LGPD e marketing digital: o que pode e o que não pode

Sua empresa tem uma planilha com 40 mil contatos. Metade veio do site, um quarto de eventos e o resto ninguém sabe direito: alguém importou de um parceiro em 2022. Na sexta, o time quer subir tudo como público personalizado no Meta e disparar uma campanha no WhatsApp. Pode?

A resposta curta é: parte pode, parte não, e a diferença está na origem de cada linha. A LGPD não proíbe o marketing digital. Ela proíbe usar dado pessoal sem uma justificativa legal e sem que a pessoa consiga entender o que está acontecendo com ele.

LGPD e marketing digital, em uma frase: você pode coletar e usar dados de clientes e leads para marketing desde que tenha uma base legal (consentimento, legítimo interesse ou execução de contrato), uma finalidade informada no momento da coleta, um jeito fácil de a pessoa sair e a capacidade de provar tudo isso se for questionado.

O resto deste texto é a tradução disso para o dia a dia de quem roda campanha. Não é parecer jurídico: em casos de dado sensível ou volume grande, vale passar pelo seu advogado ou DPO.

Por que a LGPD voltou à pauta do marketing em 2026?

Durante alguns anos, a lei pareceu distante para quem faz mídia. A fiscalização era lenta e as poucas sanções atingiam órgãos públicos ou empresas pequenas. Esse quadro mudou.

Em fevereiro de 2026, a Lei 15.352/2026 transformou a ANPD em Agência Nacional de Proteção de Dados, com autonomia financeira e decisória e 200 cargos efetivos novos. Em agosto, veio o primeiro recado de peso: a ANPD multou o TikTok em R$ 153,7 milhões por tratar dados de crianças e adolescentes sem base legal válida e sem conseguir comprovar conformidade.

Repare no motivo da multa. Não foi vazamento. Foi falta de base legal e falta de prova. São exatamente os dois pontos em que o marketing costuma tropeçar.

E há o lado comercial. No levantamento de tendências de fraude da TransUnion publicado em 2026, com mil brasileiros entrevistados no fim de 2025, 52% apontaram a proteção de dados como o principal critério para escolher uma empresa nas transações digitais, à frente de preço e de prazo de entrega. Privacidade virou argumento de venda.

As três bases legais que o marketing realmente usa

A LGPD lista dez hipóteses para tratar dados pessoais. Na prática, quem faz marketing vive em três delas. Escolher a errada é o erro mais comum, e o mais caro.

Base legal	Quando se aplica	Exemplo de marketing	Cuidado principal
Consentimento	A pessoa aceita, de forma livre e informada, uma finalidade específica	Newsletter, lista de WhatsApp, material rico	Precisa de prova do aceite e pode ser revogado a qualquer momento
Legítimo interesse	Há relação prévia e o uso é o que a pessoa razoavelmente espera	E-mail de produto complementar para quem já comprou	Exige avaliação documentada e opção de sair em todo envio
Execução de contrato	O dado é necessário para entregar o que foi contratado	Avisos de pedido, cobrança, onboarding	Não cobre oferta promocional. Pedido entregue não é licença para promoção

Uma regra prática que evita metade dos problemas: se a pessoa ficaria surpresa ao receber a mensagem, você provavelmente está fora do legítimo interesse e precisa de consentimento.

O que pode, o que não pode: os casos do dia a dia

E-mail marketing para a base de clientes

Pode, com legítimo interesse, desde que o conteúdo tenha relação com o que a pessoa comprou e cada envio tenha descadastro em um clique. Uma loja de suplementos que manda reposição de whey para quem comprou whey está no caminho certo. A mesma loja vendendo a base para uma corretora de seguros, não.

Se você quer saber quais clientes realmente querem ouvir de você, a segmentação RFM ajuda a mandar menos e para quem importa, o que também reduz reclamação.

Listas compradas ou “emprestadas” de parceiros

Não pode, na quase totalidade dos casos. Quem vendeu a lista raramente tem consentimento para repassar o dado a você, e você herda o problema. O argumento “o dado é público” também não resolve: a lei determina que o uso de dado de acesso público considere a finalidade, a boa-fé e o interesse público que justificaram a sua disponibilização.

WhatsApp

Aqui a LGPD se soma às regras da própria Meta, que exige opt-in para mensagens de marketing pela API oficial. Cliente que mandou mensagem pedindo orçamento pode receber a resposta e o follow-up daquele orçamento. Entrar numa lista de promoções semanais exige aceite explícito. Se você usa um agente de IA no atendimento, a mesma lógica vale para o que ele grava e para o que ele dispara.

Pixel, cookies e API de Conversões

Cookies de medição e publicidade identificam o navegador e entram no escopo da lei. O padrão mais seguro é um banner que permita recusar tão facilmente quanto aceitar, com os cookies de publicidade desligados até o aceite. Ao enviar eventos pelo servidor, a regra continua a mesma: a API de Conversões melhora a qualidade do sinal, mas não substitui o consentimento. Se o usuário recusou, o evento de publicidade não deveria sair.

