A pergunta mais comum em 2026 entre quem faz email marketing B2B no Brasil e: "Posso comprar uma lista de empresas e disparar email sem violar a LGPD?" A resposta curta e sim, mas com condicoes. A resposta longa e o que voce vai aprender neste guia.
Aqui vamos cobrir, sem juridiques, exatamente o que a LGPD permite, o que ela proibe, e como manter sua operacao de prospeccao 100% dentro da lei. Sem isso, em 2026 voce corre risco real de multa da ANPD.
O Que e a LGPD (em 2 paragrafos)
A Lei Geral de Protecao de Dados (Lei 13.709/2018) entrou em vigor em 2020 e define como empresas podem coletar, armazenar, tratar e usar dados pessoais de cidadaos brasileiros. A fiscalizacao fica a cargo da ANPD (Autoridade Nacional de Protecao de Dados).
Em 2024-2025, a ANPD passou de "modo educativo" para fiscalizacao real, aplicando multas de ate R$ 50 milhoes ou 2% do faturamento. Desde 2023 a ANPD já aplicou sanções públicas, e a fiscalização sobre uso de dados em prospecção vem se intensificando.
A LGPD Se Aplica ao B2B?
Sim. A LGPD se aplica a TODOS os dados pessoais, incluindo aqueles de pessoas que trabalham em empresas. Mesmo que voce envie email para "ana@empresa.com.br", esse e um dado pessoal da Ana — e portanto, protegido pela LGPD.
Isso quer dizer que prospeccao B2B esta proibida? Nao. A LGPD permite o uso de dados pessoais sob 10 bases legais diferentes. Para email marketing B2B, a base legal mais usada e o interesse legitimo.
As 10 Bases Legais da LGPD e Quais Servem para B2B
O artigo 7º da LGPD lista 10 bases legais (tambem chamadas de "hipoteses de tratamento") sob as quais uma empresa pode usar dados pessoais sem precisar de consentimento expresso. Conhecer essas bases e essencial para escolher a correta no contexto B2B.
Para prospeccao B2B via email, as bases legais relevantes na pratica sao:
- Consentimento (art. 7º, I) — quando o titular preencheu formulario, fez opt-in ou autorizou explicitamente. Esta e a base mais "limpa" mas raramente disponivel em prospeccao cold;
- Cumprimento de obrigacao legal (art. 7º, II) — quando o tratamento e exigido por lei (ex: emissao de nota fiscal). Nao se aplica diretamente a prospeccao;
- Execucao de contrato (art. 7º, V) — quando o titular ja e seu cliente. Nao cobre prospeccao a novos contatos;
- Interesse legitimo (art. 7º, IX) — a base mais usada em B2B, e o tema central deste guia.
As outras 6 bases (protecao da vida, tutela da saude, exercicio regular de direitos em processo, politica publica, estudos de orgaos de pesquisa, protecao do credito) raramente se aplicam ao contexto comercial de email marketing.
Interesse Legitimo: A Chave do B2B (e os 3 Testes da ANPD)
O artigo 7º, IX da LGPD permite o tratamento de dados pessoais quando ha interesse legitimo do controlador (a empresa que usa os dados) e desde que isso nao prejudique direitos fundamentais do titular dos dados.
Em janeiro de 2024, a ANPD publicou o Guia Orientativo: Hipoteses de Tratamento com Base no Legitimo Interesse, que define formalmente os 3 testes que devem ser aplicados antes de usar essa base legal:
1. Teste da Finalidade
O proposito do tratamento precisa ser legitimo, especifico e explicito. Genericamente "expandir vendas" nao basta — deve ser algo como "apresentar nossa solucao de gestao de estoque a varejistas de Sao Paulo com mais de 10 funcionarios".
2. Teste da Necessidade
Voce so pode usar os dados minimos necessarios para atingir o objetivo. Se basta saber CNPJ e email, nao colete CPF do socio. Se basta endereco comercial, nao armazene CEP residencial.
