Quem trabalha com marketing digital no Brasil convive com a mesma pergunta desde 2020: *como a LGPD se aplica ao rastreamento de leads?*
A dúvida é legítima e as respostas que circulam variam bastante - de "não pode nada" a "todo mundo faz". Este texto organiza o que a lei efetivamente prevê, o que é consenso entre especialistas e o que ainda é objeto de interpretação, para que você chegue à conversa com o jurídico sabendo o que perguntar.
Como a lei define dado pessoal
A LGPD define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. A definição é ampla e propositalmente aberta.
No contexto de rastreamento, a discussão costuma girar em torno destes elementos:
| Elemento | Como costuma ser tratado |
|---|---|
| Nome, e-mail, telefone | Dado pessoal, sem controvérsia |
| Identificador de visitante (cookie, ID) | Em geral considerado dado pessoal quando permite identificar a pessoa |
| Endereço IP | Predominantemente tratado como dado pessoal por ser identificável |
| Parâmetros de campanha (UTM, canal) | Isoladamente, não identificam ninguém. A discussão surge quando são associados a um titular identificado |
| Histórico de navegação vinculado a um contato | Compõe o conjunto de dados daquele titular |
O ponto que gera mais dúvida: uma UTM sozinha descreve uma campanha, não uma pessoa. A leitura predominante é que, ao ser gravada no cadastro de um lead identificado, ela passa a integrar o conjunto de dados pessoais desse titular.
As bases legais: consentimento é uma entre dez
Existe um mal-entendido comum de que todo tratamento exige consentimento. A LGPD prevê dez bases legais para tratamento de dados pessoais - consentimento é apenas uma delas.
As duas mais discutidas em marketing:
Consentimento. A lei o define como manifestação livre, informada e inequívoca. Implica ação afirmativa do titular e pode ser revogado a qualquer tempo, com procedimento facilitado.
Legítimo interesse. Permite tratamento para finalidades legítimas do controlador, desde que não prevaleçam direitos e liberdades fundamentais do titular. A aplicação envolve uma avaliação documentada - o chamado teste de legítimo interesse - e há bastante discussão sobre seus limites em contextos de marketing.
O que a prática de mercado mostra: muitas operações combinam bases diferentes conforme a finalidade. Não existe fórmula única, e a escolha depende do contexto do negócio, do tipo de dado e da finalidade específica.
Lembrete informativo: esta é uma decisão jurídica. Copiar a base legal adotada por outro site é justamente o tipo de atalho que costuma gerar problema, porque a análise depende do contexto de cada operação.
Direitos do titular previstos na lei
A LGPD assegura ao titular, entre outros, os direitos de:
- Confirmação da existência de tratamento
- Acesso aos dados
- Correção de dados incompletos ou desatualizados
- Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade
- Portabilidade
- Informação sobre compartilhamento com terceiros
- Revogação do consentimento
Na prática operacional, esses direitos levantam uma questão concreta: existe um caminho para localizar um titular em todos os sistemas onde ele aparece? Site, ferramenta de rastreamento, CRM, listas enviadas a plataformas de anúncio.
É uma pergunta que vale fazer internamente antes de receber a primeira solicitação.
Pontos em que há consenso
Alguns temas são tratados de forma bastante convergente por especialistas:
Transparência é requisito, não formalidade. A política de privacidade cumpre a função de informar de maneira compreensível quais dados são tratados, para quê e com quem são compartilhados.
Consentimento pressupõe escolha real. Interface em que recusar é significativamente mais difícil do que aceitar é criticada de forma ampla, e há discussão regulatória crescente sobre *dark patterns*.
Dados sensíveis exigem cuidado adicional. Informações sobre saúde, religião, orientação sexual e opinião política recebem tratamento específico na lei - tema especialmente relevante para clínicas e serviços de saúde.
Operadores precisam de contrato. Fornecedores que tratam dados em nome de outra empresa atuam como operadores, e a relação costuma ser formalizada em contrato específico.
Segurança é obrigação legal. A lei prevê a adoção de medidas técnicas e administrativas de proteção, proporcionais ao risco.
Pontos ainda em debate
Ser honesto sobre o que não é pacífico também é informação útil:
- Os limites do legítimo interesse em marketing - até onde vai, especialmente em publicidade comportamental
- O tratamento de cookies não essenciais - como equilibrar experiência e consentimento válido
- Enriquecimento de dados e dados públicos - quais bases se aplicam
- Retenção - por quanto tempo manter dados de leads que não converteram
Esses temas evoluem com decisões da autoridade e da jurisprudência. Conteúdo publicado hoje pode não refletir o entendimento de amanhã - mais uma razão para acompanhar com apoio profissional.
Perguntas para levar ao seu jurídico
Em vez de um checklist de conformidade - que dependeria de conhecer o seu contexto -, uma lista de perguntas que costuma organizar a conversa:
Sobre bases legais
- Qual base legal se aplica a cada finalidade do nosso tratamento?
- Se usamos legítimo interesse, a avaliação está documentada?
- Nossa política de privacidade reflete o que realmente fazemos?
Sobre consentimento
- Nosso banner permite recusar com a mesma facilidade com que permite aceitar?
- A recusa é respeitada tecnicamente pelas tags do site?
- Registramos quem aceitou, quando e qual versão da política?
Sobre direitos do titular
- Temos canal claro para solicitações e prazo definido de resposta?
- Conseguimos localizar e eliminar um titular em todos os sistemas?
Sobre fornecedores
- Nossos fornecedores que tratam dados oferecem contrato específico?
- Sabemos onde os dados ficam armazenados e por quanto tempo?
Sobre dados sensíveis
- Nossa operação envolve dados sensíveis? Em caso positivo, quais cuidados adicionais adotamos?
Levar essas perguntas respondidas - ou ao menos mapeadas - encurta bastante a conversa com jurídico, DPO ou cliente corporativo.
O que perguntar a um fornecedor de tracking
Se você avalia ferramentas, estas perguntas ajudam a comparar de forma objetiva:
- Oferecem contrato de tratamento de dados?
- Onde os dados ficam armazenados e por quanto tempo?
- Como funciona a eliminação de dados de um titular a pedido?
- Quais dados são compartilhados com terceiros e de que forma?
- O script captura conteúdo de campos sensíveis, como senhas?
- O aceite do usuário é registrado de forma auditável?
- O acesso à base é segmentado por usuário?
Respostas por escrito valem mais que respostas em reunião.
No LeadInsight, essas informações estão disponíveis para clientes e prospects: contrato de tratamento de dados, registro de aceite, eliminação de dados de um lead sob solicitação, senhas não capturadas por script e envio criptografado às plataformas de anúncio, no padrão exigido por elas. Para detalhes, fale com o time.
Onde buscar informação primária
- Texto da LGPD, Lei nº 13.709/2018, no site do Planalto
- ANPD: materiais educativos e publicações oficiais
- ANPD: Guia Orientativo Cookies e Proteção de Dados Pessoais
Conteúdo de blog, inclusive este, serve para chegar informado à conversa; não substitui jurídico, encarregado de dados ou advogado especializado em proteção de dados.
Para levar
A LGPD não impede medir marketing - ela estabelece condições para o tratamento de dados pessoais, e essas condições dependem do contexto de cada operação.
Este texto cobriu o que a lei prevê e o que o mercado discute. A parte que falta - qual base legal se aplica ao seu caso, o que sua política precisa dizer e como estruturar seus processos - exige análise profissional. É a etapa que nenhum artigo substitui.