LGPD e marketing digital: os limites jurídicos do uso de dados em campanhas, CRM e automações

O marketing orientado a dados deixou de ser diferencial para se tornar o padrão de operação das empresas brasileiras. Campanhas de mídia paga segmentadas por comportamento, plataformas de CRM que registram cada interação com o cliente e automações de e-mail e WhatsApp compõem, hoje, a infraestrutura comercial de companhias de todos os portes. Essa mesma infraestrutura, contudo, é integralmente alcançada pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), e a distância entre a prática de mercado e a conformidade jurídica segue sendo relevante fonte de risco regulatório, contencioso e reputacional.

Desde que a Autoridade Nacional de Proteção de Dados (ANPD) iniciou seus ciclos de fiscalização e aplicou as primeiras sanções, tornou-se claro que o tratamento de dados para fins de publicidade e prospecção não é zona de tolerância. As sanções previstas no art. 52 da LGPD alcançam multa de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, além de medidas como bloqueio e eliminação dos dados envolvidos — o que, para uma operação comercial dependente de bases de leads, pode ser mais gravoso do que a própria multa.

Marketing digital é, essencialmente, tratamento de dados pessoais

A LGPD define tratamento de forma deliberadamente ampla (art. 5º, X): coleta, recepção, classificação, utilização, compartilhamento e armazenamento de dados pessoais são todos atos de tratamento. Sob essa lente, praticamente toda a cadeia do marketing digital está submetida à lei: a instalação de cookies e pixels de rastreamento no site institucional; as campanhas de remarketing que reimpactam visitantes; os formulários de landing pages que capturam nome, e-mail e telefone; o enriquecimento de cadastros com informações de fontes externas; e as réguas de automação que disparam mensagens a partir do comportamento do lead.

A consequência prática é direta: cada uma dessas operações precisa de uma base legal válida (art. 7º), de uma finalidade determinada e informada ao titular, e de mecanismos que assegurem os direitos previstos no art. 18 — entre eles acesso, correção, eliminação e revogação do consentimento.

Consentimento ou legítimo interesse: qual base legal sustenta a campanha?

As duas bases legais mais utilizadas em marketing são o consentimento (art. 7º, I) e o legítimo interesse (art. 7º, IX). A escolha entre elas não é discricionária — depende da natureza da operação e da expectativa do titular.

O consentimento exige manifestação livre, informada e inequívoca, para finalidade determinada (art. 5º, XII, e art. 8º). Caixas pré-marcadas, autorizações genéricas embutidas em termos de uso e consentimentos obtidos como condição para acesso a conteúdo não atendem ao padrão legal. O ônus de comprovar a obtenção válida do consentimento é do controlador — o que torna o registro auditável de data, origem e escopo de cada opt-in uma exigência operacional, e não mera boa prática.

O legítimo interesse, por sua vez, admite o tratamento para finalidades como a promoção de atividades do controlador, mas está condicionado ao teste de balanceamento previsto no art. 10: a finalidade deve ser legítima e específica, o tratamento deve ser necessário e as legítimas expectativas do titular devem ser respeitadas, com transparência e mecanismo simples de oposição. As orientações publicadas pela ANPD sobre o tema reforçam que o legítimo interesse não é cláusula aberta — é base legal que exige documentação prévia (o chamado LIA, legitimate interests assessment) capaz de demonstrar o juízo de ponderação realizado.

Em termos práticos: a prospecção dirigida a contatos que jamais interagiram com a empresa dificilmente se sustenta; já a comunicação com quem forneceu seus dados em contexto negocial compatível tende a encontrar amparo — desde que documentada e acompanhada de opção de descadastramento efetiva.

Os pontos críticos da operação: onde o risco se concentra

A experiência consultiva e contenciosa permite identificar com precisão os pontos da operação de marketing em que o risco jurídico se concentra:

Cookies e pixels de rastreamento: O guia orientativo da ANPD sobre cookies indica que ferramentas não essenciais de rastreamento para fins publicitários demandam, em regra, consentimento prévio. Banners que apenas informam — sem oferecer escolha real — não cumprem essa função.

