicas de base legal, transparência e direitos do titular continuam.
Como funciona o legítimo interesse no marketing?
É a base do artigo 7º, inciso IX, que exige finalidade legítima, só os dados necessários e respeito às expectativas da pessoa. O guia da ANPD recomenda documentar esse teste antes de usar. Não vale para dado sensível.
O que fazer quando o cliente pede para apagar os dados?
Registre o pedido, confirme a identidade, apague o contato de todas as bases e ferramentas e responda ao titular dentro do prazo da norma. Mantenha apenas o que a lei obriga a guardar, como registros fiscais.