3. Teste do Balanceamento (Sopesamento)
O seu interesse comercial precisa superar ou pelo menos equilibrar os direitos do titular. Aqui entra a chamada expectativa razoavel: o destinatario razoavelmente esperaria receber esse contato? Um diretor comercial que tem o email publico no LinkedIn esperaria receber proposta B2B. Ja o porteiro da empresa, listado nominalmente em algum cadastro, nao esperaria.
Em outras palavras: voce pode prospectar uma empresa B2B usando dados publicos do CNPJ desde que:
- Tenha uma finalidade legitima (oferecer produto/servico relevante para o negocio do destinatario);
- Use dados minimos necessarios (nao precisa do CPF do socio para vender ERP);
- Garanta direitos do titular (descadastro facil, transparencia, acesso aos dados);
- Faca um balanceamento: o seu interesse comercial nao pode prejudicar o destinatario.
Importante: Listas compradas que contem dados publicos da Receita Federal (CNPJ, razao social, telefone declarado, email comercial) podem ser usadas sob interesse legitimo. Listas que contem dados pessoais privados (CPF, telefone pessoal, dados raspados de redes sociais sem consentimento) NAO podem.
Dados Publicos vs Privados: O Que Pode Estar na Sua Lista
Nem todo dado pessoal tem o mesmo peso na LGPD. A origem e a natureza dos dados determinam o risco de uso:
| Tipo de dado | Origem | Pode usar em B2B? |
|---|---|---|
| CNPJ, razao social | Receita Federal (publico) | Sim |
| Email comercial (contato@, comercial@) | Site da empresa / Receita | Sim |
| Telefone comercial declarado | Cadastro publico | Sim |
| Endereco comercial | Receita Federal | Sim |
| Email pessoal nominal (joao@empresa) | Site, LinkedIn publico | Com cuidado |
| Nome de socio | Receita Federal (publico) | Sim, so dados divulgados |
| CPF | — | Nao em prospeccao |
| Telefone celular pessoal | — | Nao sem consentimento |
| Dados scrapeados de redes sociais | Scraping nao autorizado | Nao |
| Dados sensiveis (saude, religiao, etc.) | — | Nunca sem consentimento expresso |
É legal comprar lista de emails de empresas?
Sim, pode ser legal — desde que a lista contenha dados de pessoa jurídica e o uso siga as regras da LGPD. A distinção central é esta: a LGPD protege dados pessoais (de pessoas físicas). Dados cadastrais de CNPJ — razão social, endereço comercial, telefone declarado, email de contato da empresa (contato@, comercial@) — são dados públicos de pessoa jurídica, divulgados pela própria Receita Federal, e não se enquadram na definição de dado pessoal.
O cuidado começa quando a lista mistura dados de pessoas físicas: email nominal de um funcionário (ana@empresa.com.br), nome de sócio, telefone pessoal. Nesses casos a LGPD se aplica, e o uso em prospecção B2B depende da base legal do legítimo interesse (art. 7º, IX) — com finalidade documentada, dados mínimos e o teste de balanceamento explicado acima.
Em resumo, comprar lista de emails de empresas é legal quando:
- A origem dos dados é pública e documentada (base da Receita Federal, não scraping de redes sociais);
- Os contatos são emails comerciais de PJ ou, se nominais, o uso passa nos testes do legítimo interesse;
- Todo envio oferece opt-out (descadastro) fácil e visível, e pedidos de exclusão são atendidos — essa obrigação vale independentemente da base legal.
É exatamente esse o modelo da nossa lista de empresas com CNPJ: dados públicos da Receita Federal, sem CPF, sem telefone pessoal e sem dados raspados de redes sociais.
O Que VOCE PODE Fazer (LGPD-friendly)
- Comprar uma lista de empresas com CNPJ de fonte confiavel que use dados publicos da Receita Federal;
- Enviar email para contatos comerciais (ex: comercial@empresa.com, contato@empresa.com);
- Enviar mensagem oferecendo um produto ou servico relacionado ao negocio da empresa-alvo;
- Fazer follow-up educado (ate 3-5 mensagens com intervalos);
- Manter registro da finalidade do contato e da base legal usada;
- Usar dados publicos de socios divulgados oficialmente pela Receita.
