A campanha rodou por quatro meses com uma base de dez mil leads comprada de um fornecedor que garantia, por escrito, que os titulares haviam consentido. O primeiro pedido de exclusão chegou por e-mail. O segundo veio acompanhado de reclamação à autoridade.
Quando a empresa pediu ao fornecedor a prova do consentimento daqueles titulares, recebeu um termo genérico, sem data, sem origem e sem identificação de quem havia aceitado o quê.
No marketing baseado em dados, a garantia contratual do fornecedor não substitui a prova. Quem faz a campanha decide a finalidade e responde perante o titular, independentemente do que a nota fiscal diz.
Antes de ligar a campanha: oito verificações
Levam pouco tempo e resolvem a maior parte do risco de uma operação de marketing digital.
- Base legal definida por finalidade, e registrada: consentimento, legítimo interesse ou execução de contrato não se misturam.
- Prova do consentimento, quando essa for a base: data, hora, texto exibido e origem do registro.
- Origem de cada base de leads, com contrato que descreva como foram coletados.
- Banner de cookies que funcione: recusar precisa ser tão fácil quanto aceitar, e a recusa precisa bloquear de fato.
- Disparo de tags condicionado ao consentimento, e não disparado antes dele no carregamento da página.
- Canal de atendimento ao titular funcionando, com prazo de resposta e registro das solicitações.
- Contrato com a agência e com as plataformas, definindo papéis, instruções, subcontratação e incidentes.
- Prazo de retenção dos dados de campanha, com descarte efetivo ao fim dele.
Para adequar campanhas e contratos de marketing:
Telefone: (11) 2386-2386
Agência, anunciante e papéis na LGPD
A distinção entre controlador e operador é essencial. Em muitos projetos, a empresa anunciante define a finalidade da campanha, o público-alvo, os objetivos comerciais e os dados que deseja coletar. A agência pode executar instruções, configurar ferramentas, gerir campanhas e produzir relatórios. Em outros casos, a agência participa das decisões estratégicas sobre finalidade, segmentação e meios de tratamento.
Essa diferença importa porque o controlador possui maior responsabilidade decisória sobre o tratamento. O operador deve agir conforme as instruções do controlador, mas também precisa observar segurança, confidencialidade e limites contratuais.
Contratos genéricos entre agência e cliente costumam falhar nesse ponto. É recomendável que o contrato estabeleça papéis, finalidades, dados tratados, obrigações de segurança, confidencialidade, subcontratação, uso de ferramentas, retenção, exclusão, atendimento a titulares e resposta a incidentes.
Leads não são apenas oportunidades comerciais
Leads são dados pessoais. Nome, telefone, e-mail, empresa, cargo, interesses, histórico de interação, origem da campanha e comportamento de navegação podem revelar informações relevantes sobre uma pessoa natural.
Por isso, a captação de leads deve ser transparente. O titular precisa compreender, de forma razoável, por que seus dados estão sendo coletados e como poderão ser usados. A empresa deve evitar formulários excessivos, bases legais frágeis e comunicações comerciais incompatíveis com a finalidade originalmente informada.
Em campanhas B2B, é comum supor que a LGPD não se aplica porque o dado está ligado a uma empresa. Essa premissa é perigosa. O e-mail corporativo, telefone profissional e cargo ainda podem identificar uma pessoa natural. A finalidade empresarial reduz alguns riscos, mas não elimina a necessidade de base legal, transparência e governança.
Cookies, remarketing e mensuração
Cookies e tecnologias semelhantes devem ser avaliados conforme sua finalidade. Ferramentas necessárias ao funcionamento do site têm perfil distinto de cookies de publicidade, remarketing e análise comportamental.
O guia de cookies da ANPD recomenda transparência, informações acessíveis e adoção de instrumentos que permitam maior compreensão e controle pelos titulares. Para agências, isso significa que a implementação de tags, pixels e ferramentas de analytics deve ser alinhada com a política de privacidade e com a arquitetura de consentimento ou preferências adotada pelo cliente.
