A pergunta mais comum em 2026 entre quem faz email marketing B2B no Brasil é: "Posso comprar uma lista de empresas e disparar email sem violar a LGPD?" A resposta curta é sim, mas com condições. A resposta longa é o que você vai aprender neste guia.
Aqui vamos cobrir, sem juridiques, exatamente o que a LGPD permite, o que ela proíbe, e como manter sua operação de prospecção 100% dentro da lei. Sem isso, em 2026 você corre risco real de multa da ANPD.
O Que é a LGPD (em 2 parágrafos)
A Lei Geral de Proteção de Dados (Lei 13.709/2018) entrou em vigor em 2020 e define como empresas podem coletar, armazenar, tratar e usar dados pessoais de cidadãos brasileiros. A fiscalização fica a cargo da ANPD (Autoridade Nacional de Proteção de Dados).
Em 2024-2025, a ANPD passou de "modo educativo" para fiscalização real, aplicando multas de até R$ 50 milhões ou 2% do faturamento. Desde 2023 a ANPD já aplicou sanções públicas, e a fiscalização sobre uso de dados em prospecção vem se intensificando.
A LGPD Se Aplica ao B2B?
Sim. A LGPD se aplica a TODOS os dados pessoais, incluindo aqueles de pessoas que trabalham em empresas. Mesmo que você envie email para "ana@empresa.com.br", esse é um dado pessoal da Ana — e portanto, protegido pela LGPD.
Isso quer dizer que prospecção B2B está proibida? Não. A LGPD permite o uso de dados pessoais sob 10 bases legais diferentes. Para email marketing B2B, a base legal mais usada é o interesse legítimo.
As 10 Bases Legais da LGPD e Quais Servem para B2B
O artigo 7º da LGPD lista 10 bases legais (também chamadas de "hipóteses de tratamento") sob as quais uma empresa pode usar dados pessoais sem precisar de consentimento expresso. Conhecer essas bases é essencial para escolher a correta no contexto B2B.
Para prospecção B2B via email, as bases legais relevantes na prática são:
- Consentimento (art. 7º, I) — quando o titular preencheu formulário, fez opt-in ou autorizou explicitamente. Esta é a base mais "limpa" mas raramente disponível em prospecção cold;
- Cumprimento de obrigação legal (art. 7º, II) — quando o tratamento é exigido por lei (ex: emissão de nota fiscal). Não se aplica diretamente a prospecção;
- Execução de contrato (art. 7º, V) — quando o titular já é seu cliente. Não cobre prospecção a novos contatos;
- Interesse legítimo (art. 7º, IX) — a base mais usada em B2B, é o tema central deste guia.
As outras 6 bases (proteção da vida, tutela da saúde, exercício regular de direitos em processo, política pública, estudos de órgãos de pesquisa, proteção do crédito) raramente se aplicam ao contexto comercial de email marketing.
Interesse Legítimo: A Chave do B2B (e os 3 Testes da ANPD)
O artigo 7º, IX da LGPD permite o tratamento de dados pessoais quando há interesse legítimo do controlador (a empresa que usa os dados) e desde que isso não prejudique direitos fundamentais do titular dos dados.
Em janeiro de 2024, a ANPD publicou o Guia Orientativo: Hipóteses de Tratamento com Base no Legítimo Interesse, que define formalmente os 3 testes que devem ser aplicados antes de usar essa base legal:
1. Teste da Finalidade
O propósito do tratamento precisa ser legítimo, específico e explícito. Genericamente "expandir vendas" não basta — deve ser algo como "apresentar nossa solução de gestão de estoque a varejistas de São Paulo com mais de 10 funcionários".
2. Teste da Necessidade
Você só pode usar os dados mínimos necessários para atingir o objetivo. Se basta saber CNPJ e email, não colete CPF do sócio. Se basta endereço comercial, não armazene CEP residencial.
