LGPD na prospecção B2B: o que é permitido

Toda equipe comercial brasileira já se perguntou: "isso que estou fazendo é legal?". Mandar WhatsApp para um decisor que não me conhece pode dar problema na ANPD? Comprar lista é crime? Usar dados públicos da Receita é permitido?

A resposta é mais clara do que o folclore deixa parecer. Vou separar mito de regra.

Aviso: este texto é informativo e não substitui consultoria jurídica especializada para o caso específico da sua operação. Para dúvidas formais, consulte um advogado especializado em proteção de dados.

A LGPD em 30 segundos

A Lei Geral de Proteção de Dados (Lei 13.709/2018) regula o tratamento de dados pessoais: informações que identificam pessoas físicas (nome, CPF, e-mail pessoal, telefone pessoal, foto, etc.).

Pontos centrais para B2B:

• Dado de pessoa jurídica (CNPJ, razão social, CNAE, capital social, telefone e e-mail do cadastro da empresa) não é dado pessoal. Não está sujeito à LGPD diretamente.
• Dado de sócio ou administrador (nome, CPF mascarado) é dado pessoal, mas público, divulgado pela RFB nos dados abertos do CNPJ, e sempre associado a uma empresa.
• O Art. 7º, §4º dispensa o consentimento para o tratamento de dados "tornados manifestamente públicos pelo titular", respeitados a finalidade, a boa-fé e o interesse público que justificaram a divulgação. A base legal usada na prospecção é o legítimo interesse (Art. 7º, IX).
• Atenção ao MEI e ao empresário individual: o nome do titular faz parte do nome empresarial. Trate esse campo como dado pessoal público, mesma base legal do QSA.

O que pode

Está dentro da lei:

• Consultar e armazenar dados cadastrais públicos de PJ (CNPJ, razão social, CNAE, endereço, situação, capital social).
• Consultar o QSA (sócios e administradores associados a uma empresa) divulgado pela RFB.
• Enriquecer telefones e e-mails comerciais (do site oficial, redes sociais corporativas, cadastros públicos setoriais).
• Enviar comunicação comercial B2B inicial não solicitada para esses contatos, identificando-se claramente e com finalidade legítima (oferta comercial relacionada à atividade econômica do destinatário).
• Manter histórico de interação dessa empresa no seu CRM.

O que NÃO pode

Está fora da lei:

• Comprar lista de dados pessoais (e-mails pessoais, telefones pessoais, dados de comportamento) de fonte que não tenha base legal.
• Usar dado vazado (data leak, scraping de site protegido por login, base obtida ilegalmente).
• Continuar contactando alguém que pediu para parar (direito de oposição: Art. 18, §2º).
• Enviar comunicação não relacionada à atividade comercial da empresa-alvo.
• Tratar dados sensíveis (saúde, religião, orientação política, biometria) sem consentimento específico.
• Compartilhar a base com terceiros sem autorização e finalidade legítima.

A zona cinza: WhatsApp pessoal do sócio

Aqui mora a discussão. O telefone que consta no cadastro da empresa na Receita é dado da pessoa jurídica, uso comercial é o uso esperado dele. Mas o número pessoal do sócio (descoberto via redes sociais, indicação, ou outras fontes) é cinza.

A jurisprudência sobre LGPD em B2B ainda está se formando. A regra prudente: se o número apareceu em contexto comercial público (rodapé do site, LinkedIn da empresa, cartão de visita digital), uso comercial é defensável. Se você minerou de listas privadas ou redes pessoais, evite.

Boas práticas operacionais

Independente da letra fria da lei, três comportamentos reduzem risco e melhoram conversão:

1. Identifique-se claramente na primeira mensagem (nome + empresa + razão do contato).
2. Respeite "não" imediatamente: quem pediu para parar deve sair de toda cadência, não só dessa campanha.
3. Mantenha registro de origem dos dados, opt-outs solicitados e datas. Em uma fiscalização da ANPD, isso é a sua defesa.

Onde o risco realmente mora

Os cenários que expõem uma operação de outbound, e que aparecem nas reclamações e nos processos sancionatórios publicados pela ANPD (gov.br/anpd), são sempre os mesmos:

• Usar listas vazadas para SMS/WhatsApp em massa.
• Raspar redes profissionais sem base legal e revender como "leads premium".
• Continuar contactando após opt-out formal documentado.
• Compartilhar bases entre empresas sem finalidade legítima alinhada.

Note o que não está na lista: consultar o cadastro público de empresas. Para quem parte de dado cadastral de PJ e do QSA publicado pela RFB, o risco maior em outbound B2B sério é o reputacional (cliente reclamando publicamente), não a multa. O que transforma isso em risco legal é ignorar o pedido de parar.

Resumo prático

Na prática, a rota segura é sempre a mesma: partir da base pública da Receita Federal e montar a própria lista, em vez de comprar cadastro de origem desconhecida. É exatamente o que a busca de empresas por CNAE faz, e é o caminho que a prospecção de leads B2B deveria seguir.

Próximo: por que comprar lista pronta dá errado em 2026.