O Que VOCE NAO PODE Fazer (multa garantida)
- Comprar lista de CPFs e telefones pessoais sem consentimento;
- Disparar email sem link de descadastro visivel;
- Ignorar pedidos de exclusao dos dados (titular pode pedir);
- Vender ou compartilhar a lista com terceiros;
- Usar dados raspados de redes sociais sem consentimento;
- Mandar email com aparencia de transacional (ex: "Seu pedido foi recebido") quando nao for;
- Continuar insistindo apos pedido de descadastro;
- Coletar dados sensiveis sem consentimento explicito (saude, religiao, etnia, etc.).
Documentacao Obrigatoria: RAT e Encarregado
Nao basta agir de acordo com a lei — voce precisa documentar que age de acordo. Em caso de fiscalizacao, a ANPD vai pedir registros. Os dois documentos centrais sao:
RAT — Registro de Atividades de Tratamento (art. 37)
Todo controlador deve manter um RAT listando: quais dados pessoais trata, para qual finalidade, qual base legal usa, quanto tempo retem, e com quem compartilha. Para email marketing B2B, o RAT da sua operacao de prospeccao deve ter ao menos:
- Categorias de dados (email, telefone, nome, cargo);
- Finalidade ("prospeccao B2B de produto X para segmento Y");
- Base legal ("legitimo interesse, conforme art. 7º, IX, com balanceamento documentado");
- Prazo de retencao (ex: "12 meses sem interacao, depois exclusao");
- Eventuais compartilhamentos (ex: "plataforma de email marketing X, ferramenta de CRM Y").
Encarregado (DPO) — art. 41
Toda empresa que trata dados pessoais deve indicar um Encarregado de Protecao de Dados, mesmo que seja um socio ou funcionario acumulando funcao. O contato do Encarregado deve ser publicado no site (geralmente na politica de privacidade). A Resolucao ANPD nº 2/2022 trouxe simplificacao para microempresas e startups, mas a obrigacao basica permanece.
Para empresas que tratam grandes volumes ou dados sensiveis, ainda pode ser necessario um Relatorio de Impacto a Protecao de Dados (RIPD/DPIA) — uma analise mais aprofundada de riscos.
ANPD em Acao: 2024-2026
Por anos a ANPD operou em "modo educativo". Isso mudou.
A Resolucao ANPD nº 4/2023 formalizou o regramento de sancoes e definiu as penalidades: advertencia, multa simples de ate R$ 50 milhoes por infracao (limitada a 2% do faturamento), multa diaria, bloqueio dos dados, eliminacao dos dados, suspensao parcial ou total das atividades de tratamento.
Em 2024, casos relevantes vieram a publico:
- A ANPD aplicou sua primeira sancao monetaria a uma empresa de telemarketing em julho de 2023 (multa por descumprimento de obrigacoes estabelecidas);
- Em 2024, a Autoridade emitiu varias decisoes em casos envolvendo tratamento indevido de dados em prospeccao e vazamentos de bases comerciais;
- A Resolucao ANPD nº 15/2024 estabeleceu obrigatoriedade de comunicar incidentes de seguranca em ate 3 dias uteis;
- A criacao da Coordenacao-Geral de Fiscalizacao indica que 2025-2026 sera marcado por crescimento expressivo na aplicacao de multas.
O custo de nao estar em compliance, portanto, deixou de ser teorico. Para detalhes oficiais, consulte gov.br/anpd.
Checklist LGPD para Email Marketing B2B
Antes do proximo disparo, verifique:
- Sua lista vem de fonte legitima (Receita Federal, opt-in proprio, ou plataforma com base publica)?
- O email tem link de descadastro em local visivel?
- O remetente esta claramente identificado?
