E-mail frio é legal? LGPD, RGPD e CAN-SPAM

Este artigo é informação geral, não é parecer jurídico. As regras de marketing e de proteção de dados variam por país, mudam com o tempo e dependem das particularidades do seu negócio, da sua lista e da sua mensagem. Antes de rodar uma operação de prospecção fria em qualquer escala, peça a um advogado qualificado em cada mercado-alvo que revise o que você pretende fazer.

«E-mail frio é legal?» é a pergunta errada, porque a resposta depende inteiramente de onde está o destinatário. No Brasil, a prospecção B2B apoiada em legítimo interesse é viável na prática, desde que você consiga explicar a origem dos dados e ofereça descadastro claro. Nos Estados Unidos, o mesmo e-mail é lícito por padrão se você for honesto. Na Alemanha, sem consentimento prévio, é quase certamente ilícito. Na França, é aceitável com direito de oposição. Um e-mail, quatro desfechos jurídicos diferentes.

Este guia percorre os principais regimes em linguagem simples: o que de fato se aplica ao B2B, onde estão as exceções, quais são suas obrigações de descadastro e quais práticas estão em zona cinzenta de verdade em vez de serem claramente seguras.

Brasil: LGPD e o que mais se aplica

O Brasil não tem uma lei antispam dedicada equivalente ao CAN-SPAM norte-americano. O que existe é um conjunto de camadas.

A LGPD (Lei 13.709/2018) é a peça central e segue de perto a arquitetura do RGPD europeu. Coletar um e-mail corporativo nominal, guardá-lo num CRM e usá-lo para contato são operações de tratamento e exigem base legal. Para prospecção B2B, a base usual é o legítimo interesse (artigo 7º, IX), que a própria lei condiciona a finalidades legítimas e concretas, ao teste de necessidade e à observância dos direitos e liberdades do titular. Na prática você deve conseguir demonstrar:

• Finalidade específica — a oferta é relevante para a função profissional daquela pessoa, não um disparo genérico.
• Necessidade — você trata apenas os dados mínimos para o contato, não um perfil completo.
• Expectativa legítima do titular — um gerente de compras espera abordagem de fornecedores; um estagiário cujo e-mail você raspou de uma página de evento, não.

Além da base legal, a LGPD impõe transparência (o titular tem direito de saber a origem dos dados e a finalidade), direito de oposição ao tratamento fundado em legítimo interesse, além de acesso, correção e eliminação. Isso significa, na prática, que sua primeira mensagem deve conseguir responder «como você conseguiu meu e-mail?» e que seus sistemas precisam excluir alguém quando solicitado. A ANPD vem ampliando gradualmente sua atuação fiscalizatória.

Ao lado da LGPD, o Código de Defesa do Consumidor e os códigos de autorregulamentação do setor de marketing direto reforçam a exigência de identificação do remetente e de mecanismo de descadastro simples. E há um ponto que muitos ignoram: dados de pessoa jurídica — CNPJ, endereço da empresa, telefone geral, contato@ — não são dados pessoais e ficam fora do escopo da LGPD, mas o e-mail nominal de um funcionário é dado pessoal ainda que corporativo. Essa distinção é a mais útil no dia a dia da prospecção brasileira.

As duas famílias de regras

Quase toda jurisdição cai em um de dois campos, e saber em qual campo um país está já responde a maior parte.

• Regimes de opt-out. Você pode enviar a primeira mensagem comercial sem permissão prévia, desde que se identifique honestamente, não disfarce a mensagem e ofereça uma forma funcional de parar de receber. Os Estados Unidos são o exemplo mais claro.
• Regimes de consentimento (opt-in). É preciso base lícita antes da primeira mensagem: consentimento expresso, relação comercial existente ou, na UE, legítimo interesse combinado com a regra nacional. Alemanha, Canadá e Rússia ficam no extremo rígido.

Uma segunda distinção atravessa os dois campos: o tipo de endereço. Uma caixa corporativa genérica costuma ser tratada com mais tolerância do que um endereço nominal como nome.sobrenome@empresa.com, porque o segundo é dado pessoal de pessoa identificável em quase toda legislação. Em vários países isso pesa mais do que o rótulo B2B ou B2C.

União Europeia: RGPD mais ePrivacy, e os países divergem

O erro mais comum é achar que «conformidade com o RGPD» resolve a Europa. É metade do problema: há duas camadas empilhadas.

Camada um: o RGPD

O RGPD define se você pode tratar os dados. Para B2B, a base usual é o legítimo interesse (artigo 6.º, 1, f), e os considerandos reconhecem expressamente que marketing direto pode configurar interesse legítimo. Não é passe livre: exige-se um teste de ponderação documentado, com interesse concreto, tratamento necessário e proporcional, e direitos e expectativas razoáveis do destinatário não prevalecendo. Somam-se a transparência (o artigo 14.º obriga a informar a origem dos dados quando não foram obtidos junto ao titular), o direito de oposição ao marketing direto, que é absoluto, e os direitos de acesso e apagamento.

