LGPD email marketing:como fazer cold email B2B sem violar a lei
LGPD email marketing sem mistério: base legal, teste de legítimo interesse, opt-out e o que muda com o RGPD ao prospectar na Europa.
Conformidade legal··10 min de leitura
Principais conclusões
O cold email B2B é legal com a LGPD quando apoiado em base legal. O legítimo interesse está no art. 7º, IX e o art. 10 limita o uso a dados "estritamente necessários" para a finalidade.
E-mail de função não é o mesmo que e-mail de pessoa: contato@empresa.com.br não identifica uma pessoa natural, já nome.sobrenome@empresa.com.br pode identificar, e então a LGPD vale (art. 5º, I).
A multa simples da LGPD chega a 2% do faturamento no Brasil, com teto de R$ 50 milhões por infração (art. 52, II). No RGPD o teto é de 20 milhões de euros ou 4% do faturamento mundial (art. 83, n.º 5).
Para destinatários na Europa o jogo muda: a Diretiva ePrivacy exige consentimento prévio para e-mail de marketing a pessoas singulares, e o RGPD dá o direito de oposição ao marketing direto a qualquer momento.
Em qualquer país o básico é o mesmo: identificar-se, dizer a origem dos dados, manter um opt-out que funcione e registrar a avaliação de legítimo interesse.
A resposta
O cold email B2B é legal com a LGPD?
Resposta curta sobre LGPD email marketing: o cold email B2B é legal no Brasil quando você tem base legal, em geral o legítimo interesse (art. 7º, IX), usa só os dados necessários, informa quem é e a origem do contato e oferece uma saída simples. A LGPD não proíbe a prospecção: regula o tratamento de dados pessoais.
Cold email é o e-mail comercial enviado a alguém que ainda não pediu para receber sua mensagem. A Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica quando esse e-mail envolve dados de uma pessoa natural: nome, cargo associado a um nome, endereço de e-mail individual, telefone direto. Quando o contato é só uma empresa, a lei pesa menos, mas as regras de boa-fé e transparência continuam valendo na prática.
Para quem faz prospecção por e-mail no Brasil, a pergunta útil é em qual base legal você se apoia e como prova isso se alguém perguntar. Este guia responde com os artigos da lei, o guia da ANPD sobre legítimo interesse e as diferenças em relação ao RGPD europeu, para quem também prospecta em Portugal e no resto da União Europeia. É conteúdo informativo e não substitui um advogado.
Monte uma lista B2B antes de escrever o primeiro e-mail
Busque negócios no Google Maps, colete os contatos publicados nos sites e organize tudo no CRM em mapa. A extração gratuita cobre 200 negócios por mês; IA e exportação dependem do plano.
Depende de quem o endereço identifica. A lei define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). Por essa definição, um e-mail genérico de empresa tende a ficar fora do alcance da LGPD, e um e-mail que aponta para uma pessoa específica tende a ficar dentro.
Na prática, o tipo de endereço muda o nível de cuidado. Quanto mais o e-mail identifica um indivíduo, mais você precisa de base legal, de transparência e de um canal de oposição. A tabela resume a leitura mais prudente; confirme casos de fronteira com um advogado.
Tipo de endereço
Identifica pessoa natural?
Cuidado recomendado
contato@, vendas@, atendimento@
Em geral não
Identifique-se e ofereça opt-out. Boa-fé e transparência continuam valendo
nome.sobrenome@empresa.com.br
Sim, normalmente
Trate como dado pessoal: base legal, minimização, transparência e canal de oposição
Gmail, Outlook ou Hotmail pessoal
Sim
Evite no cold email. O impacto sobre o titular é maior e o teste de legítimo interesse fica mais difícil de passar
Profissional autônomo ou empresário individual
Frequentemente sim
Trate como pessoa natural, mesmo que o e-mail seja de trabalho
Isso pesa para quem monta lista a partir de padrões de endereço. Se você deduz e-mails com base em formatos de e-mail corporativo, está criando um dado pessoal identificável, e precisa documentar a finalidade e a necessidade. Para ver como localizar contatos com método, leia como encontrar o e-mail de qualquer pessoa.
