LGPD no marketing digital: como captar leads, usar dados e anunciar sem colocar a empresa em risco
Captar leads, nutrir contatos, rodar remarketing e medir campanhas: tudo isso depende de dados pessoais. Desde que a Lei 13.709/2018 entrou em vigor, a lgpd no marketing digital deixou de ser assunto exclusivo do jurídico e virou parte da operação. Quem coleta e-mail em landing page, instala o Pixel no site ou sobe uma lista de clientes na plataforma de anúncios está tratando dados pessoais, e precisa saber com que base faz isso.
A lei não proíbe marketing. Ela exige finalidade clara, transparência e respeito ao titular. Na prática, isso tende a melhorar a qualidade da base: contatos que sabem por que estão ali respondem melhor do que listas compradas.
Um aviso antes de seguir. Este artigo é um guia operacional de agência, não um parecer jurídico. A interpretação da lei depende do contexto de cada empresa e deve ser validada por um advogado ou pelo encarregado de dados. O que fazemos aqui é traduzir as exigências para o dia a dia de quem gera demanda.
O que a LGPD exige na prática do marketing
A Lei Geral de Proteção de Dados trata de qualquer operação com dados de pessoa natural identificada ou identificável: nome, e-mail, telefone, CPF, mas também endereço IP, identificadores de cookies e comportamento de navegação. Ou seja, quase tudo que o marketing toca.
A lei se apoia em princípios como finalidade, necessidade, transparência, segurança e responsabilização. Traduzindo para a rotina de uma equipe de marketing, isso vira três perguntas que precisam ter resposta documentada para cada ponto de coleta:
Por que estou coletando este dado e o que vou fazer com ele?
Preciso mesmo de tudo que estou pedindo?
A pessoa foi informada disso de forma clara, antes de entregar o dado?
Se alguma delas fica sem resposta, o processo de captação foi montado sem pensar no que acontece depois do clique.
Bases legais mais usadas: consentimento e legítimo interesse
Todo tratamento de dados precisa se apoiar em uma base legal prevista na lei. No marketing, as duas mais discutidas são o consentimento e o legítimo interesse.
O consentimento é a manifestação livre, informada e inequívoca do titular. Na prática, é o opt-in: a pessoa marca a caixa, entende para que serve e pode voltar atrás quando quiser. É a base mais simples de explicar e a mais exigente de manter, porque precisa ser registrada e pode ser revogada.
O legítimo interesse permite tratar dados sem consentimento em situações em que a expectativa do titular e os interesses da empresa estão razoavelmente alinhados. Costuma ser invocado em cenários como comunicação com clientes atuais sobre produtos relacionados ao que já compraram. Mas ele exige um teste de ponderação documentado, e a ANPD tem publicado orientações sobre como fazê-lo. Não é um curinga para justificar qualquer envio.
Qual base usar em cada caso é uma decisão que envolve o jurídico. O que o marketing pode fazer é mapear cada fluxo de dados e deixar claro qual base está sendo assumida, para que a avaliação seja possível.
Formulários e captação de leads: finalidade clara e opt-in
O formulário é o ponto de contato mais sensível da operação. É ali que a empresa pede dados e assume compromissos. Alguns cuidados que resolvem a maior parte dos problemas:
Peça apenas o necessário para a finalidade declarada. Um e-book não precisa de CPF.
Diga, perto do botão, o que vai acontecer com o dado: "Você receberá o material e nossos conteúdos semanais. Pode cancelar quando quiser."
Separe finalidades. Baixar um material e aceitar receber ofertas comerciais são coisas diferentes; a caixa de opt-in para comunicação de marketing não deve vir pré-marcada.
Linke a política de privacidade no próprio formulário.
Registre data, origem e texto do consentimento. Se alguém questionar, a empresa precisa provar o que foi aceito.
Quando a landing page é desenhada já com esses elementos, a conversão não cai, e a base fica limpa. Vale revisar o guia sobre como criar uma landing page com esse olhar.
Consentimento de cookies: o banner que realmente funciona
O banner de consentimento de cookies é o ponto em que mais empresas erram por copiar o que viram em outro site. Cookies estritamente necessários para o funcionamento da página são uma coisa; cookies de analytics, remarketing e personalização são outra, e o visitante precisa poder aceitar ou recusar essas categorias.
Um banner adequado apresenta a escolha de forma equilibrada: recusar não pode ser mais difícil do que aceitar. Ele registra a decisão, respeita a recusa (o script de anúncios não dispara antes do aceite) e permite mudar a escolha depois. Plataformas de gestão de consentimento fazem esse trabalho e se integram ao gerenciador de tags.
Aqui entra um ponto que afeta diretamente os resultados: quando parte dos visitantes recusa cookies, a medição muda. É um dos motivos para investir em first-party data, assunto que detalhamos no artigo sobre governança de dados para marketing.
E-mail marketing e descadastro
Todo e-mail de marketing precisa ter um mecanismo de descadastro visível e funcional. Não basta "responda este e-mail para sair da lista": o link precisa existir, funcionar em um clique e ser processado rapidamente. Ferramentas como o RD Station Marketing já fazem isso de forma nativa, desde que ninguém burle o processo importando o contato de volta.
Dois cuidados complementares. O primeiro é segmentar por finalidade: quem aceitou receber conteúdo educativo não necessariamente aceitou receber promoções. O segundo é manter a base higienizada; uma estratégia de nutrição de leads bem feita tira da régua quem não interage, o que é bom para a entregabilidade e para a conformidade.
