LGPD na prospecção B2B: o que é permitido na hora de captar leads
Desmistificando a lei para equipes de outbound. O Art. 7º §4º, dados manifestamente públicos e o que separa o uso legítimo do abuso.
Toda equipe comercial brasileira já se perguntou: "isso que estou fazendo é legal?". Mandar WhatsApp para um decisor que não me conhece pode dar problema na ANPD? Comprar lista é crime? Usar dados públicos da Receita é permitido?
A resposta é mais clara do que o folclore deixa parecer. Vou separar mito de regra.
Disclaimer: este texto é informativo e não substitui consultoria jurídica especializada para o caso específico da sua operação. Para dúvidas formais, consulte um advogado especializado em proteção de dados.
A LGPD em 30 segundos
A Lei Geral de Proteção de Dados (Lei 13.709/2018) regula o tratamento de dados pessoais — informações que identificam pessoas físicas (nome, CPF, e-mail pessoal, telefone pessoal, foto, etc.).
Pontos centrais para B2B:
- Dado de pessoa jurídica (CNPJ, razão social, CNAE, capital social) não é dado pessoal. Não está sujeito à LGPD diretamente.
- Dado de sócio (nome, CPF mascarado) é dado pessoal — mas público, divulgado pela RFB no Portal de Dados Abertos.
- O Art. 7º, §4º autoriza o tratamento de "dados tornados manifestamente públicos pelo titular" para finalidades legítimas, com base legal "interesse legítimo" (Art. 7º, IX).
O que pode
Está dentro da lei:
- Consultar e armazenar dados cadastrais públicos de PJ (CNPJ, razão social, CNAE, endereço, situação, capital social).
- Consultar QSA (sócios e administradores) divulgado pela RFB.
- Enriquecer telefones e e-mails comerciais (do site oficial, redes sociais corporativas, cadastros públicos setoriais).
- Enviar comunicação comercial B2B inicial não solicitada para esses contatos, identificando-se claramente e com finalidade legítima (oferta comercial relacionada à atividade econômica do destinatário).
- Manter histórico de interação dessa empresa no seu CRM.
O que NÃO pode
Está fora da lei:
- Comprar lista de dados pessoais (e-mails pessoais, telefones pessoais, dados de comportamento) de fonte que não tenha base legal.
- Usar dado vazado (data leak, scraping de site protegido por login, base obtida ilegalmente).
- Continuar contactando alguém que pediu para parar (direito à oposição — Art. 18, §2º).
- Enviar comunicação não relacionada à atividade comercial da empresa-alvo.
- Tratar dados sensíveis (saúde, religião, orientação política, biometria) sem consentimento específico.
- Compartilhar a base com terceiros sem autorização e finalidade legítima.
A zona cinza: WhatsApp pessoal do sócio
Aqui mora a discussão. O WhatsApp registrado na Receita é oficial — uso comercial está coberto pelo Art. 7º §4º. Mas o número pessoal do sócio (descoberto via redes sociais, indicação, ou outras fontes) é cinza.
"A jurisprudência sobre LGPD em B2B ainda está se formando. A regra prudente: se o número apareceu em contexto comercial público (rodapé do site, LinkedIn da empresa, cartão de visita digital), uso comercial é defensável. Se você minerou de listas privadas ou redes pessoais, evite."
Visão consensual entre advogados especializados em LGPD B2B, 2025-2026
Boas práticas operacionais
Independente da letra fria da lei, três comportamentos reduzem risco e melhoram conversão:
- Identifique-se claramente na primeira mensagem (nome + empresa + razão do contato).
- Respeite "não" imediatamente — quem pediu para parar deve sair de toda cadência, não só dessa campanha.
- Mantenha registro de origem dos dados, opt-outs solicitados e datas. Em uma fiscalização da ANPD, isso é a sua defesa.
O que a ANPD tem fiscalizado em B2B
Casos públicos relevantes para outbound (até 2026):
- Empresas que compraram listas vazadas e usaram para SMS/WhatsApp em massa.
- Plataformas que scrapearam LinkedIn sem base legal e venderam como "leads premium".
- Operações que continuaram contactando após opt-out formal documentado.
- Casos de compartilhamento de bases entre empresas sem finalidade legítima alinhada.
A ANPD, na prática, tem sido menos rigorosa com uso de dados públicos da RFB e mais firme com vazamentos e scraping. O risco maior em outbound B2B sério é o reputacional (cliente reclamando) — não o multa milionária.
Resumo prático
| Você quer fazer | É permitido? |
|---|---|
| Buscar empresas por CNAE na base pública RFB | Sim |
| Mandar WhatsApp comercial para o número oficial da empresa | Sim |
| Mencionar nome do sócio (público no QSA) na abordagem | Sim |
| Comprar lista de e-mails pessoais de "decisores" | Não · evite |
| Continuar contactando após "não temos interesse" | Não · respeite |
| Enviar oferta totalmente desalinhada do CNAE | Cinza · evite |
| Compartilhar/vender sua base de leads | Não · sem base legal específica |