LGPD na prospecção: o que pode e o que não pode

A Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) não proíbe a prospecção de clientes. O que ela faz é estabelecer regras para o uso de dados pessoais: é preciso ter uma base legal, uma finalidade legítima e informada, usar apenas os dados necessários e respeitar os direitos da pessoa, como o de pedir para não ser mais contatada.

Na prática, isso afeta como você monta listas, de onde tira os dados, o que escreve na abordagem e como trata quem responde “não quero mais receber”. A seguir estão os conceitos essenciais, o que costuma ser aceitável, o que traz mais risco e um checklist para a sua operação.

Prospecção B2B também envolve dados pessoais

Um erro comum é pensar que a LGPD só se aplica ao B2C. A lei protege dados de pessoas naturais. Dados de empresas, como razão social e CNPJ, em regra não são dados pessoais. Mas a prospecção B2B quase nunca fica só nisso:

• Nome e cargo de um diretor
• E-mail profissional no formato nome@empresa
• Telefone direto ou celular corporativo
• Perfil em rede profissional

Tudo isso identifica uma pessoa e, portanto, é dado pessoal. A pessoa a quem os dados se referem é chamada de titular.

Os princípios que guiam a prospecção

O art. 6º da LGPD lista os princípios que todo tratamento de dados deve seguir. Para a prospecção, os mais relevantes são:

• Finalidade: usar os dados para um propósito legítimo, específico e informado. Prospecção de um produto ou serviço relacionado à atividade profissional da pessoa é diferente de usar a mesma lista para qualquer coisa.
• Adequação: o uso precisa ser compatível com o contexto em que o dado foi obtido.
• Necessidade: tratar apenas os dados necessários. Se você só precisa de nome, cargo e e-mail profissional, não guarde mais do que isso.
• Transparência: a pessoa deve conseguir saber quem está usando seus dados e para quê.
• Qualidade dos dados: manter os dados corretos e atualizados.
• Responsabilização e prestação de contas: conseguir demonstrar que você segue as regras.

Bases legais: consentimento e legítimo interesse

Todo uso de dado pessoal precisa se apoiar em uma das hipóteses do art. 7º da lei. Na prospecção, duas aparecem com mais frequência.

Consentimento

É a manifestação livre, informada e inequívoca da pessoa concordando com o uso dos dados para uma finalidade específica. Aparece, por exemplo, quando alguém preenche um formulário pedindo contato ou se inscreve para receber conteúdos. É comum no inbound e no B2C.

Legítimo interesse

Previsto no art. 7º, IX, permite o tratamento quando necessário para atender a interesses legítimos do controlador ou de terceiros, desde que não prevaleçam os direitos e liberdades fundamentais do titular. É a base mais discutida para a prospecção ativa B2B.

O art. 10 da lei traz condições importantes para o uso do legítimo interesse:

• A finalidade deve ser legítima e considerada a partir de situações concretas, o que inclui o apoio e a promoção de atividades do controlador.
• Somente os dados pessoais estritamente necessários para a finalidade podem ser tratados.
• O controlador deve adotar medidas para garantir a transparência do tratamento.
• A autoridade pode pedir um relatório de impacto quando o tratamento se baseia nessa hipótese.

Em fevereiro de 2024, a ANPD publicou um guia orientativo sobre legítimo interesse com um modelo de teste de balanceamento em três fases: finalidade, necessidade, e balanceamento e salvaguardas. Fazer e documentar esse teste para a sua operação de prospecção é uma boa prática.

FINALIDADE

• Qual é o interesse? (ex.: oferecer um serviço relacionado à atividade profissional da pessoa)
• Ele é legítimo, específico e real?

NECESSIDADE

• Quais dados são realmente necessários para essa finalidade?
• Existe forma de atingir o objetivo usando menos dados?

BALANCEAMENTO E SALVAGUARDAS

• A pessoa esperaria, razoavelmente, ser contatada sobre esse tema no contexto profissional dela?
• Qual o impacto do contato para ela?
• Que salvaguardas adotamos? (transparência, opt-out simples, lista de exclusão, frequência limitada, segurança dos dados)

Dado público não é dado livre

Outra confusão frequente: “se está na internet, posso usar”. A LGPD trata disso nos parágrafos do art. 7º:

• Para dados de acesso público, o tratamento deve considerar a finalidade, a boa-fé e o interesse público que justificaram a disponibilização.
• Para dados tornados manifestamente públicos pelo próprio titular, é dispensado o consentimento, mas continuam resguardados os direitos do titular e os princípios da lei.
• O tratamento posterior desses dados para novas finalidades exige propósitos legítimos e específicos e a preservação dos direitos do titular.