Base legal
Qual base legal usar no email marketing B2B: consentimento ou legítimo interesse?
No cold email B2B a base mais usada é o legítimo interesse, porque pedir consentimento antes do primeiro contato é, por definição, impossível. A LGPD permite o tratamento "quando necessário para atender aos interesses legítimos do controlador ou de terceiro", exceto quando prevalecem direitos e liberdades fundamentais do titular (art. 7º, IX).
O art. 10 traz as condições: finalidades legítimas, baseadas em situações concretas, como o apoio e a promoção de atividades do controlador; só os dados estritamente necessários podem ser tratados; e o controlador deve adotar medidas de transparência.
Dado público não é dado livre. O art. 7º, §3º diz que o tratamento de dados de acesso público deve considerar a finalidade, a boa-fé e o interesse público que justificaram a disponibilização. O §4º dispensa o consentimento para dados "manifestamente públicos pelo titular", mas o §6º lembra que isso não desobriga o respeito aos princípios e aos direitos do titular.
Método
Como fazer o teste de legítimo interesse em 3 fases?
A ANPD publicou em novembro de 2024 o Guia Orientativo sobre legítimo interesse, com um modelo de teste de balanceamento. O teste não é obrigatório em formato único, mas a Autoridade o trata como boa prática para demonstrar conformidade. Ele tem três fases, e vale registrar cada uma por escrito:
Finalidade. Descreva o interesse concreto. Exemplo: apresentar o serviço de uma agência de marketing a clínicas odontológicas de Curitiba, que podem se beneficiar dele.
Necessidade. Verifique se você usa só o mínimo de dados. Para um primeiro contato, em geral bastam o e-mail e o nome do negócio, sem perfil detalhado da pessoa.
Balanceamento e salvaguardas. Pergunte se um destinatário razoável esperaria receber essa mensagem e que medidas reduzem o risco: opt-out simples, transparência sobre a origem e exclusão rápida.
Segundo o guia, a LGPD aceita algum impacto, desde que ele seja minimizado e levado em conta nas salvaguardas. O mesmo guia pede canais de fácil acesso para o titular se descadastrar, se opor ao tratamento e pedir a eliminação dos dados. Guarde o teste junto com a data, a lista usada e a versão do e-mail enviado.
Checklist
O que todo cold email B2B precisa conter?
Um cold email em conformidade é identificável, transparente e fácil de recusar. A tabela compara o que a LGPD e o RGPD pedem em cada elemento da mensagem:
Elemento do e-mail
LGPD (Brasil)
RGPD (União Europeia)
Quem envia
Identificação e contato do controlador (art. 9º, III e IV)
Identidade e contactos do responsável (art. 14, n.º 1, a)
De onde veio o contato
Transparência sobre o tratamento (art. 10, §2º)
Origem dos dados, e se são de fontes públicas (art. 14, n.º 2, f)
Quando informar
Acesso facilitado e claro às informações (art. 9º)
No máximo na primeira comunicação (art. 14, n.º 3, b)
Opt-out
Oposição pelo titular nos casos de descumprimento da lei (art. 18, §2º)
Oposição ao marketing direto a qualquer momento (art. 21, n.º 2 e 3)
Quantidade de dados
Somente o estritamente necessário (art. 10, §1º)
Princípio da minimização dos dados (art. 5º, n.º 1, c)
Registro
Avaliação de legítimo interesse documentada (guia da ANPD)
O responsável deve poder comprovar a conformidade (art. 5º, n.º 2)
No Brasil, o direito de oposição do art. 18, §2º está ligado ao descumprimento da lei. No RGPD, o direito de se opor ao marketing direto é incondicional, e o art. 21, n.º 4 exige que ele seja apresentado de forma clara, o mais tardar na primeira comunicação. Para a operação, a regra segura é uma só: aceite qualquer pedido de saída e remova a pessoa da sua lista logo.
