A Lei Geral de Proteção de Dados (LGPD) brasileira transformou a forma como empresas podem fazer email marketing, e uma pergunta volta sempre dos donos de negócios e profissionais de marketing: posso legalmente enviar emails de marketing para uma lista comprada em 2026? A resposta curta e honesta é: quase nunca. Este guia detalha exatamente o porquê, o que a ANPD vem fiscalizando, e quais são as alternativas em conformidade.
TL;DR — LGPD email marketing em listas compradas
- A regra: A LGPD (art. 7º) exige uma base legal válida para cada tratamento de dados pessoais. Para email marketing, a única base realista é o consentimento dado a você, o remetente — não a um broker, não a um parceiro, não “implícito” de um registro público.
- Listas compradas: o consentimento (se existir) foi dado a quem coletou originalmente. Esse consentimento não é transferível a um comprador terceiro na grande maioria dos casos. Enviar para uma lista comprada sem seu próprio registro de opt-in é, portanto, uma violação direta.
- B2B não é isento: ao contrário da combinação ePrivacy + GDPR da UE que trata emails de trabalho com mais flexibilidade, a LGPD trata todos os dados de pessoa natural da mesma forma.
joao@empresa.comé protegido. - Sanções: até 2% da receita, limitado a 50 milhões de BRL. A ANPD vem sancionando ativamente pequenas e médias empresas desde 2024.
O que a LGPD diz sobre consentimento para marketing
O artigo 7º da LGPD lista dez bases legais para tratamento de dados pessoais. Três são frequentemente citadas em contextos de marketing, mas apenas uma realmente se aplica ao cold email:
| Base legal (LGPD art. 7º) | Aplica-se a email marketing em lista comprada? |
|---|---|
| I — Consentimento do titular | ✅ Apenas se o consentimento foi dado a você diretamente |
| II — Cumprimento de obrigação legal | ❌ |
| V — Execução de contrato | ❌ (sem contrato com o prospect frio) |
| IX — Legítimo interesse | ⚠️ Teoricamente possível, mas a ANPD é restritiva — veja abaixo |
O consentimento sob a LGPD deve ser livre, informado, inequívoco e específico (art. 5º, XII). Também precisa ser demonstrável pelo controlador (art. 8º, §2º) — ou seja, você, como remetente do email, deve poder produzir prova do consentimento sob demanda da ANPD.
Uma lista comprada de um broker falha em quase todos os testes:
- O consentimento (se existir) foi dado ao broker, não a você.
- O titular dos dados quase certamente não foi informado de que seu email seria transferido para sua empresa especificamente.
- Não há recibo de consentimento nomeando sua marca.
”Mas o vendedor diz que a lista é compatível com LGPD”
Esta é a armadilha mais comum. Brokers frequentemente rotulam suas listas como “compatíveis com LGPD” ou “opt-in” — mas o teste é simples: o vendedor pode produzir um recibo de consentimento por registro que nomeie sua empresa específica como destinatária?
Um recibo de consentimento válido sob a LGPD deve incluir:
- a data e hora exata do opt-in
- o endereço IP do titular dos dados
- a redação exata do formulário de consentimento que ele assinou
- os destinatários nomeados do consentimento (os controladores recebendo os dados)
- os propósitos cobertos (marketing, newsletter, ofertas de parceiros etc.)
Na prática, nenhum broker brasileiro pode produzir essa evidência por registro porque isso exigiria obter consentimento individual para cada potencial comprador da lista — o que não é como o mercado de brokers funciona.
Brokers brasileiros sérios (como Serasa Experian para dados de crédito) saíram efetivamente do negócio de listas de marketing desde a entrada em vigor da LGPD, porque a lei torna a transferência de consentimento de marketing comercialmente inviável.
E quanto ao “legítimo interesse” (art. 7º-IX)?
A base “legítimo interesse” permite o tratamento sem consentimento quando os interesses do controlador não são suplantados pelos direitos e liberdades do titular dos dados. Tem sido o escape favorito dos profissionais de cold email globalmente.
A ANPD emitiu diretrizes (Resolução CD/ANPD nº 4/2023 e pareceres relacionados) esclarecendo que:
- O legítimo interesse pode se aplicar à comunicação first-party com o cliente (reengajar clientes anteriores, lembretes de carrinho abandonado, ofertas relacionadas).
- Não se aplica a aquisição de novos prospects via compra de listas de terceiros, porque o teste de “expectativa razoável” (art. 7º-IX exige que o tratamento esteja dentro do que o titular esperaria razoavelmente) falha.
- O controlador deve conduzir uma Avaliação de Legítimo Interesse (ALI) documentando o balanceamento e mantê-la disponível.
Resumindo: legítimo interesse nunca salva uma campanha em lista comprada. Pode salvar algumas formas de reativação de lista própria, mas apenas com a ALI documentada.
E quanto ao email B2B?
Uma crença comum é que enviar email para contatos profissionais em empresas é isento da LGPD porque “o email pertence à empresa”. A ANPD rejeitou essa interpretação.
Definição de dados pessoais da LGPD (art. 5º, I): “informação relacionada a pessoa natural identificada ou identificável”. Um email de trabalho como maria.silva@empresa.com.br identifica uma pessoa específica, então está sob a LGPD independentemente de quem assinou o contrato.
