Posso mandar promoção por WhatsApp e e-mail? O que a LGPD permite

6 de agosto de 2026LGPD de Todos13 min de leitura

Para os seus próprios clientes, na maioria dos casos pode, e sem pedir consentimento. A LGPD diz, no Art. 10, I, que o legítimo interesse pode fundamentar o apoio e a promoção das atividades da empresa, e a ANPD tem um exemplo publicado aprovando exatamente o envio de promoções por e-mail. O que muda o resultado não é o clique em um aceite: é de onde veio o contato, o que você manda e se dá um jeito fácil de sair.

Essa é a pergunta que mais chega, e a resposta que circula por aí atrapalha. "Precisa de consentimento" virou frase pronta, e ela é simplificação em dois sentidos. Primeiro porque consentimento não é a única porta. Segundo, e mais grave, porque empurra todo mundo para a base legal mais frágil que existe, a que a pessoa pode desfazer amanhã e que costuma nascer inválida.

1. A lei já diz que promover é interesse legítimo

O Art. 10 da LGPD lista, como finalidade que o legítimo interesse pode sustentar, o "apoio e promoção de atividades do controlador". Está na letra da lei, no primeiro inciso, e é a frase que quase nunca aparece nos textos que dizem que marketing exige consentimento.

O legítimo interesse é a hipótese do Art. 7º, IX: o tratamento pode ser feito quando necessário para atender aos interesses legítimos do controlador, exceto quando prevalecerem direitos e liberdades fundamentais do titular. Ou seja, ele não é um passe livre, é uma ponderação. Mas é uma ponderação que a lei já começou a favor de quem quer divulgar o próprio negócio.

E não é leitura nossa. No Guia Orientativo sobre legítimo interesse, de fevereiro de 2024, a ANPD analisa um caso concreto de envio de promoções e conclui que a base se sustenta. Vale ver o que pesou na análise, porque é uma receita:

Guarde os quatro elementos dessa lista, porque eles são o roteiro do resto deste texto: relação prévia, promoção do que é seu, base que não sai para terceiros, e saída fácil.

2. Por que pedir consentimento pode piorar a sua situação

Um consentimento mal pedido é nulo, e quem apostou tudo nele fica sem base nenhuma. O legítimo interesse, ao contrário, não depende de um clique que alguém pode ter dado sem ver.

A LGPD é dura com o consentimento, e por um bom motivo: ele só vale se for uma escolha de verdade. Quatro regras do Art. 8º costumam ser ignoradas justamente por quem acha que está sendo cauteloso ao pedir consentimento para tudo:

• autorização genérica é nula (§ 4º). O consentimento precisa se referir a finalidades determinadas. Um "concordo com os termos" que engloba receber promoção não sustenta o envio
• se for por escrito, tem que estar em cláusula destacada (§ 1º), e não diluído no meio do contrato
• a prova é sua (§ 2º). Cabe ao controlador demonstrar que o consentimento foi obtido conforme a lei, o que significa guardar quando, como e para quê
• ele pode ser revogado a qualquer momento (§ 5º), por procedimento gratuito e facilitado

Junte as quatro e o desenho fica claro. Pedir consentimento cria uma obrigação de guarda de prova, um risco de nulidade e uma base que evapora quando a pessoa muda de ideia. Para uma promoção mandada à sua própria carteira de clientes, isso é trabalho a mais para chegar a um lugar pior.

3. Legítima expectativa: os quatro fatores

A legítima expectativa é o coração do legítimo interesse, e ela vem do Art. 10, II. A pergunta que ela faz é simples: era razoável que aquela pessoa esperasse receber isso de você?

O Guia da ANPD explica que o controlador precisa "avaliar e ser capaz de demonstrar que o tratamento dos dados pessoais para a finalidade pretendida é, razoavelmente, o esperado pelos titulares naquele contexto". E lista os fatores que ajudam nessa avaliação:

Um alerta importante, e ele vem de outro exemplo do mesmo Guia: informar não é a mesma coisa que criar expectativa. Ao analisar um caso de monitoramento de funcionários, a ANPD diz que o tratamento contraria a legítima expectativa "mesmo que esta atividade possa ter sido previamente informada e constar da política de privacidade". Ou seja, escrever na política que você pode mandar o que quiser não resolve sozinho.

E o contrário também aparece. Em um exemplo de publicidade dirigida a crianças, a Autoridade aponta que não havia legítima expectativa de uso publicitário "inclusive porque nada é informado a respeito". A transparência não é suficiente, mas a falta dela conta contra.