Um exemplo de bloco de transparência no rodapé do e-mail:
Você recebeu esta mensagem porque o contato da sua empresa está publicado no seu site. Escrevo para apresentar o serviço X a clínicas de Curitiba. Se não quiser receber novos e-mails, responda "sair" ou use o link abaixo e removo seu contato. Enviado por Nome, Empresa, CNPJ e e-mail de contato.
Ajuste esse modelo ao seu caso e inclua um link de saída que realmente funcione. Uma boa sequência de contatos também reduz a pressão: veja quantas tentativas de contato até obter resposta para planejar o ritmo sem insistir demais.
Fora do Brasil
E se o destinatário estiver na Europa ou nos Estados Unidos?
As regras mudam conforme o país do destinatário. Na União Europeia, o art. 13 da Diretiva ePrivacy diz que o correio eletrônico para comercialização direta só pode ser autorizado a assinantes que tenham dado consentimento prévio. O n.º 5 aplica essa regra às pessoas singulares e manda os Estados-Membros protegerem os interesses legítimos dos demais assinantes, então a regra para empresas varia de país para país.
Por cima disso está o RGPD, cujo considerando 47 admite que o tratamento para comercialização direta pode ser de interesse legítimo, e cujo art. 21 garante a oposição. As coimas do art. 83, n.º 5 chegam a 20 milhões de euros ou 4% do volume de negócios anual mundial, o que for mais elevado.
Nos Estados Unidos, a lei CAN-SPAM é diferente: a FTC afirma que a lei não abre exceção para e-mail entre empresas. Exige cabeçalhos corretos, identificação da mensagem como anúncio, endereço postal físico e um opt-out respeitado em até 10 dias úteis, com multa de até US$ 53.088 por e-mail em violação.
Região e base
Consentimento prévio?
Principais deveres
Brasil (LGPD)
Não, se houver outra base legal como o legítimo interesse
Finalidade, necessidade, transparência, canal de oposição, registro
União Europeia, pessoas singulares
Sim (ePrivacy, art. 13)
Consentimento, identidade clara, endereço válido para recusar
União Europeia, empresas
Varia conforme o Estado-Membro
Proteção dos interesses legítimos, RGPD para dados de pessoas
Estados Unidos (CAN-SPAM)
Não
Cabeçalhos corretos, anúncio identificado, endereço físico, opt-out em 10 dias úteis
Se a sua lista mistura países, aplique a regra mais exigente entre a do remetente e a do destinatário. É mais barato que separar cada mercado e evita os erros mais comuns: sem opt-out, sem origem dos dados e sem registro.
Origem da lista
Posso comprar lista de e-mails ou usar dados do Google Maps?
Lista comprada é o ponto mais frágil. Você não sabe de onde vieram os dados, então não consegue informar a origem, nem provar a finalidade original, nem demonstrar que o titular esperaria receber sua mensagem. Isso enfraquece o teste de legítimo interesse desde a primeira fase.
Montar sua própria lista a partir de fontes públicas é um caminho mais defensável, porque você conhece a origem de cada contato. O Google Maps mostra negócios locais com categoria, endereço e telefone. Ele não fornece e-mails, então a Vonsel visita os sites dos negócios para encontrar e-mails publicados, telefones adicionais e links para redes sociais compatíveis. O resultado depende do que cada site publica. Veja também extrair e-mails de sites de negócios e o extrator de e-mails do Google Maps.
Na Vonsel você pesquisa no Google Maps, aperta Start, mantém os negócios num mapa, organiza por etapa e usa notas, tags e campos personalizados. Isso ajuda a marcar quem pediu para sair e a registrar a origem de cada contato. Assista ao tutorial em vídeo para ver a extração e consulte a página de preços para comparar planos.
A Vonsel é uma ferramenta para montar a lista. Ela não define a sua base legal nem verifica listas de supressão por você, então a responsabilidade pela forma de contato continua sendo sua.
