LGPD na prospecção B2B: o que a lei pede, artigo por artigo.

A LGPD se aplica à prospecção entre empresas?

Sim, sempre que você tratar dados de pessoas. A lei define dado pessoal como “informação relacionada a pessoa natural identificada ou identificável” (art. 5º, I). Dados da empresa em si ficam de fora; dados de quem trabalha nela, não.

Em toda lista de prospecção útil há dados pessoais, porque o objetivo é chegar a quem decide. Então a pergunta não é se a LGPD se aplica, e sim como cumprir.

Qual base legal usar para prospectar

O art. 7º lista as hipóteses em que o tratamento de dados pessoais é permitido. Para abordar quem ainda não é cliente, duas costumam ser cogitadas:

• Consentimento (art. 7º, I). Funciona para quem pediu contato, como num formulário ou evento. Para prospecção fria não serve: você não tem como pedir consentimento antes do primeiro contato.
• Legítimo interesse (art. 7º, IX). Permite o tratamento “quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular”. É a base usual na prospecção B2B.

O art. 10 detalha as condições do legítimo interesse:

• Finalidade legítima e concreta. O inciso I cita expressamente “apoio e promoção de atividades do controlador”, e o inciso II exige respeitar as legítimas expectativas do titular.
• Só o estritamente necessário (§ 1º). Para um contato comercial, nome, cargo e um canal profissional bastam. CPF, endereço residencial e data de nascimento não.
• Transparência (§ 2º). O controlador deve adotar medidas para garantir a transparência do tratamento.
• Relatório de impacto, se pedido (§ 3º). A ANPD pode solicitar um relatório de impacto quando o fundamento for o legítimo interesse.

Uma restrição importante: o legítimo interesse não vale para dados pessoais sensíveis (saúde, religião, opinião política e outros do art. 5º, II), que têm regras próprias no art. 11. Em prospecção B2B normal você não deveria tratar nenhum.

O que diz o guia da ANPD sobre legítimo interesse

Em fevereiro de 2024 a Autoridade Nacional de Proteção de Dados publicou o Guia Orientativo: Hipóteses Legais de Tratamento de Dados Pessoais – Legítimo Interesse (versão 1.0). Três pontos dele importam para quem prospecta:

1. O teste de balanceamento é recomendado. O guia o chama de “boa prática e medida recomendável” para demonstrar que o tratamento se enquadra no legítimo interesse, e diz que o modelo proposto pela ANPD não é de uso obrigatório.
2. A legítima expectativa depende da origem do dado. Entre os fatores citados estão a relação prévia com o titular, a fonte e a forma da coleta (direta, compartilhada por terceiros ou de fontes públicas), o contexto e o período da coleta, e a finalidade.
3. Impacto zero não é a exigência. Nas palavras do guia, “o que a LGPD exige não é o impacto zero”, e sim que os impactos sejam minimizados com salvaguardas.

O teste de legítimo interesse em três fases, na prática

O modelo da ANPD tem três fases: finalidade, necessidade e balanceamento e salvaguardas. Abaixo, um exemplo preenchido para uma empresa que vende software para clínicas e prospecta por telefone e e-mail. Copie a tabela, troque pelos seus dados e guarde a versão datada.

Registre também quem fez o teste, a data e quando ele será revisto. O guia lembra que, se surgir uma nova finalidade, o recomendável é fazer um novo teste.

Dados públicos: pode usar, com condições

Muito da prospecção B2B no Brasil usa dados públicos, como o quadro de sócios da Receita Federal ou o e-mail publicado no site da empresa. A LGPD trata disso em três parágrafos do art. 7º:

• § 3º: o tratamento de dados “cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização”.
• § 4º: dispensa o consentimento para dados “tornados manifestamente públicos pelo titular”, resguardados os direitos do titular e os princípios da lei.
• § 7º: permite tratar esses dados para novas finalidades, desde que com propósitos legítimos e específicos e preservados os direitos do titular.

O e-mail que um dono de clínica publicou no site para receber contatos é um bom exemplo de dado tornado público pelo titular. Já o nome de um sócio no QSA foi tornado público por obrigação cadastral, não por escolha dele, o que pede mais cuidado no balanceamento. Em ambos os casos, o § 6º lembra que a dispensa de consentimento não desobriga dos demais deveres da lei.

