A LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) mudou as regras do jogo para quem faz marketing digital no Brasil. Não foi mudança cosmética — foi estrutural. Coletar dados de clientes sem base legal, enviar email marketing para listas compradas, instalar cookies de rastreamento sem consentimento e fazer remarketing sem políticas adequadas são práticas que agora expõem empresas a multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração.
Resumo rápido: A ANPD (Autoridade Nacional de Proteção de Dados) começou a aplicar sanções efetivamente em 2023 e intensificou a fiscalização em 2024-2025. A LGPD regula como dados pessoais (qualquer informação que identifique uma pessoa) podem ser coletados, tratados e utilizados.
A ANPD (Autoridade Nacional de Proteção de Dados) começou a aplicar sanções efetivamente em 2023 e intensificou a fiscalização em 2024-2025. Não é mais teoria jurídica — é risco operacional real. E ainda assim, a maioria das empresas brasileiras ainda não se adequou completamente.
O que a LGPD muda especificamente para marketing
A LGPD regula como dados pessoais (qualquer informação que identifique uma pessoa) podem ser coletados, tratados e utilizados. Para marketing digital, os pontos de maior impacto são:
1. Email marketing: enviar email para qualquer pessoa exige base legal adequada. A mais comum para marketing é o “consentimento” (opt-in explícito). Listas compradas, leads coletados sem informar o uso ou contatos adicionados sem permissão não têm base legal para envio de marketing. Resultado: toda lista de email precisa ser auditada e potencialmente higienizada.
2. Cookies e rastreamento: instalação de cookies não essenciais (analytics, publicidade, redes sociais) requer consentimento ativo do usuário — não silêncio ou presença no site. Banner de cookies com “Aceitar tudo” deve ter opção real de recusar sem impacto na navegação.
3. Remarketing: campanhas de remarketing baseadas em comportamento no site requerem que o usuário tenha consentido com o uso de cookies de publicidade. Sem consentimento adequado, o pixel do Meta ou tag do Google instalado no site pode estar coletando dados em violação à LGPD.
4. CRM e dados de clientes: qualquer dado pessoal armazenado — nome, email, CPF, telefone, histórico de compra — precisa ter base legal para tratamento e política de retenção definida. Você não pode guardar dados de clientes indefinidamente “por precaução”.
5. Formulários de captura de lead: o formulário precisa informar clara e especificamente para que os dados serão usados, quem é o controlador dos dados e como o usuário pode exercer seus direitos (acesso, correção, exclusão). Checkbox de “concordo com a política de privacidade” escondido não é consentimento válido.
Os riscos reais para empresas de marketing
A ANPD pode aplicar:
- Advertência com prazo para adequação
- Multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração
- Multa diária pelo descumprimento
- Publicização da infração — dano de reputação além do financeiro
- Bloqueio ou eliminação dos dados pessoais tratados em violação
- Suspensão parcial ou total do banco de dados
Além das sanções da ANPD, existe risco de ações individuais de titulares de dados e processos coletivos. A combinação cria exposição legal que cresce quanto maior a base de dados tratada.
“LGPD não é burocracia — é proteção do seu negócio. Empresa que trata dados com respeito e transparência constrói confiança que os concorrentes que ignoram a lei não têm. No longo prazo, compliance é vantagem competitiva, não custo.”
— Babi Tonhela, CEO da Marketera e do Marketek
Como adequar email marketing à LGPD
Checklist prático para email marketing em conformidade:
- Audite a origem de cada segmento da lista: como cada contato foi captado? Há registro de consentimento? Contatos sem base legal precisam ser removidos ou recontatados com pedido explícito de consentimento.
- Implemente double opt-in: garante registro de data, IP e texto exato ao qual o usuário consentiu. É o padrão de ouro de evidência de consentimento.
- Torne o opt-out trivial: link de descadastro com um clique em todo email. Dificultar descadastro viola tanto a LGPD quanto o Código de Defesa do Consumidor.
- Atualize a política de privacidade: o aviso de privacidade vinculado ao formulário de captura deve descrever exatamente como os dados serão usados — inclua email marketing explicitamente.
- Defina prazo de retenção: por quanto tempo você mantém o dado de um lead que nunca comprou? A resposta não pode ser “para sempre”.