3. Teste do Balanceamento (Sopesamento)
O seu interesse comercial precisa superar ou pelo menos equilibrar os direitos do titular. Aqui entra a chamada expectativa razoável: o destinatário razoavelmente esperaria receber esse contato? Um diretor comercial que tem o email público no LinkedIn esperaria receber proposta B2B. Já o porteiro da empresa, listado nominalmente em algum cadastro, não esperaria.
Em outras palavras: você pode prospectar uma empresa B2B usando dados públicos do CNPJ desde que:
- Tenha uma finalidade legítima (oferecer produto/serviço relevante para o negócio do destinatário);
- Use dados mínimos necessários (não precisa do CPF do sócio para vender ERP);
- Garanta direitos do titular (descadastro fácil, transparência, acesso aos dados);
- Faça um balanceamento: o seu interesse comercial não pode prejudicar o destinatário.
Importante: Listas compradas que contêm dados públicos da Receita Federal (CNPJ, razão social, telefone declarado, email comercial) podem ser usadas sob interesse legítimo. Listas que contêm dados pessoais privados (CPF, telefone pessoal, dados raspados de redes sociais sem consentimento) NÃO podem.
Dados Públicos vs Privados: O Que Pode Estar na Sua Lista
Nem todo dado pessoal tem o mesmo peso na LGPD. A origem e a natureza dos dados determinam o risco de uso:
| Tipo de dado | Origem | Pode usar em B2B? |
|---|---|---|
| CNPJ, razão social | Receita Federal (público) | Sim |
| Email comercial (contato@, comercial@) | Site da empresa / Receita | Sim |
| Telefone comercial declarado | Cadastro público | Sim |
| Endereço comercial | Receita Federal | Sim |
| Email pessoal nominal (joao@empresa) | Site, LinkedIn público | Com cuidado |
| Nome de sócio | Receita Federal (público) | Sim, só dados divulgados |
| CPF | — | Não em prospecção |
| Telefone celular pessoal | — | Não sem consentimento |
| Dados scrapeados de redes sociais | Scraping não autorizado | Não |
| Dados sensíveis (saúde, religião, etc.) | — | Nunca sem consentimento expresso |
É legal comprar lista de emails de empresas?
Sim, pode ser legal, desde que a lista contenha dados de pessoa jurídica e o uso siga as regras da LGPD. A distinção central é esta: a LGPD protege dados pessoais (de pessoas físicas). Dados cadastrais de CNPJ (razão social, endereço comercial, telefone declarado, email de contato da empresa, como contato@ e comercial@) são dados públicos de pessoa jurídica, divulgados pela própria Receita Federal, e não se enquadram na definição de dado pessoal.
O cuidado começa quando a lista mistura dados de pessoas físicas: email nominal de um funcionário (ana@empresa.com.br), nome de sócio, telefone pessoal. Nesses casos a LGPD se aplica, e o uso em prospecção B2B depende da base legal do legítimo interesse (art. 7º, IX) — com finalidade documentada, dados mínimos e o teste de balanceamento explicado acima.
Em resumo, comprar lista de emails de empresas é legal quando:
- A origem dos dados é pública e documentada (base da Receita Federal, não scraping de redes sociais);
- Os contatos são emails comerciais de PJ ou, se nominais, o uso passa nos testes do legítimo interesse;
- Todo envio oferece opt-out (descadastro) fácil e visível, e pedidos de exclusão são atendidos — essa obrigação vale independentemente da base legal.
É exatamente esse o modelo da nossa lista de empresas com CNPJ: dados públicos da Receita Federal, sem CPF, sem telefone pessoal e sem dados raspados de redes sociais.