Isso é diferente de:
- Reino Unido (PECR + GDPR), onde assinantes corporativos têm proteção mais fraca
- EUA (CAN-SPAM), que permite marketing opt-out sob condições específicas
- Austrália (Spam Act 2003), que tem isenção B2B para empresas com consentimento inferido de endereço publicamente listado
O Brasil não tem isenção equivalente. Um cold pitch para maria.silva@empresa.com.br exige o mesmo opt-in que maria.silva@gmail.com.
Fiscalização da ANPD em 2024-2026
A ANPD publicou sua primeira onda de sanções relacionadas a marketing no final de 2023 e acelerou em 2024-2025. As penalidades públicas até agora incluem:
- Telekall (telecomunicações, 2024): 14.400 BRL por SMS marketing não consensual
- Várias startups SaaS (2024-2025): advertências + ordens de compliance, frequentemente acompanhadas de auditorias obrigatórias de log de consentimento
- Corretores imobiliários (2025): uma onda de advertências públicas por usar emails de agentes raspados publicamente para outreach
O range de penalidades até hoje é de 14.000 BRL a ~200.000 BRL por violação documentada, com mediana ao redor de 60-80 mil BRL. A ANPD enfatizou consistentemente que campanhas em listas compradas são presumivelmente não-conformes, transferindo o ônus da prova para o controlador.
Além da multa, toda sanção da ANPD é publicada no site da agência e indexada pelo Google. O custo reputacional para uma empresa B2B frequentemente excede a multa em dinheiro.
5 alternativas em conformidade às listas compradas
- Lead magnet no seu próprio site: ebook, template, scanner, calculadora. Capture emails com um formulário claramente redigido de double opt-in. Esta é a abordagem mais defensável.
- Registro em webinar e conteúdo: um formulário de registro para um webinar ou whitepaper restrito, com consentimento explícito para follow-up de marketing. O duplo consentimento (evento + marketing) sobrevive a uma auditoria da ANPD.
- Programas de indicação: clientes existentes indicam novos contatos que fazem opt-in eles mesmos. A cadeia de consentimento permanece limpa.
- Raspagem de banco de dados público para B2B com ressalvas: raspar LinkedIn ou diretórios e enviar um primeiro email pedindo permissão para enviar mais é uma área cinza. A ANPD não sancionou diretamente essa prática ainda (até 2026), mas o padrão recomendado é limitar o primeiro contato estritamente a um pedido de permissão, sem pitch de marketing.
- Aquisição paga (Google Ads, Meta Ads) direcionando tráfego ao seu formulário de opt-in. Mais lento que comprar lista, mas cada email capturado é seu e legalmente defensável.
Para uma visão completa dos requisitos da LGPD para um negócio online brasileiro, veja nosso guia completo da LGPD para e-commerce brasileiro, o top 10 das multas da LGPD aplicadas pela ANPD, e o nosso modelo de política de privacidade conforme LGPD/PIPEDA para a base de qualquer cadastro de consentimento.
A infraestrutura de privacidade e consentimento
Qualquer que seja o canal de aquisição escolhido, três documentos e uma configuração técnica são inegociáveis sob a LGPD:
- Uma política de privacidade mencionando explicitamente email marketing como propósito, a base legal (consentimento) e o período de retenção do endereço de email.
- Um log de consentimento — geralmente uma linha de banco de dados por opt-in, com IP, timestamp, URL do formulário e versão do formulário. Mailchimp, Brevo, ActiveCampaign e Mailzy geram esse log automaticamente.
- Um descadastramento de um clique que processa a requisição em no máximo 2 dias úteis (a ANPD considera qualquer coisa mais lenta uma violação do direito do titular de revogar o consentimento sob o art. 8º, §5º).
- Um banner de consentimento de cookies para qualquer script de tracking carregado antes do formulário, já que pré-marcar sua checkbox de marketing é proibido sob a LGPD.
A WebLegal.ai gera uma política de privacidade e política de cookies totalmente compatíveis com a LGPD em menos de 10 minutos — o mesmo conjunto de dados pode ser reutilizado para o GDPR (UE) e CCPA (Califórnia) se você operar entre jurisdições.
Conclusão
Comprar uma lista de email brasileira e rodar uma campanha de cold nela é, em 2026, quase garantidamente uma violação da LGPD — independentemente do que o broker promete no seu pitch de vendas. A tendência de fiscalização da ANPD é inequívoca: prove consentimento individual, informado e demonstrável para cada email que você envia, ou espere uma sanção.
A boa notícia é que as alternativas em conformidade (funil próprio de opt-in, marketing de conteúdo, indicações, aquisição paga) na verdade superam listas compradas em métricas de engajamento e receita em quase todos os estudos de benchmark publicados desde 2022. A LGPD não matou o email marketing no Brasil — forçou os marketers a construírem ativos que realmente possuem.
Se você está começando do zero com sua conformidade LGPD, o caminho mais barato é instalar uma política de privacidade, um banner de consentimento de cookies e um formulário de opt-in transparente no seu site — nessa ordem. Comece sua auditoria LGPD com nosso scanner gratuito antes que a ANPD audite você.