A agência que instala ferramentas sem avaliar implicações jurídicas pode criar risco para o cliente e para si própria, especialmente se houver compartilhamento de dados com plataformas externas ou uso de segmentações sensíveis.
Legítimo interesse no marketing
O legítimo interesse pode ser uma base legal relevante para algumas atividades de marketing, mas não é uma autorização ampla e automática. A ANPD orienta que sua aplicação exige avaliação de finalidade, necessidade, balanceamento e salvaguardas.
Na prática, a empresa deve demonstrar que a finalidade é legítima, que o tratamento é necessário para aquela finalidade, que não há impacto desproporcional sobre direitos do titular e que existem mecanismos de transparência, oposição e proteção.
Quanto mais invasiva a campanha, mais frágil tende a ser a justificativa. Perfilamento intenso, dados sensíveis, público vulnerável, ausência de opt-out e compartilhamento amplo com terceiros aumentam o risco jurídico.
Responsabilidade contratual entre agência e cliente
A LGPD também deve aparecer nos contratos comerciais. O contrato entre agência e empresa deve prever quem responde por bases legais, quem administra consentimentos, quem mantém registros, quem atende titulares, quem comunica incidentes, quem aprova textos de política de privacidade e quem responde por fornecedores de tecnologia.
Também é importante disciplinar propriedade e uso de bases de leads. Ao final do contrato, a agência pode manter dados? Pode usar listas para outros clientes? Pode importar contatos para ferramentas próprias? Pode compartilhar relatórios com terceiros? Essas perguntas devem ser respondidas contratualmente.
A ausência de regras claras cria risco de conflito entre agência e cliente, sobretudo quando há incidente, reclamação de titular ou questionamento sobre uso indevido de base.
Checklist prático para campanhas em conformidade
Antes de lançar campanhas, empresas e agências devem verificar: política de privacidade atualizada; banner de cookies coerente; base legal definida; formulários proporcionais; opt-out funcional; contratos com operadores; controle de acessos; registro de fornecedores; plano de resposta a incidentes; e alinhamento entre marketing, jurídico e tecnologia.
A governança não precisa paralisar campanhas. Ela deve tornar o marketing mais confiável, previsível e defensável.
O fim do cookie de terceiros e o que ele muda de verdade
Durante anos, a comunicação do setor girou em torno do anúncio de que os navegadores encerrariam o suporte a cookies de terceiros, com prazos sucessivamente adiados e revistos. O resultado prático, para a empresa anunciante, não depende do calendário dessas decisões.
O que mudou de forma estrutural é a direção: rastreamento entre sites ficou mais restrito, por decisão das próprias plataformas e por pressão regulatória, e mensuração passou a depender mais de dado próprio e de consentimento obtido pelo anunciante.
Três consequências aparecem em qualquer operação. Dado de primeira mão, coletado pela própria empresa com base legal clara, ganhou valor. Mensuração passou a depender de modelagem e de integração server-side, com as implicações de privacidade que isso traz. E o consentimento deixou de ser detalhe jurídico para virar insumo de performance, porque sem ele parte da mensuração simplesmente não acontece.
Para quem contrata agência, a pergunta útil deixou de ser qual plataforma usar e passou a ser de onde vem o dado que alimenta a campanha e qual a prova disso.
Banner de cookies: o que torna o consentimento inválido
A maior parte dos banners em operação no Brasil tem o mesmo conjunto de defeitos, e todos comprometem a validade do consentimento exigido pelo art. 8º da Lei 13.709/2018.
Aceitar com um clique e recusar só depois de abrir preferências desequilibra a escolha. Caixas pré-marcadas não configuram manifestação livre. Texto que não diz quais finalidades estão em jogo impede que o consentimento seja informado. E o defeito mais comum de todos: o banner aparece, mas as tags já dispararam no carregamento, de modo que a escolha do usuário não produz efeito algum.