Como adequar cookies e rastreamento à LGPD
O consentimento para cookies precisa ser:
- Granular: o usuário deve poder aceitar cookies essenciais (funcionam o site), mas recusar cookies de publicidade e analytics
- Informado: o banner deve explicar o que cada categoria de cookie faz, em linguagem acessível
- Anterior ao tratamento: os cookies não-essenciais só podem ser instalados depois do consentimento — não antes
- Revogável: o usuário deve poder mudar sua escolha a qualquer momento (botão de preferências de cookie acessível)
Para implementação técnica, ferramentas como Cookiebot, OneTrust (para grandes operações) e plugins específicos de LGPD para WordPress e Nuvemshop (25% OFF no 1º mês) gerenciam o consentimento e bloqueiam scripts não autorizados.
Atenção especial: pixels de rastreamento de Meta Ads e Google Tag instalados diretamente no site precisam ser condicionados ao consentimento de cookies de publicidade. Sem isso, você pode estar coletando e transferindo dados a terceiros sem base legal.
LGPD e remarketing: o que fazer
Remarketing depende de pixels que coletam dados de comportamento no site. Para estar em conformidade:
- O consentimento para cookies de publicidade (que inclui pixels de Meta e Google) deve ser obtido antes de qualquer coleta
- A Conversion API do Meta (server-side) oferece alternativa que reduz dependência de cookies de terceiro e tem menor impacto do consentimento de browser
- Audiências criadas de dados de CRM (listas de email de clientes) têm base legal diferente — o contrato de compra já justifica o uso — mas o uso para remarketing deve ser informado na política de privacidade
Segundo a ANPD, o legítimo interesse (outra base legal da LGPD) pode ser invocado para remarketing em alguns casos, mas exige análise de proporcionalidade formal. Para campanhas de grande volume, recomenda-se avaliação jurídica específica antes de usar essa base.
O impacto no CRM e gestão de dados de clientes
Todo CRM com dados de clientes brasileiros precisa ter:
- Política clara de quais dados são coletados e por quê
- Prazo de retenção definido por tipo de dado
- Processo para atender solicitações de titulares (acesso, correção, exclusão, portabilidade)
- Registro de atividades de tratamento (ROPA — Record of Processing Activities)
- Medidas de segurança contra vazamentos (criptografia, controle de acesso, log de auditoria)
Vazamento de dados de clientes, além das penalidades da ANPD, gera obrigação de notificação à autoridade e aos titulares afetados — com risco de processo civil individual pelos danos causados.
“Empresa que não investiu em adequação à LGPD vai descobrir o custo quando vier a multa — e aí vai ser muito mais caro do que teria sido fazer certo desde o início. Proteção de dados não é custo de compliance — é seguro de negócio.”
— Babi Tonhela, CEO da Marketera e do Marketek
Perguntas Frequentes
A LGPD se aplica a pequenas empresas?
Sim. A LGPD se aplica a toda empresa ou pessoa física que trata dados pessoais de brasileiros — independentemente do porte. A proporcionalidade da sanção considera o porte da empresa, mas a obrigação de adequação é universal. Microempreendedores que coletam emails para lista de transmissão do WhatsApp também são abrangidos.
Posso manter lista de email comprada se já paguei por ela?
Não. Listas de email compradas não têm base legal válida para envio de marketing pela LGPD. O fato de ter pago pela lista não confere o direito de usar os dados. A lei protege os titulares dos dados — não os interesses comerciais de quem os comprou sem o consentimento dos titulares.
Banner de cookies “Aceitar todos” é suficiente para LGPD?
Não se não houver opção real de recusar. O consentimento válido precisa ser granular (aceitar só alguns tipos) e com possibilidade real de recusar sem impacto na navegação. Banner com “Aceitar tudo” e sem opção de recusar facilmente não configura consentimento válido pela ANPD.
Como a LGPD impacta campanhas de tráfego pago?
As plataformas de anúncio (Google, Meta) têm seus próprios DPAs (Data Processing Agreements) e são responsáveis pelo tratamento em suas plataformas. Mas a coleta de dados via pixel no seu site é sua responsabilidade como controlador — você precisa do consentimento para instalar esses pixels. A Conversion API server-side é alternativa que reduz a exposição de dados no browser do usuário.
Onde buscar orientação específica sobre LGPD para marketing?
A ANPD publica guias e orientações em www.gov.br/anpd. Para implementação prática, a IAPP (International Association of Privacy Professionals) tem recursos em português. Para adequação específica ao seu negócio, consulte advogado especializado em proteção de dados — o custo é significativamente menor que o de uma autuação. Veja também estratégias de email marketing em conformidade em como construir uma lista de email que compra.
[cta_newsletter]
