LGPD no Departamento de Marketing: legítimo interesse, cookies, remarketing e os limites do uso de dados pessoais

Introdução

A transformação digital modificou significativamente a forma como as organizações desenvolvem suas estratégias de Marketing, estabelecem relacionamentos com consumidores e promovem seus produtos e serviços. O avanço da publicidade digital, das ferramentas de automação e, mais recentemente, da inteligência artificial ampliou a capacidade das empresas de compreender comportamentos, identificar interesses e direcionar campanhas publicitárias de maneira cada vez mais personalizada. Nesse cenário, os dados pessoais passaram a desempenhar um papel estratégico nas decisões comerciais, permitindo que as organizações desenvolvam ações de comunicação mais segmentadas, acompanhem a jornada dos consumidores e mensurem os resultados de suas iniciativas.

Essa evolução também trouxe novos desafios relacionados à privacidade e à proteção de dados pessoais. Atividades que anteriormente dependiam de informações cadastrais básicas passaram a envolver o monitoramento de interações digitais, a análise de históricos de navegação, o cruzamento de informações provenientes de diferentes fontes e a construção de perfis comportamentais. Ferramentas de Customer Relationship Management (CRM), plataformas de automação de Marketing, pixels de rastreamento, cookies e sistemas de análise de audiência possibilitam a coleta e o tratamento de grandes volumes de informações, muitas vezes sem que os titulares tenham plena compreensão sobre a extensão dessas operações ou sobre as finalidades para as quais seus dados são utilizados.

Nesse contexto, uma das principais questões enfrentadas pelos departamentos de Marketing está relacionada à definição dos limites para a utilização legítima dessas informações. A existência de dados pessoais em redes sociais, plataformas digitais, páginas públicas ou bases disponibilizadas por terceiros, por exemplo, não significa que possam ser utilizados indiscriminadamente para prospecção comercial, enriquecimento de cadastros ou direcionamento de campanhas. A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece que o tratamento de dados pessoais, inclusive daqueles cujo acesso é público, deve observar princípios como finalidade, adequação, necessidade e transparência, além de estar fundamentado em uma hipótese legal aplicável.

Da mesma forma, a utilização do legítimo interesse como base legal para determinadas atividades de Marketing não representa uma autorização genérica para a coleta, o compartilhamento ou a utilização de informações pessoais. Sua aplicação exige uma avaliação concreta das finalidades pretendidas, da necessidade do tratamento, das legítimas expectativas dos titulares e dos possíveis impactos sobre seus direitos e liberdades fundamentais. Em determinadas situações, especialmente quando envolvem tecnologias de rastreamento, publicidade comportamental e tratamento de dados pessoais sensíveis, outras hipóteses legais e salvaguardas específicas deverão ser consideradas.

Outro aspecto relevante envolve a crescente integração entre diferentes ferramentas e fornecedores que compõem o ecossistema de publicidade digital. Agências de Marketing, plataformas de anúncios, fornecedores de bases de contatos, sistemas de automação e soluções de inteligência artificial podem participar de diferentes etapas do tratamento de dados pessoais, tornando necessária a definição das responsabilidades dos agentes envolvidos, a avaliação das condições de compartilhamento e a implementação de mecanismos adequados de governança. A utilização de tecnologias disponibilizadas por terceiros não afasta a responsabilidade das organizações pela conformidade das operações de tratamento que realizam.

Diante desse cenário, a adequação à LGPD não deve ser compreendida como um obstáculo à inovação ou à execução de estratégias comerciais, mas como um conjunto de critérios necessários para assegurar que o uso de dados pessoais ocorra de maneira legítima, proporcional e transparente. Para isso, é fundamental reconhecer que atividades aparentemente semelhantes, como o envio de e-mails promocionais, a segmentação de clientes, o remarketing e o enriquecimento de bases cadastrais, podem apresentar finalidades, riscos e fundamentos jurídicos distintos, exigindo avaliações específicas antes de sua implementação.