Na prática: um perfil profissional público ou um e-mail divulgado no site da empresa pode ser usado para um contato profissional coerente com aquele contexto. Isso é bem diferente de raspar dados em massa, juntar com outras fontes e usar para qualquer finalidade.

Direitos do titular

O art. 18 garante ao titular uma série de direitos. Os que mais aparecem na prospecção são:

• Confirmação e acesso: saber se você trata dados dele e quais.
• Correção: pedir a correção de dados incompletos ou desatualizados.
• Eliminação de dados desnecessários ou excessivos.
• Informação sobre com quem os dados foram compartilhados.
• Oposição: a pessoa pode se opor a tratamento feito com base em outra hipótese que não o consentimento, em caso de descumprimento da lei.

Do ponto de vista prático, a regra de ouro é simples: quando alguém pedir para não ser mais contatado, pare em todos os canais e registre o pedido em uma lista de exclusão compartilhada pelo time. Esse é o opt-out.

Estou entrando em contato porque [motivo profissional: ex. sua empresa atua em X e ajudamos empresas desse segmento com Y]. Encontrei seu contato em [fonte: site da empresa / perfil profissional].

Se preferir não receber mais mensagens minhas, é só responder “não” que eu removo seu contato.

O que costuma ser aceitável e o que traz mais risco

A tabela abaixo resume práticas comuns. Ela não substitui a análise do seu caso, mas ajuda a separar o que costuma ser defensável do que aumenta o risco.

Dados pessoais sensíveis, como saúde, religião, opinião política, origem racial e vida sexual, têm regras mais rígidas na LGPD e não devem fazer parte de listas de prospecção.

B2C exige ainda mais cuidado

Na prospecção de pessoas físicas, o contato acontece fora do contexto profissional, e a expectativa da pessoa de ser procurada é menor. Por isso:

• O legítimo interesse tende a ser mais difícil de sustentar, e o consentimento costuma ser a base mais segura.
• Além da LGPD, entram o Código de Defesa do Consumidor e regras específicas de telemarketing. Para as regras da Anatel, como a plataforma Não Me Perturbe, veja a seção de regras no guia de prospecção de clientes.
• Algumas profissões, como saúde e advocacia, têm regras éticas próprias sobre captação de clientes, definidas pelos respectivos conselhos.

Encarregado e canal com o titular

A LGPD prevê o encarregado (art. 41), responsável pela comunicação com os titulares e com a ANPD. A ANPD publicou um regulamento específico para agentes de pequeno porte, a Resolução CD/ANPD nº 2, de 2022, que dispensa esses agentes de indicar um encarregado, mas exige que mantenham um canal de comunicação com o titular. Verifique se a sua empresa se enquadra nas condições do regulamento.

Fiscalização e sanções

As sanções previstas no art. 52 da LGPD incluem advertência, multa simples de até 2% do faturamento da empresa no Brasil (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio e eliminação dos dados e, desde a Lei 13.853/2019, suspensão do banco de dados ou da atividade de tratamento e proibição parcial ou total dessa atividade.

A primeira multa aplicada pela ANPD, publicada no Diário Oficial em julho de 2023, envolveu justamente a oferta de listas de contatos de WhatsApp de eleitores para disparo de mensagens. Segundo os autos do processo publicados pela ANPD, a decisão aplicou multa por tratamento de dados sem base legal (art. 7º), advertência pela falta de encarregado (art. 41) e multa por não atender às requisições da autoridade.

Em 2026, a Lei nº 15.352/2026 transformou a ANPD em Agência Nacional de Proteção de Dados, autarquia de natureza especial com autonomia funcional, técnica, decisória, administrativa e financeira. A sigla continua a mesma, e a tendência é de fiscalização mais estruturada.

Checklist de LGPD para a prospecção

Conclusão

Prospectar com respeito à LGPD é, em grande parte, prospectar bem: falar com as pessoas certas, sobre temas relevantes para elas, com transparência e sem insistir com quem não quer. Defina a base legal, use só o necessário, registre a origem dos dados e respeite os pedidos de não contato.

Para colocar isso em prática na montagem da base, veja como montar uma lista de prospecção qualificada.