Camada dois: ePrivacy, transposta de forma diferente

A Diretiva ePrivacy trata especificamente das comunicações eletrónicas não solicitadas e, por ser diretiva, cada Estado-Membro escreveu a sua própria lei. A regra padrão é consentimento prévio para e-mail de marketing a pessoas singulares, com exceção para clientes existentes. O tratamento das pessoas coletivas ficou a cargo de cada país, e as escolhas divergiram:

• Alemanha é o mercado grande mais rígido. O § 7 da UWG exige consentimento prévio expresso para publicidade por e-mail, e a prática alemã estende isso a destinatários empresariais. Há uma exceção estreita para clientes existentes com condições cumulativas. E-mail frio para a Alemanha sem consentimento deve ser tratado como juridicamente arriscado.
• França adota linha mais praticável para B2B. A posição publicada da CNIL é que um profissional pode ser contactado no seu endereço profissional sobre assuntos da sua função sem consentimento prévio, desde que informado e com meio simples de se opor.
• Espanha soma a LSSI-CE ao RGPD: comunicações comerciais por e-mail exigem, em regra, consentimento ou relação contratual anterior sobre produtos semelhantes, a mensagem deve ser identificável como publicidade e conter descadastro. Existe o registo nacional de exclusão Lista Robinson.
• Países Baixos, Irlanda e Bélgica permitem e-mail B2B para endereços corporativos com opção de recusa, sob condições locais. Portugal segue o regime de consentimento prévio para pessoas singulares, admitindo em geral o contacto a pessoas coletivas com direito de oposição e registo nacional de oposição. A Itália aplica o RGPD de forma estrita.

Conclusão prática: não existe uma regra única da UE. Se a sua lista cobre oito países, você opera sob oito transposições nacionais. Segmentar por país e aplicar a regra mais estrita de cada segmento é a única abordagem consistentemente defensável.

Reino Unido

O Reino Unido manteve estrutura quase idêntica: UK GDPR e PECR. A exigência de consentimento do PECR aplica-se a «individual subscribers» — consumidores, empresários em nome individual e a maioria das sociedades de pessoas. E-mails para assinantes corporativos não exigem consentimento prévio, mas o UK GDPR continua a aplicar-se aos dados de qualquer pessoa identificada.

Estados Unidos: CAN-SPAM

O mercado grande mais permissivo e o mais mal compreendido. O CAN-SPAM não exige consentimento prévio, nem em B2C nem em B2B. Exige honestidade:

• Nada de cabeçalhos falsos ou enganosos. De, Para, Responder a e informações de roteamento devem identificar corretamente quem enviou.
• Nada de assuntos enganosos.
• Identificar a mensagem como publicidade quando for o caso.
• Incluir endereço postal físico válido da sua empresa.
• Oferecer mecanismo de descadastro claro e funcional, ativo por pelo menos 30 dias após o envio, sem exigir login, pagamento ou dados além do e-mail e das preferências.
• Atender ao descadastro em 10 dias úteis e não vender nem transferir o endereço de quem se descadastrou.

Dois pontos esquecidos: a responsabilidade alcança a empresa cujo produto é promovido, não apenas a agência que apertou enviar; e estados têm regras próprias — a CCPA/CPRA da Califórnia rege os dados pessoais subjacentes mesmo quando o envio cumpre o CAN-SPAM.

Canadá: CASL

A CASL alcança mensagens eletrónicas comerciais enviadas ao Canadá ou acedidas de lá, e baseia-se em consentimento. É preciso consentimento expresso (opt-in registado) ou consentimento implícito, que surge em hipóteses limitadas: relação comercial existente, tipicamente com janela de dois anos a contar da transação ou seis meses a contar de uma consulta; ou publicação conspícua do endereço, publicado abertamente sem aviso de recusa a mensagens não solicitadas e com a mensagem relevante para a função do destinatário. As duas condições são cumulativas.

Toda mensagem deve identificar o remetente, trazer contatos válidos por 60 dias e descadastro funcional atendido em 10 dias úteis. O ónus de provar o consentimento é de quem envia.

Outros mercados relevantes

Índia — Lei DPDP

A Lei de Proteção de Dados Pessoais Digitais de 2023 é estruturalmente mais rígida que o RGPD num ponto: assenta em consentimento mais uma lista estreita de «usos legítimos», sem base ampla de legítimo interesse ao estilo europeu. Dados de contacto profissional de pessoa identificada continuam a ser dados pessoais. A regulamentação e a fiscalização entram em vigor por etapas, então as obrigações exatas para marketing B2B ainda estão a assentar. A leitura conservadora é apoiar-se em consentimento ou relação anterior documentada.

