A ANPD (Autoridade Nacional de Proteção de Dados) aplicou R$ 14,4 milhões em multas apenas no segundo semestre de 2025. Os casos incluem desde vazamentos por ausência de controles técnicos até operações de marketing baseadas em dados coletados sem consentimento válido.
O tema saiu do jurídico e chegou à mesa do CMO. E a boa notícia é que adaptar seu marketing à LGPD não significa parar de fazer marketing — significa fazer marketing melhor, com ativos de dados mais valiosos e processos mais defensáveis.
Neste guia, explicamos o que mudou na prática, como os principais canais de marketing são afetados, e como construir uma estratégia de dados compatível que, de quebra, melhora seus resultados.
O estado atual: o que a ANPD tem feito
A ANPD passou os primeiros anos (2020-2023) em fase de estruturação e publicação de resoluções. Em 2024 e 2025, a fase mudou: fiscalização ativa e multas.
Os casos de destaque envolveram:
- Operadoras de telecom multadas por compartilhamento de dados de localização sem consentimento para fins comerciais
- Plataformas de e-commerce autuadas por uso de dados comportamentais de menores sem verificação de idade
- Empresas de marketing penalizadas por uso de listas compradas de e-mail sem base legal documentada
A multa máxima por infração é de 2% do faturamento anual no Brasil, limitado a R$ 50 milhões. Para médias empresas com faturamento de R$ 20 a 50 milhões, isso representa risco real — não teórico.
Multa por violação à LGPD: até 2% do faturamento, limitado a R$ 50 milhões por infração. E as infrações de marketing costumam ser múltiplas (coleta indevida + uso indevido + compartilhamento indevido = 3 autos separados).
O que mudou nos principais canais de marketing
E-mail Marketing
Antes da LGPD: era prática comum comprar listas de e-mails ou usar base de dados coletados sem opt-in explícito.
Após a LGPD: toda comunicação por e-mail precisa de base legal documentada. As duas bases mais comuns para marketing são:
- Consentimento (Art. 7º, I): opt-in explícito, específico e registrado. "Aceito receber comunicações da empresa X sobre Y". O consentimento deve ser granular — aceitar receber newsletter não autoriza receber promoções.
- Legítimo interesse (Art. 7º, IX): pode ser usado para comunicações com leads ou clientes recentes (relação comercial pré-existente), desde que haja balanceamento de interesses documentado.
Listas compradas são ilegais sob a LGPD sem exceção. Quem forneceu o consentimento original para aquela lista não forneceu para você.
Cookies e Rastreamento
Terceiros estão morrendo: o Chrome prometeu (e adiou) o fim dos third-party cookies. Independente da data, a trajetória é clara. Firefox e Safari já bloqueiam por padrão. Apple's ATT reduziu o rastreamento mobile de forma irreversível.
O impacto prático: retargeting baseado em cookies de terceiros está progressivamente menos eficaz. Audiências de lookalike baseadas em pixel data são menos precisas. Atribuição cross-site quebrada.
O que a LGPD exige sobre cookies:
- Banner de consentimento com opt-in antes da instalação de cookies não essenciais
- Opção granular por categoria (analytics, marketing, funcionais)
- Registro do consentimento com timestamp e versão do aviso
- Opção de revogar consentimento tão fácil quanto concedê-lo
Soluções de Consent Management Platform (CMP) que cumprem a LGPD: OneTrust, Usercentrics, Cookiebot. Banners de "ao continuar navegando você aceita nossos cookies" não cumprem a lei.
Meta Ads e Google Ads
A coleta de dados via pixel (Meta Pixel, Google Tag) para segmentação e otimização de campanhas só é legal se o usuário consentiu com cookies de marketing. Sem consentimento, o pixel não pode disparar.
Isso não inviabiliza os anúncios — muda como os dados são coletados:
- Server-side tracking: enviar dados de conversão diretamente do servidor, sem depender de cookies de terceiros, usando a API de Conversões do Meta e o Google Ads Enhanced Conversions
- First-party data para audiências: construir audiências com dados próprios (CRM, e-mail hash) em vez de depender de pixel data
A estratégia central: First-Party Data
First-party data são dados coletados diretamente pelo seu relacionamento com clientes e prospects — com consentimento claro e finalidade declarada. É o ativo mais estratégico do marketing digital de 2026.
Por que é melhor que third-party data:
- Maior acurácia (é sobre seus clientes reais, não estimativas probabilísticas)
- Mais recente (atualizado em tempo real)
- Com contexto de intenção (você sabe o que o usuário fez no seu site, não apenas que ele existe)
- Com permissão (legalmente defensável)
- Exclusivo (seus concorrentes não têm o mesmo dado)
Empresas que constroem ativos de first-party data hoje estão construindo uma vantagem competitiva que vai durar décadas. As que dependem de dados de terceiros vão acordar um dia sem o alicerce do seu marketing.
Como construir sua base de first-party data
Formulários com opt-in explícito
Cada campo de formulário deve ter finalidade declarada. "Nome e e-mail para receber o e-book" é suficiente se o uso for só esse. Se quiser usar o dado para outras finalidades (campanhas de e-mail, segmentação), inclua um checkbox específico.