- A finalidade do contato e compativel com a atividade da empresa-alvo?
- Voce tem politica de privacidade publica no seu site?
- Voce processa pedidos de exclusao em ate 15 dias?
- Voce mantem registros dos dados que coletou e por que coletou (Registro de Atividades de Tratamento)?
- Voce nao compartilha a lista com terceiros sem consentimento?
Se respondeu "sim" para tudo, voce esta dentro da lei.
Exemplo Pratico: O Que Mudar no Seu Email Hoje
Antes (problematico):
De: vendas@minhaempresa.com
Para: ana@empresa.com.br
Assunto: Conheca nosso produto incrivel!
Ola Ana, somos a MinhaEmpresa e queremos te apresentar
nosso produto X. Responde esse email para agendarmos uma call.Depois (LGPD-friendly):
De: ana@minhaempresa.com (com SPF/DKIM/DMARC)
Para: contato@empresa.com.br
Assunto: Pergunta rapida sobre [Empresa Alvo]
Ola, sou Ana da MinhaEmpresa.
Vi que [Empresa Alvo] atua no setor X aqui em Curitiba.
Nos ajudamos empresas como a sua a [beneficio especifico].
Faria sentido conversar 10 min essa semana?
Att, Ana
[Assinatura completa com endereco e telefone]
---
Para nao receber mais nossas mensagens, [clique aqui].
MinhaEmpresa Ltda - CNPJ XX.XXX.XXX/0001-XX
[Link da Politica de Privacidade]A diferenca parece pequena, mas e enorme do ponto de vista legal.
Perguntas Frequentes sobre LGPD em Email Marketing B2B
Preciso de consentimento expresso para enviar email B2B?
Nao obrigatoriamente. A base legal interesse legitimo (art. 7º, IX) permite contato comercial inicial sem consentimento previo, desde que voce documente a finalidade, use dados minimos e ofereca descadastro facil.
Posso usar dados de socios listados na Receita Federal?
Sim, desde que use apenas os dados que a Receita divulga publicamente (nome do socio, qualificacao, participacao societaria quando aplicavel). Nao pode buscar CPF, telefone pessoal ou endereco residencial desses socios.
Quanto tempo posso reter a lista que comprei?
A LGPD nao fixa prazo, mas exige que a retencao seja proporcional a finalidade. Para prospeccao B2B, um prazo de 12-24 meses sem interacao e considerado razoavel. Depois disso, ou o contato responde, ou os dados devem ser eliminados.
O que acontece se eu ignorar um pedido de descadastro?
A LGPD garante ao titular o direito de oposicao (art. 18, § 2º). Ignorar e violacao direta da lei e pode gerar reclamacao a ANPD, com risco de sancao. Processe pedidos de descadastro em ate 15 dias e mantenha registro do atendimento.
Lista de prospects que recebo de parceiro esta OK?
Depende. Voce precisa saber a origem dos dados e se o parceiro pode compartilhar (LGPD exige que o titular saiba ou tenha autorizado o compartilhamento). Listas "vendidas" entre empresas sem cadeia clara de origem sao risco alto. Sempre prefira listas com origem documentada em fontes publicas (Receita Federal).
Conclusao: LGPD Nao e Inimiga, e Aliada
A LGPD nao impede o email marketing B2B. Ela profissionaliza o setor, eliminando praticas predatorias e premiando quem faz prospeccao bem feita.
Quem faz tudo direito (lista de fonte legitima, mensagem relevante, descadastro funcionando) nao tem nada a temer e ainda ganha credibilidade no mercado. Quem ignora a lei vai pagar caro nos proximos anos.
Quer comecar uma operacao de prospeccao B2B 100% dentro da LGPD? Compre uma lista da DisparoemMassa — nossa base e construida sobre dados publicos da Receita Federal e e plenamente compativel com a LGPD para uso em prospeccao com base no interesse legitimo.
Disclaimer: este artigo e informativo e nao substitui a consulta a um advogado especializado em direito digital.
