GDPR e e-mail marketing: guia prático de conformidade
Como o GDPR e a Diretiva ePrivacy realmente regem o e-mail marketing: bases legais, consentimento, soft opt-in, prova, direitos dos inscritos e implementação prática.
O que o GDPR realmente exige de quem faz e-mail marketing
Dito de forma direta: o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) não contém nenhuma regra dizendo “você precisa de consentimento para enviar um e-mail”. O que ele rege são os dados pessoais por trás do seu programa de e-mail. Você precisa de uma base legal para tratá-los, de transparência sobre isso, de exatidão, limitação de conservação, segurança e prova de tudo isso. O artigo 5(2) resume em uma linha: o controlador “é responsável pelo cumprimento e tem de poder comprovar o cumprimento” dos princípios de tratamento.
A regra que decide se você pode apertar enviar está em outro instrumento, a Diretiva ePrivacy. A maioria dos artigos sobre o tema mistura os dois e chega à resposta errada. Manter os dois separados é o ponto deste guia.
Este artigo é orientação prática para quem faz marketing, não aconselhamento jurídico. Ele cita fontes primárias para você conferir, mas a lei de proteção de dados é aplicada por reguladores e tribunais nacionais, as transposições nacionais diferem, e as suas circunstâncias importam. Antes de mudar um fluxo de consentimento, uma regra de retenção de dados ou uma transferência internacional, busque orientação de um profissional qualificado na sua jurisdição.
GDPR e ePrivacy: dois instrumentos, um envio
O que diz a Diretiva ePrivacy
A Diretiva 2002/58/CE, a Diretiva ePrivacy, alterada pela Diretiva 2009/136/CE, define a regra de envio. O artigo 13(1) permite correio eletrônico para marketing direto apenas em relação a assinantes que tenham dado consentimento prévio. “Correio eletrônico” é definido de forma ampla e neutra em relação à tecnologia: o Parecer 5/2004 do Grupo de Trabalho do Artigo 29 confirmou que abrange newsletters por e-mail, além de SMS e mensagens armazenadas similares. O artigo 13(2) abre a exceção do cliente existente, e o artigo 13(4) proíbe e-mail de marketing que dissimule a identidade do remetente ou que não tenha “um endereço válido para o qual o destinatário possa enviar um pedido para que essas comunicações cessem”.
Por que isso importa na prática
Consentimento não é definido na Diretiva ePrivacy. Ele toma seu sentido da lei geral de proteção de dados: o artigo 94(2) do GDPR estabelece que as referências à revogada Diretiva 95/46/CE são lidas como referências ao GDPR. Ou seja, a ePrivacy decide quando o consentimento é necessário para o ato de enviar, e o GDPR decide o que conta como consentimento e como você prova isso.
Você pode, portanto, ter uma base válida sob o GDPR para guardar e analisar um registro de contato e ainda assim não ter direito de enviar e-mail para aquela pessoa. E como a ePrivacy é uma diretiva e não um regulamento, ela é transposta para a lei nacional, então os detalhes variam entre Estados-Membros.
Escolhendo uma base legal para e-mail marketing
Consentimento
O consentimento do artigo 6(1)(a) é aquilo em que a maioria dos programas de e-mail ao consumidor se apoia, e por bons motivos: onde a ePrivacy já exige consentimento prévio para o envio, usar o consentimento como sua base no GDPR mantém uma história só em vez de duas. O custo é que ele pode ser retirado a qualquer momento sob o artigo 7(3).
Interesse legítimo
O artigo 6(1)(f) permite o tratamento necessário aos interesses legítimos do controlador, exceto quando prevalecerem os interesses ou direitos fundamentais do titular dos dados. O considerando 47 diz explicitamente que “o tratamento de dados pessoais para fins de comercialização direta pode ser considerado de interesse legítimo”.
Essa frase é citada o tempo todo para argumentar que o consentimento é opcional. Leia com atenção. Ela trata da base do GDPR para o tratamento, ela diz “pode ser”, então você ainda precisa rodar e documentar o teste de ponderação, e ela não diz nada sobre a regra da ePrivacy para o envio. O interesse legítimo é mais defensável para o tratamento em torno do seu programa, como segmentação, supressão e análise, e para contato entre empresas, onde as regras nacionais tratam assinantes corporativos de forma diferente. É uma fundação fraca para e-mail frio ao consumidor na União Europeia.
O soft opt-in para clientes existentes
O artigo 13(2) da Diretiva ePrivacy é a exceção real. Quando alguém obtém dados de contato de e-mail de clientes “no contexto da venda de um produto ou serviço”, essa mesma pessoa pode usá-los para promover “produtos ou serviços análogos da sua autoria”, desde que aos clientes “seja dada de forma clara e distinta a possibilidade de recusarem, de forma gratuita e fácil”, tanto no momento da coleta como em cada mensagem seguinte.