Boas práticas de UX que aumentam conversão e estão em conformidade:
- Checkbox pré-desmarcado (nunca pré-marcado)
- Linguagem simples e específica (evitar "aceito os termos e políticas")
- Progressive disclosure: só peça dados que vai usar de imediato
Conteúdo gated (materiais premium)
E-books, webinars, templates e relatórios exclusivos são trocas de valor: o usuário fornece dados em troca de conteúdo útil. É um modelo que funciona — a Hubspot construiu um banco de dados de dezenas de milhões de leads globalmente com essa estratégia.
O conteúdo precisa entregar o que prometeu. Um e-book raso criado só para coletar e-mail aumenta churn de lista e prejudica reputação.
Programas de fidelidade e benefícios
Para e-commerce e serviços com base de clientes recorrentes, programas de pontos e benefícios são mecanismos excelentes de coleta de dados comportamentais ricos — frequência de compra, categorias preferidas, sazonalidade.
O usuário consciente faz a troca: benefícios em troca de dados. É um modelo de consentimento implícito no qual o valor da troca é claro para ambos os lados.
Zero-party data: dados declarados voluntariamente
Uma tendência crescente em 2025-2026: perguntar diretamente ao usuário em vez de inferir. "Qual é o seu principal desafio hoje?" via quiz, onboarding personalizado ou pesquisa. O usuário fornece o dado voluntariamente em troca de personalização.
Zero-party data é o mais limpo de todos: consentimento óbvio, alta qualidade, alta intenção.
Stack tecnológica compatível com LGPD
Uma stack de marketing moderna que cumpre a LGPD:
- CMP: OneTrust ou Cookiebot para gestão de consentimento de cookies
- Server-side tagging: Google Tag Manager Server-Side ou Stape para enviar dados sem third-party cookies
- API de Conversões: Meta CAPI + Google Enhanced Conversions para manter qualidade de otimização mesmo sem pixel client-side
- CDP (Customer Data Platform): Segment ou RudderStack para unificar first-party data de múltiplas fontes com controle de consentimento
- E-mail marketing: RD Station, HubSpot ou ActiveCampaign com campos de consentimento e double opt-in
Para entender como estruturar o pipeline de dados que alimenta essa stack, veja nosso guia sobre data stack moderno.
Checklist de conformidade para marketing digital
Coleta de dados
- [ ] Banner de cookies com opt-in granular antes da instalação de cookies não essenciais
- [ ] Formulários com finalidade declarada e checkbox de consentimento desmarcado por padrão
- [ ] Política de Privacidade atualizada (2026) linkada em todos os formulários e no rodapé
- [ ] Processo de double opt-in para e-mail marketing
Operação
- [ ] DPO (Data Protection Officer) designado com canal de contato público
- [ ] Mapeamento de dados (data mapping) documentando quais dados são coletados, por quê, por quanto tempo e com quem são compartilhados
- [ ] Contratos com operadores de dados (agências de marketing, ferramentas de automação, CRM)
- [ ] Processo para responder solicitações de titulares em até 15 dias úteis
Campanhas
- [ ] Verificar que a base de e-mail tem consentimento documentado para a finalidade específica da campanha
- [ ] Segmentações por comportamento baseadas apenas em dados de usuários que consentiriam com tracking
- [ ] Retargeting baseado em first-party data (CRM match) em vez de pixel de terceiros
- [ ] Logs de consentimento mantidos por pelo menos 5 anos
Perguntas frequentes sobre LGPD e marketing
Posso usar o legítimo interesse para e-mail marketing? Sim, com condições. Precisa ser documentado, o destinatário deve ter uma relação pré-existente com a empresa (ex: cliente ou lead recente), e o conteúdo deve ser razoavelmente esperado pelo destinatário. E-mail de nutrição para um lead que preencheu um formulário ontem: legítimo interesse plausível. E-mail para uma lista comprada: não.
O que fazer com a base de contatos atual que não tem consentimento documentado? A recomendação da ANPD é identificar e segregar esses contatos. Uma opção: campanha de reengajamento pedindo consentimento explícito. Quem não responde em 30 dias sai da base ativa. Doloroso no curto prazo, mas protege a empresa e melhora métricas de engajamento.
Google Analytics está em conformidade com a LGPD? O GA4 com cookie consent implementado corretamente (modo de consentimento do Google) está em conformidade. GA4 sem consent mode, instalado via GTM sem verificar o consentimento do usuário, não está.
Precisa de DPO? A LGPD exige DPO para todos os controladores de dados. Para pequenas empresas, pode ser um colaborador interno com capacitação básica. Não precisa ser advogado — precisa conhecer os processos de tratamento de dados da empresa e servir como canal de contato da ANPD.
Conclusão
LGPD e resultado de marketing não são objetivos opostos. Empresas que constroem compliance de forma estruturada ganham em três dimensões: proteção legal, qualidade de dados e vantagem competitiva de longo prazo.
O primeiro passo é saber onde você está hoje. Se quiser uma avaliação do seu stack de marketing sob a ótica da LGPD, fale com nossa equipe. Ou conheça como nossos serviços de Data Engineering e MarTech integram compliance na arquitetura de dados desde o início.