Emirados Árabes Unidos e Arábia Saudita

A lei federal de proteção de dados dos EAU e a PDPL saudita são orientadas ao consentimento e tratam expressamente do marketing direto, exigindo em geral consentimento e mecanismo de recusa. Os EAU têm ainda regimes de zona franca (DIFC e ADGM) com leis próprias, de modo que a lei aplicável depende de onde está estabelecida a entidade destinatária. A tendência regional é de aperto.

Rússia

Duas leis operam juntas. A Lei Federal 152-FZ rege dados pessoais e exige base legal — na prática, consentimento — com obrigações de localização. Em paralelo, o artigo 18 da Lei Federal «sobre Publicidade» proíbe distribuir publicidade por redes de telecomunicações sem consentimento prévio do assinante ou destinatário, com ónus da prova sobre o anunciante.

Austrália

O Spam Act baseia-se em consentimento mas admite consentimento inferido quando um endereço de trabalho está publicado de forma conspícua e a mensagem é relevante para a função da pessoa — estrutura próxima da regra canadiana.

Onde há zona cinzenta de verdade

Aqui uma resposta honesta vale mais que uma confiante. Várias práticas comuns não estão claramente permitidas:

• Raspagem em massa de e-mails nominais de trabalho para destinatários na UE ou no Brasil. Legítimo interesse sustenta mal a coleta massiva, e «estava público» não é, por si só, base legal.
• Adivinhação de endereços por padrão (deduzir nome.sobrenome@ de uma convenção). Você cria dado pessoal por inferência e não pode alegar que estava publicado.
• Se o aviso de origem dos dados cabe no primeiro e-mail. A prática comum é uma linha curta mais link para a política de privacidade; se isso esgota a obrigação em todos os casos não está definitivamente resolvido.
• Mensagens no LinkedIn e plataformas similares. A lei de dados rege os dados; os termos da plataforma regem a sua conta, e o banimento independe da legalidade.
• Enriquecimento automático de contatos raspados. Combinar fontes para perfilar uma pessoa aumenta a intrusividade e pesa contra você na ponderação.

Se um fornecedor garante que algo disso é indiscutivelmente permitido em todo lugar, isso é argumento de venda, não parecer jurídico.

Checklist prático de conformidade

Nada disso torna a prospecção fria impossível — torna cara a prospecção fria desleixada. O que segue se sustenta na maioria dos regimes:

1. Segmente a lista por país e aplique a regra mais estrita de cada segmento. Uma política global calibrada pelo mercado mais permissivo é o caminho clássico para o problema.
2. Prefira endereços corporativos genéricos (contato@, vendas@, compras@) a nominais em regimes de consentimento.
3. Identifique-se por completo: nome real do remetente, empresa real, endereço físico real, assunto honesto.
4. Inclua descadastro funcional em toda mensagem — um clique ou uma resposta, sem login, sem custo, sem formulário perguntando o motivo.
5. Atenda descadastros rápido. O máximo legal costuma ser 10 dias úteis; mire em imediato e automático.
6. Mantenha lista de supressão permanente que sobreviva a trocas de CRM, migrações de ferramentas e reimportações.
7. Registre a origem de cada contato — de onde veio o endereço, quando e por que você o considerou relevante. Sob a LGPD, o RGPD e a CASL, quem precisa explicar é você.
8. Diga de onde vieram os dados na primeira mensagem e aponte para um aviso de privacidade.
9. Não use endereços pessoais raspados em regimes de consentimento — Alemanha, Canadá, Índia, Golfo, Rússia.
10. Mantenha volumes humanos. Envios pequenos e bem direcionados são mais defensáveis juridicamente e mais eficazes comercialmente.

Boa parte dessa lista é simplesmente boa prática: uma base limpa de empresas relevantes, com a origem de cada contato registrada, se defende melhor e responde mais do que um monte de endereços raspados. Se você monta listas a partir de dados de mapas, registros de empresas e sites públicos, ferramentas como JustLeadIt mantêm visível a fonte de cada registro — exatamente o que você precisa quando alguém perguntar de onde saíram os dados dele.

Resumo

No Brasil, prospecção B2B por legítimo interesse é viável com transparência sobre a origem dos dados e descadastro claro, e dados de pessoa jurídica ficam fora da LGPD. Nos Estados Unidos é lícita com honestidade e descadastro real. Em boa parte da UE funciona sob legítimo interesse, mas a Alemanha é um não sem consentimento. Canadá, Índia, Golfo e Rússia devem ser tratados como mercados de consentimento prévio. Em todo lugar o mínimo é o mesmo: transparência, descadastro funcional, supressão rápida e registro da origem dos dados — e em todo lugar um advogado que conheça o seu mercado vale mais do que um artigo, inclusive este.