4. O teste que a ANPD pede, e que cabe em uma página

Quem usa legítimo interesse precisa ter feito um teste de balanceamento, e ele não precisa ser longo. O Guia diz, com essas palavras, que "em algumas circunstâncias, o teste pode ser breve ou simplificado, como nos casos em que é claramente identificada a existência de baixo impacto aos direitos dos titulares".

Essa frase merece destaque porque o medo do documento gigante é o que faz a maioria desistir e simplesmente mandar a campanha sem análise nenhuma. Mandar uma promoção para a própria base, com opção de saída, é o exemplo clássico de baixo impacto.

O teste tem três fases, e cada uma é uma pergunta:

• Finalidade. Para que serve esse envio, e o interesse é legítimo? Aqui entra uma trava: o legítimo interesse não vale para dado sensível. Campanha segmentada por condição de saúde, por religião ou por opinião política sai desta base
• Necessidade. Você está usando só o que precisa? O Art. 10, § 1º manda tratar "somente os dados pessoais estritamente necessários". Para mandar uma promoção você precisa de nome e contato, não de CPF, endereço e data de nascimento
• Balanceamento e salvaguardas. Que risco isso cria para a pessoa, e o que você faz para reduzir? É onde entram o descadastramento, a frequência razoável e não passar a base adiante

5. A lista comprada

A lista que você comprou é o cenário em que quase tudo joga contra. E aqui vale um aviso de honestidade: o Guia da ANPD não trata de base comprada. O raciocínio abaixo parte da lei e dos fatores que a própria Autoridade listou.

Comece pela legítima expectativa. Quem nunca teve contato com a sua empresa não espera receber a sua promoção, e o fator "origem dos dados" é exatamente o que o Guia manda olhar. Some a isso o Art. 9º, que dá ao titular o direito de saber a finalidade do tratamento e a identificação do controlador de forma clara e ostensiva. Com uma lista comprada, você normalmente não consegue nem responder de onde veio aquele telefone.

E existe uma confusão que vale desfazer. Quando o vendedor da lista diz que "as pessoas consentiram", o consentimento que ele porventura tenha coletado foi dado a ele, para as finalidades dele. O Art. 8º, § 4º diz que autorizações genéricas são nulas, então um aceite amplo que serviria para qualquer empresa do mundo não resolve nada. A base não vem junto com o arquivo.

O mesmo raciocínio vale para o contato "achado" na internet. Dado de acesso público não é dado livre: o Art. 7º, § 3º manda considerar a finalidade, a boa-fé e o interesse público que justificaram a publicação. O telefone que a empresa publicou para receber pedido de orçamento não foi publicado para entrar na sua campanha.

6. Dois erros de execução que ninguém escreve

Dá para acertar a base legal inteira e estragar tudo na hora de apertar o botão. Estes dois aparecem toda semana, e nenhum dos dois é sobre documento.

O primeiro é o grupo de WhatsApp. Quando você junta os clientes em um grupo para mandar promoção, o telefone de cada um fica visível para todos os outros. Isso é compartilhamento de dado pessoal entre pessoas que não se conhecem, ninguém autorizou, e nenhuma base legal cobre, porque não é necessário para finalidade nenhuma: a promoção seria entregue igual sem isso. A lista de transmissão faz o mesmo trabalho e cada pessoa recebe sozinha. É a diferença entre duas opções do mesmo aplicativo, e ela separa uma campanha comum de um vazamento pequeno feito de propósito.

O segundo é subir a lista de clientes para a plataforma de anúncio. Aquele recurso de público personalizado, em que você envia os contatos para a rede social encontrar pessoas parecidas, é uso compartilhado de dados com terceiro. O Art. 9º, V exige que o titular seja informado sobre o compartilhamento e a finalidade, e o Art. 18, VII lhe dá o direito de perguntar com quem os dados foram compartilhados. Não é proibido, mas é outra finalidade, com outro risco, e não está coberto pelo teste que você fez para mandar e-mail.

7. O descadastramento não é gentileza

A opção de sair é o que segura a sua base legal de pé. No exemplo aprovado pela ANPD, o descadastramento aparece nomeado como salvaguarda, e é ela que compensa o risco no balanceamento.

Aqui cabe uma precisão que quase todo texto erra. A LGPD não tem um artigo que crie um direito incondicional de se opor a marketing, como existe na lei europeia. O Art. 18, § 2º fala em oposição ao tratamento feito sem consentimento "em caso de descumprimento ao disposto nesta Lei". Quem afirma que a lei brasileira garante opt-out em qualquer hipótese está descrevendo outra legislação.