Aquisição de listas de contatos: A compra de bases de terceiros é, em regra, prática de alto risco: o adquirente raramente consegue demonstrar base legal válida para aquele tratamento, e a origem ilícita da base contamina toda a comunicação subsequente.

Enriquecimento de dados: Agregar ao cadastro informações que o titular não forneceu diretamente exige análise rigorosa de legítima expectativa. O titular que preencheu um formulário com nome e e-mail não antecipa, necessariamente, que seu perfil será complementado com dados de outras fontes.

Automações de e-mail e WhatsApp: Réguas de relacionamento pressupõem base legal aferível contato a contato, opt-out funcional em todos os canais e cessação imediata dos disparos após a oposição do titular.

Plataformas de CRM bem implantadas registram a origem de cada lead, a base legal aplicável, o histórico de consentimentos e as solicitações de descadastramento — produzindo, como subproduto da operação, a trilha de auditoria que o controlador precisará exibir em eventual fiscalização.

Empresa e agência: quem responde pelo quê

Boa parte das empresas executa seu marketing por meio de agências e consultorias externas. A LGPD organiza essa relação a partir dos papéis de controlador — quem decide sobre finalidades e meios do tratamento (art. 5º, VI) — e operador, quem trata os dados em nome do controlador (art. 5º, VII). Na configuração usual, a empresa anunciante é controladora e a agência atua como operadora; mas a agência que define audiências, cruza bases próprias ou reutiliza dados para outros fins pode assumir posição de controladora, com responsabilidade correspondente.

O art. 42 da lei estabelece a obrigação de reparar danos causados pelo tratamento irregular, e seu § 1º prevê hipóteses em que o operador responde solidariamente — inclusive quando descumpre as instruções lícitas do controlador. Disso decorre uma consequência contratual inescapável: o contrato com a agência deve disciplinar expressamente os papéis de cada parte, as instruções de tratamento, as medidas de segurança exigíveis, o regime de subcontratação de ferramentas e o destino dos dados ao término da relação.

Checklist jurídico antes de ativar campanhas

Como síntese prática, recomenda-se que a empresa verifique, antes de ativar ou renovar suas operações de marketing:

Mapeamento das operações de tratamento envolvidas em cada canal (mídia paga, CRM, e-mail, WhatsApp, site), com identificação da base legal aplicável a cada uma; registro auditável de consentimentos — data, origem, escopo — e documentação do teste de balanceamento (LIA) onde se invoque legítimo interesse; banner de cookies com escolha real do usuário e bloqueio efetivo de rastreadores não essenciais até a autorização; política de privacidade atualizada, refletindo as ferramentas e os compartilhamentos efetivamente praticados; contratos com agências e fornecedores de tecnologia contendo cláusulas de proteção de dados, definição de papéis e regime de responsabilidade; canal funcional de atendimento aos direitos dos titulares, com prazos e fluxo interno definidos, sob supervisão do encarregado (DPO); e vedação absoluta à aquisição de listas de contatos de origem não demonstrável.

Conformidade como ativo, não como freio

A leitura que reduz a LGPD a um obstáculo ao marketing ignora a direção do mercado. Bases de dados construídas com consentimento válido convertem melhor, geram menos atrito com titulares e sustentam relações comerciais mais longas. Em operações de fusões e aquisições, a qualidade jurídica das bases de dados e das práticas de marketing já integra rotineiramente o escopo das due diligences — e passivos de privacidade têm impactado preço e estrutura de garantias.

Para a empresa que investe em crescimento orientado a dados, a questão não é escolher entre performance e conformidade, mas reconhecer que, no ambiente regulatório atual, uma não subsiste sem a outra. O momento adequado para essa adequação é anterior à campanha — não posterior à notificação.