LGPD e marketing digital: os limites jurídicos do uso de dados em campanhas, CRM e automações

O marketing orientado a dados deixou de ser diferencial para se tornar o padrão de operação das empresas brasileiras. Campanhas de mídia paga segmentadas por comportamento, plataformas de CRM que registram cada interação com o cliente e automações de e-mail e WhatsApp compõem, hoje, a infraestrutura comercial de companhias de todos os portes. Essa mesma infraestrutura, contudo, é integralmente alcançada pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), e a distância entre a prática de mercado e a conformidade jurídica segue sendo relevante fonte de risco regulatório, contencioso e reputacional.

Desde que a Autoridade Nacional de Proteção de Dados (ANPD) iniciou seus ciclos de fiscalização e aplicou as primeiras sanções, tornou-se claro que o tratamento de dados para fins de publicidade e prospecção não é zona de tolerância. As sanções previstas no art. 52 da LGPD alcançam multa de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, além de medidas como bloqueio e eliminação dos dados envolvidos, o que, para uma operação comercial dependente de bases de leads, pode ser mais gravoso do que a própria multa.

Marketing digital é, essencialmente, tratamento de dados pessoais

A LGPD define tratamento de forma deliberadamente ampla (art. 5º, X): coleta, recepção, classificação, utilização, compartilhamento e armazenamento de dados pessoais são todos atos de tratamento. Sob essa lente, praticamente toda a cadeia do marketing digital está submetida à lei: a instalação de cookies e pixels de rastreamento no site institucional; as campanhas de remarketing que reimpactam visitantes; os formulários de landing pages que capturam nome, e-mail e telefone; o enriquecimento de cadastros com informações de fontes externas; e as réguas de automação que disparam mensagens a partir do comportamento do lead.

A consequência prática é direta: cada uma dessas operações precisa de uma base legal válida (art. 7º), de uma finalidade determinada e informada ao titular, e de mecanismos que assegurem os direitos previstos no art. 18, entre eles acesso, correção, eliminação e revogação do consentimento.

Consentimento ou legítimo interesse: qual base legal sustenta a campanha?

As duas bases legais mais utilizadas em marketing são o consentimento (art. 7º, I) e o legítimo interesse (art. 7º, IX). A escolha entre elas não é discricionária: depende da natureza da operação e da expectativa do titular.

O consentimento exige manifestação livre, informada e inequívoca, para finalidade determinada (art. 5º, XII, e art. 8º). Caixas pré-marcadas, autorizações genéricas embutidas em termos de uso e consentimentos obtidos como condição para acesso a conteúdo não atendem ao padrão legal. O ônus de comprovar a obtenção válida do consentimento é do controlador, o que torna o registro auditável de data, origem e escopo de cada opt-in uma exigência operacional, e não mera boa prática.

O legítimo interesse, por sua vez, admite o tratamento para finalidades como a promoção de atividades do controlador, mas está condicionado ao teste de balanceamento previsto no art. 10: a finalidade deve ser legítima e específica, o tratamento deve ser necessário e as legítimas expectativas do titular devem ser respeitadas, com transparência e mecanismo simples de oposição. As orientações publicadas pela ANPD sobre o tema reforçam que o legítimo interesse não é cláusula aberta: é base legal que exige documentação prévia (o chamado LIA, legitimate interests assessment) capaz de demonstrar o juízo de ponderação realizado.

Em termos práticos: a prospecção dirigida a contatos que jamais interagiram com a empresa dificilmente se sustenta; já a comunicação com quem forneceu seus dados em contexto negocial compatível tende a encontrar amparo, desde que documentada e acompanhada de opção de descadastramento efetiva.

Os pontos críticos da operação: onde o risco se concentra

A experiência consultiva e contenciosa permite identificar com precisão os pontos da operação de marketing em que o risco jurídico se concentra:

• Cookies e pixels de rastreamento. O guia orientativo da ANPD sobre cookies indica que ferramentas não essenciais de rastreamento para fins publicitários demandam, em regra, consentimento prévio. Banners que apenas informam, sem oferecer escolha real, não cumprem essa função.
• Aquisição de listas de contatos. A compra de bases de terceiros é, em regra, prática de alto risco: o adquirente raramente consegue demonstrar base legal válida para aquele tratamento, e a origem ilícita da base contamina toda a comunicação subsequente.
• Enriquecimento de dados. Agregar ao cadastro informações que o titular não forneceu diretamente exige análise rigorosa de legítima expectativa. O titular que preencheu um formulário com nome e e-mail não antecipa, necessariamente, que seu perfil será complementado com dados de outras fontes.
• Automações de e-mail e WhatsApp. Réguas de relacionamento pressupõem base legal aferível contato a contato, opt-out funcional em todos os canais e cessação imediata dos disparos após a oposição do titular.

