LGPD y marketing digital: qué se puede y qué no

Su empresa tiene una planilla con 40 mil contactos. La mitad llegó por el sitio web, una cuarta parte de eventos y del resto nadie sabe bien: alguien lo importó de un socio en 2022. El viernes, el equipo quiere subir todo como público personalizado en Meta y lanzar una campaña por WhatsApp. ¿Se puede?

La respuesta corta: una parte sí, otra no, y la diferencia está en el origen de cada fila. La LGPD, la ley brasileña de protección de datos, no prohíbe el marketing digital. Prohíbe usar datos personales sin una justificación legal y sin que la persona pueda entender qué se hace con ellos.

LGPD y marketing digital, en una frase: usted puede recolectar y usar datos de clientes y leads para marketing siempre que tenga una base legal (consentimiento, interés legítimo o ejecución de contrato), una finalidad informada en el momento de la recolección, una forma fácil de que la persona se dé de baja y la capacidad de probar todo esto si se lo cuestionan.

El resto del texto traduce eso al día a día de quien gestiona campañas. No es asesoría jurídica: con datos sensibles o grandes volúmenes, conviene consultar a su abogado o DPO.

¿Por qué la LGPD volvió a la agenda del marketing en 2026?

Durante algunos años, la ley parecía lejana para los equipos de medios. La fiscalización era lenta y las pocas sanciones alcanzaban a organismos públicos o empresas pequeñas. Eso cambió.

En febrero de 2026, la Ley 15.352/2026 convirtió a la ANPD en la Agencia Nacional de Protección de Datos de Brasil, con autonomía financiera y decisoria y 200 cargos permanentes nuevos. En agosto llegó la primera señal de peso: la ANPD multó a TikTok con R$ 153,7 millones por tratar datos de niños y adolescentes sin base legal válida y sin poder demostrar cumplimiento.

Fíjese en el motivo de la multa. No fue una filtración. Fue falta de base legal y falta de prueba. Son exactamente los dos puntos donde el marketing suele tropezar.

También hay un lado comercial. En el informe de tendencias de fraude de TransUnion publicado en 2026, con mil brasileños encuestados a fines de 2025, el 52% señaló la protección de datos como el principal criterio para elegir una empresa en transacciones digitales, por delante del precio y del plazo de entrega. La privacidad se volvió argumento de venta.

Las tres bases legales que el marketing realmente usa

La LGPD enumera diez hipótesis para tratar datos personales. En la práctica, el marketing vive en tres. Elegir la equivocada es el error más común, y el más caro.

Base legal	Cuándo se aplica	Ejemplo de marketing	Cuidado principal
Consentimiento	La persona acepta, de forma libre e informada, una finalidad específica	Newsletter, lista de WhatsApp, contenido descargable	Requiere prueba de la aceptación y puede revocarse en cualquier momento
Interés legítimo	Hay una relación previa y el uso es lo que la persona razonablemente espera	Email sobre un producto complementario a quien ya compró	Exige una evaluación documentada y opción de baja en cada envío
Ejecución de contrato	El dato es necesario para entregar lo contratado	Avisos de pedido, cobro, onboarding	No cubre ofertas promocionales. Un pedido entregado no es licencia para promocionar

Una regla práctica que evita la mitad de los problemas: si la persona se sorprendería al recibir el mensaje, probablemente usted está fuera del interés legítimo y necesita consentimiento.

Qué se puede y qué no: los casos del día a día

Email marketing a la base de clientes

Se puede, con interés legítimo, siempre que el contenido tenga relación con lo que la persona compró y cada envío tenga baja en un clic. Una tienda de suplementos que avisa de la reposición de proteína a quien compró proteína va por buen camino. La misma tienda vendiendo la base a una aseguradora, no.

Si quiere saber qué clientes realmente quieren saber de usted, la segmentación RFM ayuda a enviar menos y a quien importa, lo que también reduce quejas.

Listas compradas o “prestadas” por socios

No se puede, en casi todos los casos. Quien vendió la lista rara vez tiene consentimiento para transferirle los datos, y usted hereda el problema. El argumento “el dato es público” tampoco lo resuelve: la ley exige que el uso de datos de acceso público considere la finalidad, la buena fe y el interés público que justificaron su divulgación.

WhatsApp

Aquí la LGPD se suma a las reglas de la propia Meta, que exige opt-in para mensajes de marketing por la API oficial. Un cliente que escribió pidiendo un presupuesto puede recibir la respuesta y el seguimiento de ese presupuesto. Entrar en una lista de promociones semanales exige aceptación explícita. Si usa un agente de IA en la atención, la misma lógica vale para lo que guarda y lo que envía.

Píxel, cookies y API de Conversiones

Las cookies de medición y publicidad identifican el navegador y entran en el alcance de la ley. El patrón más seguro es un banner que permita rechazar con la misma facilidad que aceptar, con las cookies publicitarias desactivadas hasta la aceptación. Al enviar eventos desde el servidor, la regla sigue igual: la API de Conversiones mejora la calidad de la señal, pero no reemplaza el consentimiento. Si el usuario rechazó, el evento publicitario no debería salir.

Públicos personalizados (Custom Audiences, Customer Match)

Subir la base de clientes con emails y teléfonos cifrados es tratamiento de datos personales, aunque estén en hash. Puede sostenerse con interés legítimo para clientes activos, siempre que la política de privacidad diga con claridad que los datos pueden usarse para anuncios en plataformas de terceros. Los leads fríos de origen dudoso deben quedar fuera.