O Grupo de Trabalho do Artigo 29 disse que essa exceção “é limitada de várias formas e deve ser interpretada restritivamente”. Três limites vale memorizar:
- Ela se aplica apenas a clientes de verdade. Quem abandonou um checkout não está coberto.
- Só a mesma pessoa jurídica que coletou o endereço pode enviar. Subsidiárias e controladoras não são a mesma empresa.
- Só produtos ou serviços similares se qualificam, julgados pela expectativa razoável do destinatário e não pela ambição de quem envia.
Como o soft opt-in varia entre Estados-Membros
Como a diretiva foi transposta nacionalmente, é aqui que o mesmo conselho realmente diverge por mercado.
Na Irlanda, o regulamento 13(11) do S.I. No. 336/2011 repete a exceção e acrescenta um prazo rígido: a venda precisa ter ocorrido “não mais de 12 meses antes do envio da comunicação de marketing direto”, ou os dados precisam ter sido usados para e-mail de marketing dentro desse período.
No Reino Unido, a regra equivalente é o regulamento 22 do PECR, e o ICO não estabelece esse prazo. Ele descreve o soft opt-in como algo que cobre um cliente existente “que comprou (ou negociou comprar) um produto ou serviço similar de você no passado”, e observa que não se aplica a clientes potenciais, listas compradas ou promoções não comerciais como captação para instituições de caridade e campanhas políticas.
Dois mercados vizinhos, duas regras materialmente diferentes. Nunca presuma que a sua versão local viaja.
O que consentimento válido realmente significa
O artigo 4(11) define consentimento como “uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento”. O EDPB detalhou cada elemento nas Diretrizes 05/2020 sobre consentimento, adotadas em 4 de maio de 2020.
Os quatro elementos
- Livre. O artigo 7(4) diz que se leva “na máxima conta” se um contrato é condicionado ao consentimento para um tratamento que não lhe é necessário. Não faça do consentimento de marketing uma condição do checkout.
- Específico. Quando o tratamento tem várias finalidades, o consentimento deve ser dado para todas elas (considerando 32). Finalidades separadas precisam de escolhas separadas: um aceite de newsletter não é consentimento para SMS nem para compartilhar dados com parceiros.
- Informado. O artigo 7(2) exige que um pedido de consentimento inserido numa declaração mais ampla seja “claramente distinguível dos demais assuntos de modo inteligível e de fácil acesso e numa linguagem clara e simples”.
- Inequívoco. Precisa haver uma declaração ou ato positivo claro.
O que não conta
O considerando 32 é direto: “o silêncio, as opções pré-validadas ou a omissão não deverão, por conseguinte, constituir um consentimento”. Nem uma caixa enterrada nos termos, nem um único visto cobrindo e-mail, SMS, definição de perfis e compartilhamento com parceiros.
Retirada
O artigo 7(3) dá o direito de retirar o consentimento a qualquer momento, exige que a pessoa seja informada desse direito de antemão, e afirma que “deve ser tão fácil retirar como dar o consentimento”. Se alguém consegue se inscrever em um clique, um fluxo de retirada que exige login e uma página de configurações enterrada não atende ao padrão. A retirada não é retroativa: o tratamento realizado antes dela continua lícito.
Prova: o que você precisa conseguir demonstrar
O artigo 7(1) é curto e decisivo: “Quando o tratamento for realizado com base no consentimento, o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento”. Uma coluna “aceitou: sim” não demonstra nada. Um registro que reconstrói o momento do consentimento, sim.
O que registrar no cadastro
Capture e guarde, por contato e por finalidade:
- Timestamp da ação de consentimento, em um fuso horário estável.
- Origem e método: qual formulário, URL da página, canal ou evento presencial.
- O texto exato do consentimento e a versão do aviso de privacidade exibida. Um identificador de versão que aponta para o texto arquivado é mais prático que guardar o texto inteiro em cada linha.
- As finalidades específicas aceitas, como sinalizadores separados em vez de um único booleano.
- Evidência de confirmação e timestamp quando você usa double opt-in.
- Endereço IP quando proporcional ao risco. É prática comum e evidência útil, mas não é exigência legal, e é ele próprio um dado pessoal.
O artigo 30 exige separadamente que a maior parte das organizações mantenha registros das atividades de tratamento: finalidades, categorias de titulares e de dados, destinatários, transferências, prazos de conservação e medidas de segurança. A isenção para organizações com menos de 250 pessoas empregadas é estreita e cai por terra quando o tratamento pode gerar risco a direitos e liberdades, não é ocasional, ou envolve dados de categorias especiais. Marketing regular para uma base de clientes não é ocasional.