Passo a passo
Qual é o fluxo prático para prospectar por e-mail com a LGPD?
Use esta sequência como rotina fixa, seja você freelancer, agência ou pequena empresa:
Defina o público. Escolha nicho e cidade, por exemplo restaurantes de Belo Horizonte ou escritórios de contabilidade de Porto Alegre.
Monte a lista com origem conhecida. Anote a fonte de cada contato (site do negócio, perfil público) no CRM.
Separe e-mails de função e de pessoa. Dê prioridade aos primeiros e trate os outros como dado pessoal.
Registre o teste de legítimo interesse. Finalidade, necessidade e balanceamento, com data.
Envie uma mensagem curta e relevante, com identificação, origem do contato e opt-out.
Respeite a saída. Remova quem pediu e mantenha uma lista de supressão para não escrever de novo.
Revise a cada campanha. Se a finalidade mudar, faça um novo teste, como recomenda a ANPD.
A lei não pune o e-mail relevante, claro e fácil de recusar. Pune o descuido com os dados.
Prospecção B2B com origem dos dados clara
Pesquise no Google Maps, junte os contatos publicados e organize o CRM com notas e tags. Compare os planos na página de preços.
Sim, o cold email B2B é legal quando respeita a LGPD. Você precisa de uma base legal, normalmente o legítimo interesse, tratar apenas os dados necessários, ser transparente sobre quem envia e de onde veio o contato e oferecer uma forma simples de sair. Não é a prospecção que a lei limita, e sim o tratamento descuidado de dados pessoais.
A LGPD proíbe email marketing B2B?
Não. A LGPD não proíbe email marketing B2B nem o cold email. Ela exige uma base legal para tratar dados de pessoas naturais, como o legítimo interesse do art. 7º, IX, e o cumprimento de princípios como finalidade, necessidade e transparência. Mensagens para endereços genéricos de empresa têm menos risco, mas boa-fé e opt-out continuam recomendados.
Preciso de consentimento para enviar e-mail para uma empresa?
No Brasil, não necessariamente. O consentimento é uma das bases da LGPD, mas o legítimo interesse também é permitido, desde que passe pelo teste de finalidade, necessidade e balanceamento. Na União Europeia o ePrivacy exige consentimento prévio para pessoas singulares, e para empresas a regra depende do país do destinatário.
Posso enviar cold email para o Gmail pessoal de um decisor?
É possível, mas é a opção de maior risco. Um e-mail pessoal identifica uma pessoa natural e o impacto sobre ela é maior, o que torna mais difícil passar no teste de legítimo interesse. Prefira o e-mail profissional e, se o decisor for autônomo ou empresário individual, trate o contato como dado pessoal.
O que colocar no cold email para cumprir a LGPD?
Inclua quem está enviando (nome, empresa e contato), o motivo da mensagem, a origem do contato e uma forma clara de sair, como um link ou resposta "sair". Mantenha o texto relevante para o destinatário e registre internamente o teste de legítimo interesse. Ao enviar para a UE, aplique também o direito de oposição do art. 21 do RGPD.
Qual é a multa por enviar cold email fora da lei?
Pela LGPD, a multa simples pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de advertência e outras sanções. No RGPD, as coimas chegam a 20 milhões de euros ou 4% do volume de negócios mundial. O valor real depende da autoridade e do caso.
Posso comprar lista de e-mails ou extrair do Google Maps?
Lista comprada é arriscada, porque você não sabe a origem dos dados e não consegue informá-la ao titular. Montar a própria lista a partir de fontes públicas é mais defensável, desde que você registre a origem, use o mínimo de dados e respeite quem pedir para sair. A ferramenta ajuda a montar a lista, mas a base legal é responsabilidade sua.
Fontes
Lei 13.709/2018 (LGPD), Planalto: Art. 5º (dado pessoal), art. 7º (bases legais e dados públicos), art. 9º, art. 10 (legítimo interesse), art. 18 e art. 52 (multas).
