LGPD e Cold Email B2B: o que a Lei Exige de Verdade

Toda vez que o assunto é cold email no Brasil, alguém do time jurídico ou de marketing aparece dizendo que "a LGPD proíbe mandar email sem autorização prévia". Isso é impreciso, e o exagero custa caro: SDRs travam campanhas legítimas por medo de multa, enquanto operações que realmente furam a lei continuam rodando porque ninguém checou os pontos que importam. Este texto separa o que a Lei Geral de Proteção de Dados (Lei 13.709/2018) exige de fato de uma campanha de cold email B2B endereçado do que é lenda urbana de LinkedIn.

O mito do 'opt-in obrigatório' em B2B

A confusão mais comum começa com uma mistura entre duas coisas diferentes: email marketing para uma base de assinantes (onde opt-in explícito é praticamente padrão de mercado) e cold email B2B endereçado, que é uma abordagem pontual e individual a um decisor específico dentro de uma empresa específica, porque o produto ou serviço faz sentido para o negócio dele. A LGPD não trata as duas situações da mesma forma, e a lei brasileira, diferente do que muita gente assume por analogia com o GDPR europeu, não exige consentimento prévio como única base legal possível para tratamento de dados.

A Lei 13.709/2018 prevê várias bases legais para tratamento de dados pessoais, e o legítimo interesse é uma delas — não uma zona cinzenta, mas uma hipótese prevista na lei. Uma abordagem comercial B2B feita com critério, para um contato profissional cujo cargo e empresa tornam a oferta relevante, se enquadra nesse racional. Isso não é uma brecha: é a mesma lógica que permite, por exemplo, que um fornecedor entre em contato com o departamento de compras de uma empresa que atua no setor que ele atende.

O que a lei realmente exige na prática

Tirando o mito do opt-in, sobram três exigências concretas que qualquer operação de cold email B2B no Brasil precisa cumprir, e elas são bem mais objetivas do que parecem à primeira vista.

A primeira é identificação clara de quem está mandando o email — nome da pessoa, nome da empresa, e um jeito de essa empresa ser encontrada e contatada de volta. Um email que esconde o remetente atrás de um domínio genérico ou de um nome fictício já nasce fora de compliance, independente da LGPD, só pela política antispam de qualquer provedor sério.

A segunda é finalidade compatível com o contexto: o email precisa fazer sentido para quem recebe, dado o cargo e a empresa dessa pessoa. Mandar uma oferta de software de RH para o head de RH de uma empresa de médio porte é finalidade legítima. Mandar a mesma oferta para uma lista comprada sem filtro nenhum, misturando cargos e setores aleatórios, já não é — não pela lei em si, mas porque não há como sustentar o "legítimo interesse" quando não existe critério de relevância.

A terceira, e a mais concreta de cumprir, é a possibilidade real de saída: todo email precisa deixar claro como a pessoa pede para não receber mais contato, e esse pedido precisa ser respeitado de fato, rápido e sem enrolação.

• Remetente identificável: nome de quem escreve, empresa, e um domínio ou site verificável.
• Finalidade compatível: a oferta faz sentido dado o cargo e o setor do destinatário — não é lista genérica sem filtro.
• Opt-out visível e funcional: um jeito claro de pedir para sair, processado de verdade, não só por decoração.
• Sem dado sensível: cold email B2B trabalha com dado de contato profissional, nunca com dado sensível (saúde, orientação, opinião política etc.).

Legítimo interesse na prática: como sustentar essa base legal

Usar legítimo interesse como base legal não é escrever essa frase em algum termo de uso e seguir em frente — é conseguir explicar, se alguém perguntar, por que aquele contato específico recebeu aquele email específico. Uma empresa de contabilidade que envia cold email para CFOs de empresas do porte que ela atende, num setor onde ela já tem cases, tem uma justificativa sólida. A mesma empresa mandando o mesmo email para estagiários de marketing de startups não tem.

Na prática, isso vira um filtro de qualidade que toda operação de outreach direcionado deveria ter de qualquer forma, por motivos comerciais: segmentar por cargo, porte de empresa e setor não é só compliance, é o que faz a campanha converter. A Mariana, que lidera geração de leads numa consultoria de médio porte em São Paulo, resume bem: "a gente segmenta tanto por LGPD quanto porque email genérico simplesmente não responde".

Erros que realmente colocam a operação em risco

O risco real de compliance em cold email B2B quase nunca está na primeira abordagem em si — está no que acontece depois dela. Continuar mandando email para quem já pediu para sair é o erro mais comum e mais evitável, geralmente porque o pedido de descadastro caiu num email pessoal do SDR e nunca chegou numa lista de supressão central.

Outro erro recorrente é comprar bases de contatos sem nenhuma origem rastreável — listas genéricas vendidas em fóruns ou grupos, sem informação de onde os dados vieram nem quando foram coletados. Sem rastreabilidade da origem, fica impossível sustentar qualquer base legal se alguém questionar. E o terceiro erro é tratar CRM de vendas como um repositório eterno: guardar contato de quem nunca respondeu, nunca converteu e já pediu para sair, por anos, sem nenhum critério de retenção.

Checklist antes de disparar qualquer campanha

Antes de qualquer campanha de cold email B2B sair, vale rodar uma checagem rápida que cobre tanto compliance quanto qualidade — as duas coisas, na prática, andam juntas.

• O remetente está identificado com nome, empresa e forma de contato verificável?
• A lista foi segmentada por cargo, setor ou porte — existe uma razão clara para esse contato receber esse email?
• Existe link ou instrução de opt-out visível, e esse opt-out realmente cai numa lista de supressão central?
• A lista de supressão está atualizada com pedidos anteriores, inclusive os que chegaram por resposta direta, não só pelo link?
• Existe um prazo definido de retenção para contatos que nunca engajaram, em vez de manter tudo indefinidamente no CRM?

Como a LDM trata isso na prática

Na LDM, toda campanha de cold email B2B roda sobre uma base única de supressão que vale para todos os disparos futuros do tenant — uma vez que um contato pede para sair, ele não volta a receber nada, de nenhuma campanha, mesmo que outro SDR do time monte uma lista nova sem saber do pedido anterior. Isso resolve na raiz o erro mais comum e mais caro do tópico anterior.

Além disso, a plataforma força segmentação por cargo e setor antes de liberar o disparo, o que ajuda a sustentar legítimo interesse como base legal e, de quebra, melhora a taxa de resposta — porque email relevante converte mais do que email genérico, com ou sem LGPD no meio.

Perguntas frequentes