LGPD no marketing: cuidados com formulários, cookies e listas

Marketing digital trabalha com dados pessoais o tempo todo. Um formulário de orçamento coleta nome e telefone. Um pixel registra quem visitou a página. Uma lista de e-mails guarda contatos por anos. Um atendente salva conversas de WhatsApp. Tudo isso é tratamento de dados pessoais, e tudo isso está sob a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

Seguir a LGPD não impede de fazer marketing. Pelo contrário: formulários claros, cookies bem explicados e descadastro fácil aumentam a confiança de quem se cadastra. Este artigo resume os cuidados práticos para captar leads e medir resultados respeitando a lei. Ele é informativo e não substitui a orientação de um advogado ou especialista em proteção de dados para o seu caso.

Conceitos que você precisa conhecer

• Dado pessoal: a lei define como "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). Nome, e-mail, telefone, IP e identificadores de cookie podem se encaixar.
• Controlador: quem toma as decisões sobre o tratamento, como finalidade e tipo de dado. Normalmente, a sua empresa.
• Operador: quem trata os dados em nome do controlador, como um fornecedor de software ou uma agência. O guia da ANPD sobre agentes de tratamento recomenda contrato entre as partes definindo responsabilidades.
• Encarregado: a pessoa indicada para ser o canal de comunicação entre o controlador, os titulares e a ANPD (art. 5º, VIII, e art. 41).

Os princípios que mais pesam no marketing

O art. 6º da LGPD lista os princípios do tratamento. Três deles aparecem em quase toda ação de marketing:

• Finalidade: tratar dados para propósitos legítimos, específicos, explícitos e informados ao titular.
• Adequação: o uso precisa ser compatível com o que foi informado.
• Necessidade: limitar o tratamento ao mínimo necessário.

Na prática: se o formulário diz "receba seu orçamento", usar aquele telefone para uma campanha de outro produto, anos depois, pode fugir da finalidade informada.

Base legal: consentimento não é a única

Todo tratamento precisa de uma base legal. O art. 7º traz as hipóteses. Para marketing, as mais discutidas são duas:

• Consentimento (art. 7º, I): "manifestação livre, informada e inequívoca" do titular (art. 5º, XII). Pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º).
• Legítimo interesse (art. 7º, IX): quando necessário para atender interesses legítimos do controlador ou de terceiro, desde que não prevaleçam os direitos e liberdades fundamentais do titular.

A página de perguntas frequentes da ANPD lembra que o consentimento é uma das bases possíveis, e não uma exigência para todo tratamento. A escolha da base certa depende do contexto, e é aqui que vale envolver um especialista, porque cada base traz obrigações diferentes.

Formulários e captação de leads

• Peça só o necessário. Para um orçamento, nome e contato costumam bastar. CPF, data de nascimento e renda só se forem realmente usados.
• Explique o uso. Uma frase curta perto do botão: "Usaremos seus dados para responder ao seu pedido."
• Separe a autorização de marketing. Se a empresa quer enviar novidades com base em consentimento, use uma caixa própria, desmarcada.
• Link da política de privacidade visível, perto do envio.

Em uma landing page que converte, esse texto curto não atrapalha. Ele passa segurança.

Cookies, pixels e rastreamento

O Guia Orientativo de Cookies e Proteção de Dados Pessoais da ANPD traz recomendações bem práticas:

• Separar cookies necessários dos não necessários. Os necessários fazem o site funcionar. Os não necessários incluem análise de comportamento, medição e publicidade.
• Consentimento costuma ser a base mais adequada para cookies não necessários. Para cookies de publicidade, o guia indica que o legítimo interesse dificilmente será a base mais apropriada.
• Botão para rejeitar os cookies não necessários, com destaque equivalente ao de aceitar, já na primeira camada do banner.
• Nada de opções pré-marcadas nem de "consentimento" por simplesmente continuar navegando.
• Segunda camada com categorias, explicadas em linguagem simples, e um caminho fácil para mudar a escolha depois.

Na parte técnica, isso significa configurar as tags de análise e mídia para respeitar a escolha do visitante. Vale alinhar com quem cuida do rastreamento de conversões, para manter a medição e respeitar o banner ao mesmo tempo.

Listas, e-mail e WhatsApp

• Evite comprar listas. Na prática, é muito difícil demonstrar a origem dos dados e a base legal para contatar essas pessoas.
• Ofereça sempre a saída. Todo e-mail e toda sequência de mensagens precisa de um jeito simples de parar de receber.
• Defina prazo de guarda. O art. 16 prevê a eliminação dos dados após o término do tratamento, com exceções previstas em lei. Lead parado há anos, sem relação nem autorização vigente, merece revisão.
• Controle quem acessa. Planilha de leads circulando por e-mail é risco. Restrinja o acesso ao CRM por função.

Direitos dos titulares e o encarregado

O art. 18 garante ao titular, entre outros, os direitos de confirmar a existência de tratamento, acessar os dados, corrigir dados incompletos ou desatualizados, pedir a eliminação de dados tratados com consentimento e revogar o consentimento.

Para isso funcionar, a empresa precisa de um canal. A regra geral é indicar um encarregado e divulgar seu contato, de preferência no site. Segundo a ANPD, agentes de tratamento de pequeno porte podem ser dispensados de indicar encarregado, nos termos da Resolução CD/ANPD nº 2/2022, mas continuam obrigados a manter um canal de comunicação com os titulares.

Exemplo prático

Imagine uma escola de idiomas que capta leads por anúncio (situação ilustrativa). O formulário pedia nome, e-mail, telefone, CPF e data de nascimento, com uma caixa de "aceito receber ofertas" já marcada. O site carregava pixels de mídia antes de qualquer escolha do visitante.

Os ajustes foram simples: o formulário passou a pedir nome, telefone e curso de interesse; a caixa de ofertas ficou desmarcada e separada; o banner de cookies ganhou botão de rejeitar com o mesmo destaque; as tags de mídia passaram a respeitar a escolha; e a política de privacidade ganhou o contato do canal de privacidade. Menos campos também costumam deixar o formulário mais fácil de preencher.

Erros comuns

• Copiar a política de privacidade de outro site, que não descreve o que a sua empresa faz.
• Tratar consentimento como única saída, sem avaliar a base legal adequada.
• Banner de cookies que não bloqueia nada na prática.
• Descadastro que exige login, ligação ou várias etapas.
• Guardar dados para sempre, "por via das dúvidas".

Por que levar a sério

Além da confiança do cliente, há sanções previstas. O art. 52 lista advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, entre outras medidas. O caminho mais seguro é tratar a LGPD como parte do processo de marketing desde o início, e não como ajuste de última hora.

Este conteúdo é informativo e não constitui aconselhamento jurídico. Para definir bases legais, políticas e contratos, consulte um advogado ou especialista em proteção de dados. Na parte técnica, como formulários, banner de cookies e configuração de tags, a RUT pode ajudar o seu time a colocar tudo em ordem.