O Que VOCÊ PODE Fazer (LGPD-friendly)
- Comprar uma lista de empresas com CNPJ de fonte confiável que use dados públicos da Receita Federal;
- Enviar email para contatos comerciais (ex: comercial@empresa.com, contato@empresa.com);
- Enviar mensagem oferecendo um produto ou serviço relacionado ao negócio da empresa-alvo;
- Fazer follow-up educado (até 3-5 mensagens com intervalos);
- Manter registro da finalidade do contato e da base legal usada;
- Usar dados públicos de sócios divulgados oficialmente pela Receita.
O Que VOCÊ NÃO PODE Fazer (multa garantida)
- Comprar lista de CPFs e telefones pessoais sem consentimento;
- Disparar email sem link de descadastro visível;
- Ignorar pedidos de exclusão dos dados (titular pode pedir);
- Vender ou compartilhar a lista com terceiros;
- Usar dados raspados de redes sociais sem consentimento;
- Mandar email com aparência de transacional (ex: "Seu pedido foi recebido") quando não for;
- Continuar insistindo após pedido de descadastro;
- Coletar dados sensíveis sem consentimento explícito (saúde, religião, etnia, etc.).
Documentação Obrigatória: RAT e Encarregado
Não basta agir de acordo com a lei — você precisa documentar que age de acordo. Em caso de fiscalização, a ANPD vai pedir registros. Os dois documentos centrais são:
RAT — Registro de Atividades de Tratamento (art. 37)
Todo controlador deve manter um RAT listando: quais dados pessoais trata, para qual finalidade, qual base legal usa, quanto tempo retém, e com quem compartilha. Para email marketing B2B, o RAT da sua operação de prospecção deve ter ao menos:
- Categorias de dados (email, telefone, nome, cargo);
- Finalidade ("prospecção B2B de produto X para segmento Y");
- Base legal ("legítimo interesse, conforme art. 7º, IX, com balanceamento documentado");
- Prazo de retenção (ex: "12 meses sem interação, depois exclusão");
- Eventuais compartilhamentos (ex: "plataforma de email marketing X, ferramenta de CRM Y").
Encarregado (DPO) — art. 41
Toda empresa que trata dados pessoais deve indicar um Encarregado de Proteção de Dados, mesmo que seja um sócio ou funcionário acumulando função. O contato do Encarregado deve ser publicado no site (geralmente na política de privacidade). A Resolução ANPD nº 2/2022 trouxe simplificação para microempresas e startups, mas a obrigação básica permanece.
Para empresas que tratam grandes volumes ou dados sensíveis, ainda pode ser necessário um Relatório de Impacto a Proteção de Dados (RIPD/DPIA) — uma análise mais aprofundada de riscos.
ANPD em Ação: 2024-2026
Por anos a ANPD operou em "modo educativo". Isso mudou.
A Resolução ANPD nº 4/2023 formalizou o regramento de sanções e definiu as penalidades: advertência, multa simples de até R$ 50 milhões por infração (limitada a 2% do faturamento), multa diária, bloqueio dos dados, eliminação dos dados, suspensão parcial ou total das atividades de tratamento.
Em 2024, casos relevantes vieram a público:
- A ANPD aplicou sua primeira sanção monetária a uma empresa de telemarketing em julho de 2023 (multa por descumprimento de obrigações estabelecidas);
- Em 2024, a Autoridade emitiu várias decisões em casos envolvendo tratamento indevido de dados em prospecção e vazamentos de bases comerciais;
- A Resolução ANPD nº 15/2024 estabeleceu obrigatoriedade de comunicar incidentes de segurança em até 3 dias úteis;
- A criação da Coordenação-Geral de Fiscalização indica que 2025-2026 será marcado por crescimento expressivo na aplicação de multas.
O custo de não estar em compliance, portanto, deixou de ser teórico. Para detalhes oficiais, consulte gov.br/anpd.
Checklist LGPD para Email Marketing B2B
Antes do próximo disparo, verifique:
- Sua lista vem de fonte legítima (Receita Federal, opt-in próprio, ou plataforma com base pública)?
- O email tem link de descadastro em local visível?
- O remetente está claramente identificado?