Nesse último ponto, a arquitetura da ferramenta faz diferença jurídica concreta. Plataformas de CRM bem implantadas registram a origem de cada lead, a base legal aplicável, o histórico de consentimentos e as solicitações de descadastramento, produzindo, como subproduto da operação, a trilha de auditoria que o controlador precisará exibir em eventual fiscalização. Não por acaso, projetos profissionais de estruturação de CRM comercial têm incorporado o registro de consentimento e a gestão de opt-out como requisitos de implantação, e não como ajuste posterior.

Empresa e agência: quem responde pelo quê

Boa parte das empresas executa seu marketing por meio de agências e consultorias externas. A LGPD organiza essa relação a partir dos papéis de controlador, quem decide sobre finalidades e meios do tratamento (art. 5º, VI), e operador, quem trata os dados em nome do controlador (art. 5º, VII). Na configuração usual, a empresa anunciante é controladora e a agência atua como operadora; mas a agência que define audiências, cruza bases próprias ou reutiliza dados para outros fins pode assumir posição de controladora, com responsabilidade correspondente.

O art. 42 da lei estabelece a obrigação de reparar danos causados pelo tratamento irregular, e seu § 1º prevê hipóteses em que o operador responde solidariamente, inclusive quando descumpre as instruções lícitas do controlador. Disso decorre uma consequência contratual inescapável: o contrato com a agência deve disciplinar expressamente os papéis de cada parte, as instruções de tratamento, as medidas de segurança exigíveis, o regime de subcontratação de ferramentas e o destino dos dados ao término da relação.

O grau de maturidade do prestador, aqui, é critério de diligência do próprio contratante. Operações estruturadas de gestão de tráfego pago trabalham com rastreamento parametrizado, documentação das audiências utilizadas e segregação das bases de cada cliente, elementos que a empresa anunciante deve exigir e verificar antes da contratação, pois é ela quem responderá, em primeira linha, perante titulares e autoridade.

Checklist jurídico antes de ativar campanhas

Como síntese prática, recomenda-se que a empresa verifique, antes de ativar ou renovar suas operações de marketing:

1. Mapeamento das operações de tratamento envolvidas em cada canal (mídia paga, CRM, e-mail, WhatsApp, site), com identificação da base legal aplicável a cada uma;
2. Registro auditável de consentimentos, data, origem, escopo, e documentação do teste de balanceamento (LIA) onde se invoque legítimo interesse;
3. Banner de cookies com escolha real do usuário e bloqueio efetivo de rastreadores não essenciais até a autorização;
4. Política de privacidade atualizada, refletindo as ferramentas e os compartilhamentos efetivamente praticados;
5. Contratos com agências e fornecedores de tecnologia contendo cláusulas de proteção de dados, definição de papéis e regime de responsabilidade;
6. Canal funcional de atendimento aos direitos dos titulares, com prazos e fluxo interno definidos, sob supervisão do encarregado (DPO);
7. Vedação absoluta à aquisição de listas de contatos de origem não demonstrável.

Conformidade como ativo, não como freio

A leitura que reduz a LGPD a um obstáculo ao marketing ignora a direção do mercado. Bases de dados construídas com consentimento válido convertem melhor, geram menos atrito com titulares e sustentam relações comerciais mais longas. Em operações de fusões e aquisições, a qualidade jurídica das bases de dados e das práticas de marketing já integra rotineiramente o escopo das due diligences, e passivos de privacidade têm impactado preço e estrutura de garantias.

Para a empresa que investe em crescimento orientado a dados, a questão não é escolher entre performance e conformidade, mas reconhecer que, no ambiente regulatório atual, uma não subsiste sem a outra. O momento adequado para essa adequação é anterior à campanha, não posterior à notificação.