Transparência e direito de oposição

O titular tem direito a informações claras sobre o tratamento (art. 9º): finalidade, forma e duração, identificação e contato do controlador, uso compartilhado e os seus direitos. Ele também pode, a qualquer momento, pedir confirmação, acesso, correção e eliminação de dados desnecessários ou excessivos (art. 18). E o § 2º do art. 18 garante que ele pode se opor a tratamento feito sem consentimento em caso de descumprimento da lei.

Na prospecção, isso vira três hábitos:

• Diga quem você é e por que está entrando em contato logo na primeira mensagem.
• Tenha uma política de privacidade publicada que cubra a prospecção e um canal para pedidos de titulares.
• Quem pedir para não ser contatado sai de todas as listas e cadências no mesmo dia, e o pedido fica registrado para que o contato não volte numa lista futura.

O que responder quando perguntam “onde conseguiu meu contato?”

Responda com a fonte real, de forma direta, e ofereça a saída. A pergunta é um teste de confiança e, muitas vezes, o começo de um pedido de acesso do art. 18. Um modelo:

Para conseguir responder assim, guarde a origem de cada contato na própria lista: uma coluna “fonte” e outra com a data da coleta. Sem isso, a resposta vira um “não sei”, que é o pior cenário.

Comprar listas: onde mora o risco

Quem compra uma lista e usa os contatos passa a tratar esses dados e responde por isso. O problema das listas prontas é a origem: se você não sabe como foram coletados, não consegue avaliar a legítima expectativa do titular, que o guia da ANPD liga justamente à fonte e à forma da coleta. Antes de comprar, peça por escrito:

• De onde vêm os dados e em que data foram coletados.
• Qual base legal o fornecedor usou e se os dados podem ser repassados para prospecção.
• Se há dados sensíveis ou de pessoas físicas sem vínculo profissional (consumidores).
• Como o fornecedor trata pedidos de exclusão.

Montar a lista a partir de fontes que você consegue citar, como site da empresa, perfil comercial e cadastro do CNPJ, resolve boa parte disso. O guia de como montar uma lista de leads B2B mostra as colunas, incluindo a de fonte, e o de lista de empresas por CNAE explica a base pública da Receita.

Por quanto tempo guardar os contatos

A LGPD não fixa um prazo em dias. Ela manda eliminar os dados após o término do tratamento (art. 16), com exceções como cumprimento de obrigação legal. Para prospecção, defina você o prazo, registre no teste de balanceamento e cumpra. Um exemplo de regra: lead que não respondeu a uma cadência completa é eliminado ou anonimizado depois de 12 meses; quem pediu exclusão fica só numa lista de supressão, com o mínimo para não ser contatado de novo.

Checklist de LGPD para a sua operação de prospecção

• Teste de legítimo interesse em três fases, datado, para cada finalidade.
• Lista só com dados profissionais e necessários; nada sensível.
• Colunas de fonte e data de coleta em cada contato.
• Identificação da empresa e motivo do contato na primeira mensagem.
• Política de privacidade publicada e canal para pedidos de titulares.
• Lista de supressão atualizada e consultada antes de cada nova campanha.
• Prazo de retenção definido e rotina para eliminar o que venceu.
• Contrato com fornecedores de dados que diga origem e base legal.
• Cadência com número limitado de toques, como a do guia de prospecção de clientes.

O que está em jogo: o art. 52 prevê sanções que vão de advertência a multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração.

Onde uma ferramenta de leads entra nisso

Uma ferramenta pode ajudar no lado da origem, não no da responsabilidade. O Reachant monta listas a partir de fontes que você consegue citar: o perfil comercial da empresa via API oficial do Google Places, o site da própria empresa (e-mail público, WhatsApp, redes) e, no Brasil, os dados públicos do CNPJ e do quadro de sócios via BrasilAPI. O decisor vem do QSA. A decisão sobre base legal, cadência e exclusões continua sendo sua. Veja como funciona no extrator de leads.

Perguntas frequentes

Continue lendo