Por quanto tempo guardar a evidência de consentimento
O GDPR não fixa prazo. O princípio viável é que a evidência de consentimento deve sobreviver ao marketing que ela justifica, mais o período em que uma reclamação poderia realisticamente ser apresentada. Apagar o registro de um inscrito mantendo um log minimizado que prova a permissão é normal.
Direitos dos titulares que atingem programas de e-mail
Cinco direitos aparecem repetidamente na operação de e-mail.
- Acesso (artigo 15). Confirmação de que você trata os dados dessa pessoa, uma cópia deles e informações incluindo finalidades, categorias de dados, destinatários, prazos de conservação, a origem e qualquer decisão automatizada ou definição de perfis. Para programas de e-mail isso costuma significar histórico de engajamento e pertencimento a segmentos, não apenas o endereço.
- Retificação (artigo 16). Correção de dados inexatos sem demora injustificada e complementação de dados incompletos.
- Apagamento (artigo 17). Inclusive no 17(1)(b), quando o consentimento é retirado e não há outra base aplicável, e no 17(1)(c), quando a pessoa se opõe sob o artigo 21(2).
- Oposição ao marketing direto (artigo 21). O direito absoluto. Sob o 21(2), o titular “tem o direito de se opor a qualquer momento” ao tratamento para marketing direto, incluindo a definição de perfis relacionada. Sob o 21(3), “os dados pessoais deixam de ser tratados para esses fins”. Não há teste de ponderação a aplicar.
- Portabilidade (artigo 20). Aplica-se quando o tratamento se baseia em consentimento ou contrato e é automatizado, cobrindo os dados que a pessoa forneceu. Pontuações derivadas e segmentos ficam em geral de fora.
Prazos de resposta
O artigo 12(3) exige que você aja sem demora injustificada e, em todo caso, dentro de um mês do recebimento. Isso pode ser prorrogado por mais dois meses dada a complexidade ou o número de pedidos, e você precisa avisar a pessoa, com justificativa, dentro do primeiro mês. Uma oposição ao marketing merece mais que o prazo máximo: trate como supressão imediata e depois resolva a papelada dentro da janela legal.
Implementação prática
Formulários de cadastro
Uma caixa desmarcada e claramente rotulada por finalidade. Identifique o remetente, diga o que você vai enviar e com que frequência aproximada, e aponte para o aviso de privacidade em vez de reproduzi-lo. Não junte o consentimento de marketing com a aceitação dos termos nem condicione a compra a ele. Guarde a versão do formulário para conseguir provar depois o que estava na tela.
O double opt-in e seu status legal honesto
O double opt-in não é exigido pelo GDPR nem pela Diretiva ePrivacy. Nenhum artigo o impõe. O que ele produz é evidência: um clique de confirmação, a partir da caixa de entrada em questão, em um horário registrado, é o mais próximo da melhor prova disponível de que uma pessoa real que controla aquele endereço concordou. O Grupo de Trabalho do Artigo 29 observou que métodos em que um inscrito se registra e depois é convidado a confirmar “parecem ser compatíveis com a Diretiva”.
Então ele é recomendado, às vezes com força, e em alguns mercados é a norma. Ele não é a lei. A mecânica está no nosso guia de double opt-in.
Centrais de preferências e tratamento do descadastro
Toda mensagem de marketing precisa de um endereço válido para pedidos de descadastro e, sob a exceção de cliente existente, uma via de objeção fácil e gratuita em cada mensagem é uma condição, não uma cortesia. Uma central de preferências com escolhas de frequência e de tema é boa prática, mas um descadastro global simples, de uma etapa, precisa continuar disponível. Processe os descadastros automaticamente; filas manuais são como as organizações acabam enviando depois de uma oposição.
Listas de supressão que precisam sobreviver a migrações
Um descadastro é uma instrução permanente, não uma configuração por lista. O estado de supressão precisa ser global entre marcas, entre os canais que a oposição cobre e entre plataformas. O momento perigoso é uma migração ou reimportação: os inscritos passam para o novo sistema e os sinalizadores de oposição não vêm junto. Essa é a forma mais comum de um programa em conformidade virar silenciosamente um programa fora de conformidade.
O mesmo risco vive em toda integração entre uma loja, um CRM e uma plataforma de e-mail, que é onde o estado de consentimento e supressão se perde no caminho. Se você está movendo dados do Shopify para a Brevo, a Tajo é a camada de sincronização que carrega esses campos entre os sistemas. Qualquer que seja a ferramenta, o teste é o mesmo: depois de qualquer migração, confirme que um endereço sabidamente suprimido continua suprimido.