Compra de listas: por que não
Comprar listas de e-mail ou telefone é a forma mais rápida de colocar a empresa em risco. A pessoa nunca se relacionou com a marca, não deu consentimento para aquela finalidade e não tem como ter expectativa de receber a mensagem. Além do problema legal, o resultado operacional é ruim: taxas de abertura baixas, reclamações de spam e domínio queimado nos provedores.
Se a prospecção ativa faz parte da estratégia, ela precisa seguir regras próprias de abordagem, com dados obtidos de forma lícita e com uma base legal avaliada pelo jurídico. Em B2B, isso costuma significar contato profissional, mensagem individual e relevância clara.
Compartilhamento com plataformas de anúncios: Pixel e listas de clientes
O Pixel da Meta, a tag do Google Ads e ferramentas semelhantes enviam dados de navegação para terceiros. Subir uma lista de clientes para criar públicos personalizados ou semelhantes também é compartilhamento de dados pessoais. Nenhuma dessas práticas é proibida, mas todas precisam estar previstas na política de privacidade e respeitar a escolha feita no banner de cookies.
Na prática, isso significa que o remarketing deve disparar apenas para quem aceitou cookies de publicidade, e que a lista enviada à plataforma deve conter apenas contatos cuja base legal cobre esse uso. Detalhamos a mecânica das campanhas no artigo sobre remarketing no Google Ads e Meta Ads, e quem terceiriza a gestão de tráfego pago deve exigir que a agência trabalhe alinhada ao jurídico.
Direitos do titular e canal de atendimento
A lei garante ao titular o direito de saber quais dados a empresa tem sobre ele, corrigir, pedir exclusão, revogar consentimento e solicitar portabilidade, entre outros. Para o marketing, isso se traduz em um requisito operacional: existir um canal claro (um e-mail ou formulário dedicado) e um processo interno para responder dentro de um prazo razoável.
O ponto que mais trava as empresas não é o canal, é a execução. Quando alguém pede exclusão, o dado precisa sair do CRM, da ferramenta de e-mail, das planilhas de campanha e dos públicos de anúncio. Se os dados estão espalhados, o pedido não é atendido por completo, e a empresa fica exposta sem perceber.
Política de privacidade que alguém consegue ler
A política de privacidade é o documento que informa ao titular o que a empresa faz com os dados. Ela precisa ser verdadeira e específica: quais dados são coletados, para quais finalidades, com quem são compartilhados (incluindo plataformas de anúncios e ferramentas de automação), por quanto tempo ficam armazenados e como exercer os direitos.
Copiar a política de outro site é um erro comum. Se o texto diz que a empresa não compartilha dados com terceiros e o site tem Pixel instalado, a política está mentindo. Ela deve ser revisada sempre que uma nova ferramenta entra na operação.
O papel da ANPD
A Autoridade Nacional de Proteção de Dados é o órgão que regulamenta, orienta e fiscaliza a aplicação da lei. Ela publica guias, resoluções e orientações sobre temas como cookies, legítimo interesse e dosimetria de sanções, e pode aplicar advertências, multas e outras medidas.
Para o marketing, o valor prático da ANPD está nos guias orientativos. Eles dão uma referência pública sobre o que a autoridade considera boa prática, e são um bom ponto de partida para a conversa com o jurídico.
Como organizar dados no CRM
Boa parte da conformidade se resolve com organização. Um CRM bem configurado centraliza os contatos, registra origem e consentimento e permite atender pedidos do titular em um lugar só. Alguns campos que valem a pena existir desde o início:
Origem do contato (qual landing page, evento ou campanha).
Data e tipo de consentimento (conteúdo, ofertas, ambos).
Status de comunicação (ativo, descadastrado, exclusão solicitada).
Responsável pelo relacionamento.
Com isso, segmentar por base legal vira um filtro, não um projeto. Explicamos a estrutura no artigo sobre configuração do RD Station CRM e, para empresas menores, no guia de CRM para pequenas e médias empresas. Quando marketing e vendas usam ferramentas separadas sem integração, o risco aumenta: o contato que se descadastrou no e-mail continua recebendo WhatsApp do vendedor.
Checklist prático de LGPD e marketing
Use esta lista como ponto de partida para uma revisão interna, e leve o resultado para o jurídico:
Mapeie todos os pontos de coleta: formulários, chat, WhatsApp, eventos, integrações.
Defina e documente a finalidade e a base legal de cada fluxo.
Revise os formulários: campos mínimos, texto de finalidade, opt-in separado e não pré-marcado.
Instale um banner de cookies com categorias, recusa fácil e bloqueio de scripts antes do aceite.
Garanta descadastro em um clique em todo e-mail e respeite a saída em todas as ferramentas.
Elimine listas compradas e documente a origem de qualquer base de prospecção.
Atualize a política de privacidade com todas as ferramentas e plataformas realmente usadas.
Crie um canal de atendimento ao titular e um processo interno de resposta.
Centralize os dados no CRM com campos de origem e consentimento.
Treine a equipe comercial e de marketing e revise o processo a cada nova ferramenta.
A relação entre lgpd e marketing não precisa ser de conflito. Empresas que organizam dados com critério ganham bases mais responsivas, medição mais confiável e menos surpresas. Se a sua operação precisa estruturar captação, automação e CRM dentro dessas regras, a Redstack é parceira certificada na implementação de RD Station e cuida da integração entre site, campanhas e pipeline. Fale com a Redstack e agende uma conversa sobre o seu cenário.
Comentários