A correção é técnica e verificável. Recusar deve ser tão simples quanto aceitar, as finalidades devem estar descritas em linguagem compreensível, o registro da escolha deve ser guardado com data e versão do texto, e o disparo das tags deve ser condicionado à escolha, o que se testa abrindo o site e observando as requisições antes de qualquer clique.
Legítimo interesse: quando serve e quando não serve
O legítimo interesse, previsto nos arts. 7º, IX, e 10 da Lei 13.709/2018, é base legal válida e frequentemente a mais adequada para determinadas ações de marketing. Também é a mais invocada sem fundamento.
Ele exige três coisas: finalidade legítima e concreta, necessidade do tratamento para alcançá-la e um balanceamento entre o interesse da empresa e os direitos e liberdades do titular, documentado em avaliação própria. O art. 10, §3º, prevê que a autoridade pode solicitar o relatório de impacto quando o tratamento se fundar nessa base.
Na prática, ele tende a sustentar comunicação com cliente existente sobre produto relacionado. Tende a não sustentar aquisição de base de terceiros, enriquecimento com dados de origem desconhecida, perfilamento intensivo com decisões automatizadas de efeito relevante e qualquer tratamento de dado sensível.
O que diferencia uma coisa da outra não é a opinião do time de marketing, e sim a avaliação documentada antes da campanha, que é também o que a empresa apresenta se for questionada.
Agência, anunciante e plataforma: quem responde pelo quê
A distribuição de papéis define a responsabilidade, e ela decorre dos fatos, não do rótulo escolhido no contrato.
Em regra, o anunciante é controlador, porque decide a finalidade da campanha e o público. A agência costuma ser operadora quando apenas executa conforme instruções, e passa a ser controladora na medida em que decide finalidades próprias, como usar dados de um cliente para prospectar outro. As plataformas de anúncio, a depender da função, atuam como controladoras de parte do tratamento.
O art. 42 da Lei 13.709/2018 estabelece que o operador responde solidariamente quando descumpre a legislação ou não segue instrução lícita do controlador. Significa que a agência não está protegida por executar ordens ilegais, e que o anunciante não se exonera contratando terceiro.
O contrato entre as partes deve, então, fazer três coisas: definir papéis conforme a realidade, registrar as instruções do controlador, e estabelecer prazo e procedimento de resposta a incidente e a pedido de titular. É o que organiza o regresso quando o problema aparece.
Leia também
- LGPD em empresas B2B: contratos com operadores e resposta a incidentes.
- E-commerce: termos de uso e política de privacidade.
- Sanções da LGPD: o que a autoridade pode aplicar.
- Direito digital e proteção de dados: como o escritório atua nessa frente.
Campanha rodando com base de origem incerta
Este texto cobre o que torna uma operação de marketing digital defensável. O que ele não substitui é a revisão da sua operação, porque origem dos dados, ferramentas e contratos mudam o diagnóstico.
A Assis Lira Advocacia atua em adequação de campanhas à LGPD, contratos entre anunciante e agência, avaliação de legítimo interesse, revisão de banner e política de cookies, atendimento a titulares e resposta a incidentes. A primeira conversa é com um sócio.
Conteúdo informativo e autoral, sem promessa de resultado e sem oferta a caso concreto, nos termos do Provimento CFOAB 205/2021. Não constitui parecer jurídico nem cria relação advogado-cliente.
Fontes
Lei 13.709/2018 (LGPD), arts. 5º, VI, VII e XII (controlador, operador e consentimento), 6º (princípios, entre eles finalidade, necessidade e transparência), 7º (bases legais), 8º (requisitos e ônus da prova do consentimento), 10 e §3º (legítimo interesse e relatório de impacto), 18 (direitos do titular), 20 (decisões automatizadas e revisão), 42 (responsabilidade e solidariedade) e 48 (comunicação de incidente). Marco Civil da Internet, Lei 12.965/2014, arts. 7º e 11. Código de Defesa do Consumidor, Lei 8.078/1990, arts. 43 e 44 (bancos de dados e cadastros de consumidores). Regulamentos e orientações da Autoridade Nacional de Proteção de Dados.
