Durante os primeiros anos da LGPD, muita empresa tratou a lei como assunto do jurídico e seguiu disparando como sempre. Isso acabou: a ANPD saiu do modo educativo e passou a fiscalizar de verdade, com multas que chegam a R$ 50 milhões ou 2% do faturamento. Este texto explica, em linguagem prática, o que muda na operação de email.
Este conteúdo é informativo e reflete a prática de mercado que aplicamos nas operações que gerenciamos. Não somos escritório de advocacia e isto não substitui orientação jurídica. Para decisões de risco, consulte o time jurídico da sua empresa ou um advogado especializado em proteção de dados.
A LGPD não proíbe email marketing. Ela exige que exista uma base legal justificando o tratamento dos dados — no caso, o endereço de email e tudo que você guarda junto dele. O artigo 7º lista as bases possíveis; para comunicação comercial, duas importam na prática.
É a base mais segura e a mais simples de defender. A pessoa autorizou expressamente receber suas comunicações, e você tem como provar. Exige que o consentimento seja:
Permite contato comercial sem consentimento prévio em cenários específicos — tipicamente prospecção B2B —, desde que você documente a finalidade, use o mínimo de dados necessário e ofereça descadastro fácil. É uma base mais frágil: exige um teste de proporcionalidade registrado e cai por terra se o titular se opuser.
Para base própria de clientes e cadastrados: consentimento. Para prospecção B2B fria e pontual: legítimo interesse, documentado e com volume comedido. Para lista comprada: nenhuma das duas serve.
"A pessoa se cadastrou no site" não é registro de consentimento. Registro de consentimento é conseguir provar quando, onde e para quê ela autorizou. Na prática, cada contato da sua base deveria carregar:
Sem isso, você não tem como responder a um pedido de comprovação da ANPD, e a defesa vira "acho que ela se cadastrou".
Na auditoria gratuita verificamos como seus contatos entraram, se há registro de consentimento e onde estão os pontos de risco.
Esta é a parte que gera mais resistência, então vale ser direto: comprar mailing e disparar é violação. O motivo é simples e não tem contorno criativo.
O consentimento que a pessoa deu a outra empresa não é transferível para quem compra a lista. Ela autorizou o site X a mandar email — não autorizou você. Enviar sem o seu próprio registro de opt-in é tratamento de dado sem base legal.
Além do risco jurídico, há o operacional: lista comprada contém endereços inválidos e spam traps, e um único disparo é suficiente para queimar a reputação de um domínio novo. É a forma mais rápida e mais cara de destruir a entregabilidade que você levaria meses construindo. Sobre isso, vale ler o guia de autenticação de domínio.
Mesma lógica, com verniz melhor. Se o cadastro original não mencionava explicitamente o compartilhamento com terceiros — e nomeava quem —, o consentimento não cobre o seu envio. Coleta compartilhada exige transparência no momento da coleta, não no rodapé do email que a pessoa recebeu de surpresa.
O titular pode revogar o consentimento a qualquer momento, e você precisa processar isso rápido — a prática de mercado trabalha com prazo inferior a 48 horas, e o razoável é que seja imediato.
O que a lei e os provedores esperam do link de descadastro:
List-Unsubscribe de um clique, que Gmail e Yahoo passaram a exigir de quem envia em volumeUma página de preferências que permite reduzir a frequência em vez de sair de vez costuma reter parte de quem ia embora — e é totalmente compatível com a lei, desde que sair continue sendo uma opção óbvia.
A LGPD não fixa um prazo em anos. Ela exige que a retenção seja proporcional à finalidade: se o dado não serve mais ao propósito para o qual foi coletado, deve ser eliminado.
Na prática, o mercado trabalha com referências como estas:
| Situação | Prazo razoável | Depois disso |
|---|---|---|
| Prospecção B2B sem interação | 12 a 24 meses | Eliminar |
| Cadastrado que nunca abriu | 6 a 12 meses | Tentar reativar, depois eliminar |
| Cliente ativo | Enquanto durar a relação | Reavaliar após inatividade longa |
| Quem pediu descadastro | Só o mínimo para não recontatar | Manter apenas na lista de supressão |
Quem pediu para sair não deve ser apagado por completo — senão você não tem como impedir que o contato volte na próxima importação. O correto é manter o registro mínimo numa lista de supressão, cuja única finalidade é garantir que aquela pessoa não seja mais contatada.
A boa notícia é que a exigência legal e a boa prática de entregabilidade apontam para o mesmo lado: limpar inativos é obrigação sob a LGPD e é também o que faz a taxa de entrega subir. Detalhamos isso em entregabilidade de email.
Passe por cada item. Se um deles receber "não sei", já é um ponto de atenção.
List-Unsubscribe está configuradoConformidade e resultado andam juntos aqui. Base construída com consentimento real engaja mais, entrega melhor e reclama menos. Quem faz certo por obrigação legal acaba faturando mais por consequência.
Os limites reais dos planos gratuitos das principais plataformas, o que costuma ficar de fora e a partir de que ponto o grátis passa a sair caro.
As estruturas AIDA e PAS aplicadas ao email, por que a primeira linha importa mais que o resto, e os gatilhos que funcionam sem soar desesperado.
O que testar, qual tamanho de amostra dá resultado confiável, por que a maioria dos testes não prova nada e como ler o resultado sem viés.
Analisamos sua base, sua entregabilidade e seus fluxos — e mostramos, com números, onde está o dinheiro parado. Sem custo e sem compromisso.