- A finalidade do contato é compatível com a atividade da empresa-alvo?
- Você tem política de privacidade pública no seu site?
- Você processa pedidos de exclusão em até 15 dias?
- Você mantém registros dos dados que coletou e por que coletou (Registro de Atividades de Tratamento)?
- Você não compartilha a lista com terceiros sem consentimento?
Se respondeu "sim" para tudo, você está dentro da lei.
Exemplo Prático: O Que Mudar no Seu Email Hoje
Antes (problemático):
De: vendas@minhaempresa.com
Para: ana@empresa.com.br
Assunto: Conheca nosso produto incrivel!
Ola Ana, somos a MinhaEmpresa e queremos te apresentar
nosso produto X. Responde esse email para agendarmos uma call.Depois (LGPD-friendly):
De: ana@minhaempresa.com (com SPF/DKIM/DMARC)
Para: contato@empresa.com.br
Assunto: Pergunta rapida sobre [Empresa Alvo]
Ola, sou Ana da MinhaEmpresa.
Vi que [Empresa Alvo] atua no setor X aqui em Curitiba.
Nos ajudamos empresas como a sua a [beneficio especifico].
Faria sentido conversar 10 min essa semana?
Att, Ana
[Assinatura completa com endereco e telefone]
---
Para nao receber mais nossas mensagens, [clique aqui].
MinhaEmpresa Ltda - CNPJ XX.XXX.XXX/0001-XX
[Link da Politica de Privacidade]A diferença parece pequena, mas é enorme do ponto de vista legal.
Perguntas Frequentes sobre LGPD em Email Marketing B2B
Preciso de consentimento expresso para enviar email B2B?
Não obrigatoriamente. A base legal interesse legítimo (art. 7º, IX) permite contato comercial inicial sem consentimento prévio, desde que você documente a finalidade, use dados mínimos e ofereça descadastro fácil.
Posso usar dados de sócios listados na Receita Federal?
Sim, desde que use apenas os dados que a Receita divulga publicamente (nome do sócio, qualificação, participação societária quando aplicável). Não pode buscar CPF, telefone pessoal ou endereço residencial desses sócios.
Quanto tempo posso reter a lista que comprei?
A LGPD não fixa prazo, mas exige que a retenção seja proporcional a finalidade. Para prospecção B2B, um prazo de 12-24 meses sem interação é considerado razoável. Depois disso, ou o contato responde, ou os dados devem ser eliminados.
O que acontece se eu ignorar um pedido de descadastro?
A LGPD garante ao titular o direito de oposição (art. 18, § 2º). Ignorar é violação direta da lei e pode gerar reclamação à ANPD, com risco de sanção. Processe pedidos de descadastro em até 15 dias e mantenha registro do atendimento.
Lista de prospects que recebo de parceiro está OK?
Depende. Você precisa saber a origem dos dados e se o parceiro pode compartilhar (LGPD exige que o titular saiba ou tenha autorizado o compartilhamento). Listas "vendidas" entre empresas sem cadeia clara de origem são risco alto. Sempre prefira listas com origem documentada em fontes públicas (Receita Federal).
Conclusão: LGPD Não é Inimiga, é Aliada
A LGPD não impede o email marketing B2B. Ela profissionaliza o setor, eliminando práticas predatórias e premiando quem faz prospecção bem feita.
Quem faz tudo direito (lista de fonte legítima, mensagem relevante, descadastro funcionando) não tem nada a temer e ainda ganha credibilidade no mercado. Quem ignora a lei vai pagar caro nos próximos anos.
Quer começar uma operação de prospecção B2B 100% dentro da LGPD? Compre uma lista da DisparoemMassa — nossa base é construída sobre dados públicos da Receita Federal e é plenamente compatível com a LGPD para uso em prospecção com base no interesse legítimo.
Disclaimer: este artigo é informativo e não substitui a consulta a um advogado especializado em direito digital.