Datos sensibles

Salud, religión, vida sexual, biometría y opinión política tienen un régimen propio. Una clínica que segmenta anuncios a partir del historial de consultas, o un gimnasio que cruza datos de evaluación física con campañas, necesita consentimiento específico y destacado. El interés legítimo no sirve para datos sensibles.

Cómo organizar los datos de marketing sin frenar al equipo

Cumplir la LGPD en marketing es menos un tema jurídico y más un tema operativo. Depende de saber, para cada contacto, de dónde vino, para qué se recolectó y hasta cuándo se va a guardar. Las empresas que ya trabajan con first-party data bien estructurada llegan casi sin esfuerzo.

En la práctica, cuatro campos resuelven la mayor parte del problema. Inclúyalos en el CRM o en la planilla de leads: origen (formulario del sitio, evento, compra), fecha de recolección, base legal y estado del consentimiento por canal (email, WhatsApp, anuncios). Con eso, filtrar quién puede recibir cada campaña se vuelve una consulta, no una reunión.

Un ejemplo simulado: una escuela de idiomas con 40 mil contactos completa esos campos y descubre que 22 mil son alumnos o exalumnos (interés legítimo para ofertas de cursos), 11 mil vinieron de formularios con aceptación registrada (consentimiento) y 7 mil no tienen origen rastreable. La decisión correcta es sacar esos 7 mil de cualquier campaña. Duele perder el 17,5% de la base, pero son justamente los contactos con más probabilidad de quejarse, darse de baja y denunciar, y los que peor convierten.

Ese inventario también mejora el análisis. Una base sin origen rastreable es una base con un problema de calidad de datos, y eso distorsiona la tasa de apertura, la conversión y el costo por lead.

¿Cuánto cuesta equivocarse?

La multa prevista en la LGPD puede llegar al 2% de la facturación de la empresa en Brasil, con un tope de R$ 50 millones por infracción. Para la mayoría de las pymes, sin embargo, el riesgo más probable no es la multa máxima. Es una combinación de tres cosas: reclamos ante organismos de defensa del consumidor y la ANPD por parte de un cliente molesto, el bloqueo del número de WhatsApp por denuncias y la obligación de borrar una base que costó caro construir.

La ley también prevé la publicación de la infracción. Para una marca que vive de la confianza, aparecer en una lista de empresas sancionadas pesa más que el monto de la multa.

Checklist mínimo para el equipo de marketing

1. Todo formulario informa para qué se usará el dato y tiene la casilla de comunicaciones promocionales desmarcada por defecto.
2. Cada contacto del CRM tiene origen, fecha, base legal y estado de consentimiento por canal.
3. Todo envío promocional tiene baja en un clic, respetada en todas las herramientas.
4. El banner de cookies permite rechazar con la misma facilidad que aceptar.
5. Las listas compradas y las bases sin origen quedan fuera de las campañas.
6. Existe un plazo de retención para leads que nunca compraron (por ejemplo, 24 meses sin interacción).
7. Hay un canal claro para que la persona pida acceso, corrección o eliminación de sus datos.

Preguntas frecuentes

¿La LGPD prohíbe el email marketing?

No. El email marketing está permitido con consentimiento o, para clientes con relación previa, con interés legítimo. En ambos casos es obligatorio ofrecer una forma simple de darse de baja en todos los envíos.

¿Puedo comprar una lista de emails o de teléfonos?

En la práctica, no. Quien vende rara vez tiene base legal para transferir los datos, y quien compra responde por su uso. Además del riesgo legal, las listas compradas convierten poco y dañan la reputación del dominio y del número de WhatsApp.

¿Necesito consentimiento para usar cookies y píxel?

Para cookies de publicidad y seguimiento, el camino más seguro es sí, con un banner que permita rechazar. Las cookies estrictamente necesarias para que el sitio funcione pueden prescindir de la aceptación, siempre que estén informadas en la política.

¿Quién fiscaliza la LGPD?

La ANPD, que desde 2026 es una agencia reguladora autónoma. Los Procon (defensa del consumidor), el Ministerio Público y el Poder Judicial también actúan cuando hay daño al consumidor.

¿Cuál es la multa de la LGPD?

Hasta el 2% de la facturación en Brasil, con tope de R$ 50 millones por infracción, además de advertencia, publicación, bloqueo o eliminación de los datos. La ANPD considera el tamaño de la empresa, la gravedad y la buena fe al definir la sanción.

La privacidad es un problema de datos, no jurídico

La empresa que sabe de dónde vino cada contacto, para qué sirve y cuándo debe salir de la base no solo cumple con la LGPD. También mide mejor, segmenta mejor y desperdicia menos presupuesto en públicos que nunca iban a comprar. El trabajo de ordenar el origen de los datos es el mismo que separa una operación de marketing madura de una que dispara a ciegas.

Ahí entra Sherlok: conecta Meta Ads, Google Ads, GA4, el CRM y las planillas, y le permite preguntar en su idioma cosas como “¿cuántos leads de este mes llegaron sin origen rastreable?” o “¿qué canal trae contactos con consentimiento que convierten más?”, recibiendo el análisis listo en lugar de armar el cruce a mano.