Públicos personalizados (Custom Audiences, Customer Match)

Subir a base de clientes com e-mail e telefone criptografados é tratamento de dado pessoal, mesmo com hash. É possível sustentar com legítimo interesse para clientes ativos, desde que a política de privacidade diga claramente que os dados podem ser usados para anúncios em plataformas de terceiros. Leads frios de origem duvidosa não devem entrar.

Dados sensíveis

Saúde, religião, vida sexual, biometria e opinião política têm regime próprio. Uma clínica que segmenta anúncios a partir do histórico de consultas, ou uma academia que cruza dados de avaliação física com campanhas, precisa de consentimento específico e destacado. Legítimo interesse não serve para dado sensível.

Como organizar os dados de marketing sem travar o time

A conformidade com a LGPD no marketing é menos jurídica e mais operacional. Ela depende de saber, para cada contato, de onde ele veio, para que foi coletado e até quando você vai guardá-lo. Empresas que já trabalham com first-party data bem estruturado chegam lá quase de graça.

Na prática, quatro campos resolvem a maior parte do problema. Inclua no CRM ou na planilha de leads: origem (formulário do site, evento, compra), data da coleta, base legal e status de consentimento por canal (e-mail, WhatsApp, anúncios). Com isso, filtrar quem pode receber cada campanha vira uma consulta, não uma reunião.

Um exemplo de simulação: uma escola de idiomas com 40 mil contatos descobre, depois de preencher esses campos, que 22 mil são alunos ou ex-alunos (legítimo interesse para ofertas de cursos), 11 mil vieram de formulário com aceite registrado (consentimento) e 7 mil não têm origem rastreável. A decisão correta é tirar os 7 mil de qualquer campanha. Dói perder 17,5% da base, mas esses são justamente os contatos com maior chance de reclamação, descadastro e denúncia, e os que pior convertem.

Esse inventário também melhora a análise. Base sem origem rastreável é base com problema de qualidade de dados, e isso distorce taxa de abertura, conversão e custo por lead.

Quanto custa errar?

A multa prevista na LGPD pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Para a maioria das PMEs, porém, o risco mais provável não é a multa máxima. É uma combinação de três coisas: reclamação no Procon e na ANPD a partir de um cliente irritado, bloqueio do número de WhatsApp por denúncias e a obrigação de apagar uma base que custou caro para montar.

Há ainda a publicização da infração, que a lei também prevê. Para uma marca que depende de confiança, aparecer numa lista de empresas sancionadas pesa mais do que o valor do boleto.

Checklist mínimo para o time de marketing

1. Todo formulário informa para que o dado será usado e tem caixa de aceite desmarcada por padrão para comunicações promocionais.
2. Cada contato no CRM tem origem, data, base legal e status de consentimento por canal.
3. Todo envio promocional tem descadastro em um clique, e o descadastro é respeitado em todas as ferramentas.
4. O banner de cookies permite recusar com a mesma facilidade de aceitar.
5. Listas compradas e bases sem origem ficam fora de campanhas.
6. Existe prazo de retenção para leads que nunca compraram (por exemplo, 24 meses sem interação).
7. Há um canal claro para a pessoa pedir acesso, correção ou exclusão dos dados.

Perguntas frequentes

A LGPD proíbe e-mail marketing?

Não. E-mail marketing é permitido com consentimento ou, para clientes com relação prévia, com legítimo interesse. Em ambos os casos, é obrigatório oferecer uma forma simples de descadastro em todos os envios.

Posso comprar lista de e-mails ou de telefones?

Na prática, não. Quem vende raramente tem base legal para repassar os dados, e quem compra responde pelo uso. Além do risco legal, listas compradas têm conversão baixa e prejudicam a reputação do domínio e do número de WhatsApp.

Preciso de consentimento para usar cookies e pixel?

Para cookies de publicidade e rastreamento, o caminho mais seguro é sim, com banner que permita recusar. Cookies estritamente necessários para o site funcionar podem dispensar o aceite, desde que estejam informados na política.

Quem fiscaliza a LGPD?

A ANPD, que desde 2026 é uma agência reguladora com autonomia própria. Procons, Ministério Público e o Judiciário também atuam quando há dano ao consumidor.

Qual a multa da LGPD?

Até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de advertência, publicização, bloqueio ou eliminação dos dados. A ANPD considera porte da empresa, gravidade e boa-fé na definição da sanção.

Privacidade é um problema de dados, não de jurídico

A empresa que sabe de onde veio cada contato, para que ele serve e quando deve sair da base não só fica em conformidade com a LGPD. Ela também mede melhor, segmenta melhor e desperdiça menos verba com público que nunca ia comprar. O trabalho de organizar a origem dos dados é o mesmo trabalho que separa uma operação de marketing madura de uma que dispara no escuro.

É nesse ponto que o Sherlok entra: ele conecta Meta Ads, Google Ads, GA4, CRM e planilhas e deixa você perguntar em português coisas como “quantos leads deste mês vieram sem origem rastreável?” ou “qual canal traz contatos com consentimento que mais convertem?”, recebendo a análise pronta em vez de montar o cruzamento na mão.