Retenção e repermissionamento de listas antigas
A limitação de conservação vale para listas de marketing, então defina uma regra documentada de retenção para contatos inativos e aplique. Se uma lista ficou anos sem uso, uma campanha de repermissionamento costuma ser proposta. Tome cuidado: um e-mail de “confirme que você ainda quer ouvir de nós” é ele próprio uma comunicação de marketing na maior parte das leituras, então só pode ir para pessoas para quem você pode enviar legalmente hoje. Se você não consegue demonstrar uma base agora, a resposta honesta é a exclusão. Nosso guia de limpeza de lista de e-mail cobre o lado da higiene.
Seu provedor de e-mail é um operador
Seu provedor de serviço de e-mail trata dados pessoais seguindo as suas instruções, então o artigo 28 se aplica. Precisa haver um contrato ou outro ato jurídico vinculativo estabelecendo objeto, duração, natureza e finalidade do tratamento, tipos de dados e categorias de titulares. O artigo 28(3) então exige cláusulas sobre instruções documentadas, confidencialidade, segurança do artigo 32, suboperadores, apoio aos pedidos dos titulares e deveres em caso de violação, exclusão ou devolução dos dados ao fim do serviço, e direitos de auditoria. A maioria dos provedores publica um DPA padrão. Leia a lista de suboperadores dele.
Transferências internacionais
Se dados pessoais saem do Espaço Econômico Europeu, você precisa de um mecanismo de transferência. O artigo 45 permite transferências para países ou estruturas que a Comissão Europeia considerou adequados. Caso contrário, o artigo 46 exige garantias apropriadas, mais comumente as cláusulas contratuais padrão da Comissão, ou regras vinculativas aplicáveis às empresas dentro de um grupo. As decisões de adequação cobrem várias jurisdições, incluindo o EU-US Data Privacy Framework adotado em 10 de julho de 2023. Verifique onde o seu provedor guarda os dados, não apenas onde ele tem sede.
Como o regulamento se chama no seu mercado
O instrumento é o mesmo em toda a União Europeia. O nome, não.
| Mercado | Nome local | Observações |
|---|---|---|
| Alemanha, Áustria | DSGVO | Datenschutz-Grundverordnung, segundo a autoridade federal alemã |
| França | RGPD | Reglement general sur la protection des donnees, segundo a CNIL |
| Espanha | RGPD | Reglamento General de Proteccion de Datos, segundo a AEPD |
| Países Baixos | AVG | Algemene verordening gegevensbescherming, segundo a Autoriteit Persoonsgegevens |
| Polônia | RODO | A abreviação usada pela autoridade polonesa UODO |
| Itália | RGPD ou GDPR | O Garante usa os dois, ao lado de Regolamento (UE) 2016/679 |
| Irlanda, uso em inglês | GDPR | Também comum no uso empresarial italiano e neerlandês |
Fora da União Europeia o vocabulário muda de novo. O Reino Unido tem o UK GDPR ao lado do PECR. A Turquia tem a Kisisel Verilerin Korunmasi Kanunu, Lei No. 6698, conhecida como KVKK. O Brasil tem a Lei Geral de Proteção de Dados Pessoais, Lei No. 13.709, de 14 de agosto de 2018, a LGPD. A Indonésia tem a Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Esses são regimes separados com regras próprias, não traduções, e cumprir o GDPR não significa automaticamente cumprir esses outros.
Penalidades, e o que os reguladores realmente fazem
O artigo 83 define dois patamares: até 10 milhões de euros ou 2% do faturamento anual mundial total sob o 83(4), e até 20 milhões de euros ou 4% sob o 83(5), valendo o que for maior em cada caso. O patamar mais alto cobre os princípios básicos e as condições de consentimento dos artigos 5, 6, 7 e 9, os direitos dos titulares dos artigos 12 a 22 e as regras de transferência dos artigos 44 a 49, então falhas de consentimento e oposições ignoradas ficam ali. As regras nacionais de ePrivacy acrescentam penalidades próprias: na Irlanda, violar o regulamento 13 é crime e cada mensagem conta separadamente.
Para um remetente de porte médio, o risco do dia a dia não é uma multa de manchete. É uma reclamação disparando a pergunta de um regulador: mostre o consentimento deste endereço.
Onde conformidade e desempenho se encontram
Feito direito, isso também melhora o desempenho. Listas construídas sobre permissão genuína e específica engajam mais e reclamam menos, que é exatamente o que os sistemas de entregabilidade recompensam. Nosso guia de entregabilidade de e-mail explica esse mecanismo, e nosso guia de construção de lista de e-mail cobre a aquisição que resiste ao escrutínio.