Mas o resultado prático é o mesmo, por um caminho diferente, e vale entender o caminho. Ignorar quem pediu para sair contraria frontalmente a legítima expectativa daquela pessoa, e a legítima expectativa é requisito do Art. 10, II. Sem ela, o tratamento perde a base, e um tratamento sem base é descumprimento da lei, que é justamente o que abre a porta do Art. 18, § 2º. Insistir não é só falta de educação: é serrar o galho em que a sua campanha está sentada.

Na prática, três coisas resolvem. Um jeito de sair em toda mensagem, e não escondido no rodapé em cinza claro. Uma saída que funcione de verdade, sem exigir login ou ligação. E o registro de quem saiu e quando, porque a pessoa que pediu para sair em março e voltou a receber em maio é o começo de uma reclamação na ANPD.

Se o que você quer é organizar de onde vem cada contato antes de disparar qualquer coisa, o caminho é o registro das operações, explicado em RoPA para pequena empresa. E se a sua dúvida é sobre o consentimento do site, e não o das mensagens, o assunto está em Banner de cookies na LGPD.

8. Perguntas frequentes

Preciso de consentimento para mandar promoção para os meus clientes?

Em geral, não. O Art. 10, I da LGPD diz que o legítimo interesse pode fundamentar o apoio e a promoção de atividades do controlador, e o Guia da ANPD sobre legítimo interesse traz um exemplo em que o envio de promoções por e-mail e por notificação no aplicativo é considerado adequado. O que pesou ali foi a relação prévia com as pessoas, o uso só dos dados necessários, o não compartilhamento da base com terceiros e a existência de um mecanismo de descadastramento nas próprias mensagens.

Posso usar uma lista de contatos que comprei?

É muito difícil sustentar. O Guia da ANPD não trata de base comprada, mas coloca entre os fatores da legítima expectativa a fonte e a forma da coleta, isto é, se os dados vieram direto do titular, de terceiros ou de fontes públicas. Quem nunca teve contato com você não espera receber a sua promoção, e você ainda fica sem conseguir informar de onde veio o dado, como manda o Art. 9º. Na prática, a lista comprada é o cenário em que o teste de balanceamento tende a concluir contra o envio.

Preciso fazer um documento para usar legítimo interesse?

Precisa ter feito a análise e conseguir mostrá-la, e ela não precisa ser longa. O Guia da ANPD diz que o teste de balanceamento é boa prática e medida recomendável, e que em algumas circunstâncias ele pode ser breve ou simplificado, quando o impacto sobre os titulares é claramente baixo. Para uma promoção enviada à própria base de clientes, com opção de saída, a análise cabe em uma página. O que não cabe é não existir.

Mandar promoção em grupo de WhatsApp é problema?

É, e é dos maiores. No grupo, o telefone de cada cliente fica visível para todos os outros, o que é um compartilhamento de dado pessoal que ninguém autorizou e que nenhuma base legal cobre, porque não é necessário para nada. A lista de transmissão resolve: cada pessoa recebe a mensagem individualmente e não vê quem mais recebeu. É a diferença entre duas opções do mesmo aplicativo.

E se a pessoa pedir para parar de receber?

Você para, e registra que parou. A LGPD não tem um artigo que crie um direito incondicional de oposição a marketing, como existe na lei europeia: o Art. 18, § 2º fala em oposição quando há descumprimento da lei. Só que insistir depois do pedido destrói justamente a legítima expectativa que sustentava o seu legítimo interesse, e um tratamento que perde a base vira irregular. Por isso o descadastramento não é gentileza, é a salvaguarda que mantém a sua base de pé.

Como usar o WhatsApp da empresa dentro da LGPD?

Quatro regras resolvem quase tudo. Número da empresa, não o pessoal, para o dado do cliente não viver no celular de alguém. Lista de transmissão em vez de grupo, porque no grupo cada cliente vê o telefone dos outros, e isso é compartilhamento que nenhuma base cobre. Só quem já é cliente ou consentiu, com a base legal registrada; lista comprada não entra. E um jeito fácil de sair, respeitado na hora: quem pede para parar sai da lista, e o pedido fica anotado. O resto, como o que dizer no aviso de privacidade sobre esse uso, deriva dessas quatro.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 6º, 7º, 8º, 9º, 10 e 18 · ANPD, Guia Orientativo sobre hipóteses legais de tratamento de dados pessoais: Legítimo Interesse, versão 1.0, fevereiro de 2024

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.