Assim, compreender a aplicação da LGPD no departamento de Marketing significa ir além da obtenção de consentimento ou da disponibilização de políticas de privacidade. Trata-se de incorporar a proteção de dados pessoais ao planejamento das campanhas, à escolha das ferramentas tecnológicas, à contratação de fornecedores e à definição das estratégias de relacionamento com consumidores. Ao longo deste artigo, serão abordadas as principais bases legais aplicáveis às atividades de Marketing, os limites do legítimo interesse, os desafios relacionados aos cookies, ao remarketing, ao perfilamento e à utilização de dados de terceiros, bem como as prioridades regulatórias da Agência Nacional de Proteção de Dados (ANPD) em 2026 e as medidas de governança necessárias para conciliar inovação, eficiência comercial e respeito aos direitos dos titulares.

Quando utilizar consentimento, legítimo interesse ou outras hipóteses no marketing?

A definição da base legal constitui uma das etapas fundamentais para assegurar a conformidade das atividades de Marketing com a Lei Geral de Proteção de Dados Pessoais (LGPD). Embora a utilização de dados pessoais seja parte integrante de diversas estratégias comerciais, como campanhas publicitárias, ações de relacionamento, segmentação de consumidores e prospecção de clientes, essas operações devem estar fundamentadas em uma hipótese legal adequada, considerando a finalidade pretendida, a natureza das informações utilizadas e os possíveis impactos sobre os direitos dos titulares.

O artigo 7º da LGPD estabelece as hipóteses que autorizam o tratamento de dados pessoais, entre as quais se destacam, no contexto do Marketing, o consentimento e o legítimo interesse. Entretanto, a legislação não determina que todas as atividades publicitárias devam utilizar uma mesma base legal, tampouco estabelece que o consentimento seja obrigatório para qualquer comunicação comercial. A escolha depende das características concretas de cada operação, incluindo a origem dos dados, a relação existente com o titular, as expectativas relacionadas à utilização das informações e a necessidade do tratamento para alcançar determinada finalidade.

Nesse cenário, o legítimo interesse, previsto no artigo 7º, inciso IX, da LGPD, representa uma hipótese legal que pode fundamentar determinadas atividades de Marketing, desde que o tratamento seja necessário para atender aos interesses legítimos do controlador ou de terceiros e não prevaleçam os direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais. O artigo 10 da legislação complementa essa previsão ao estabelecer que o legítimo interesse somente poderá justificar o tratamento para finalidades legítimas, consideradas a partir de situações concretas, incluindo o apoio e a promoção das atividades do controlador, observadas as legítimas expectativas dos titulares.

Entretanto, sua utilização não constitui uma autorização genérica para a coleta, o compartilhamento ou a exploração comercial de informações pessoais. Conforme orientações da Agência Nacional de Proteção de Dados (ANPD), a aplicação do legítimo interesse exige uma avaliação específica, geralmente estruturada por meio do teste de balanceamento, que considera a finalidade do tratamento, sua necessidade e a ponderação entre os interesses envolvidos e os direitos e liberdades fundamentais dos titulares. Essa análise também deve contemplar a adoção de salvaguardas capazes de reduzir os riscos identificados, como medidas de transparência, limitação da utilização dos dados e disponibilização de mecanismos efetivos de oposição.

Na prática, o envio de comunicações promocionais relacionadas a produtos ou serviços semelhantes aos anteriormente adquiridos por determinado consumidor pode, dependendo das circunstâncias, admitir uma avaliação fundamentada no legítimo interesse. Para tanto, devem ser considerados fatores como a origem das informações, a transparência prestada no momento da coleta, a frequência das comunicações, a compatibilidade da finalidade publicitária com a relação comercial estabelecida e a possibilidade de o titular se opor ao recebimento de novas mensagens. Por outro lado, a utilização desses mesmos dados para construir perfis comportamentais extensos, compartilhar audiências com múltiplos parceiros comerciais ou direcionar campanhas relacionadas a interesses não associados à relação original pode apresentar riscos mais elevados e exigir fundamentos jurídicos e salvaguardas distintos.

Outra hipótese relevante é o consentimento, previsto no artigo 7º, inciso I, da LGPD, definido pelo artigo 5º, inciso XII, como a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. No Marketing, essa base legal pode ser utilizada, por exemplo, para o cadastramento voluntário em newsletters, o recebimento de campanhas promocionais e determinadas atividades de publicidade comportamental. Contudo, sua validade depende da existência de uma escolha efetiva, acompanhada de informações claras sobre as finalidades do tratamento, não sendo suficientes autorizações genéricas, consentimentos presumidos ou mecanismos que dificultem a manifestação de vontade do titular.

Além disso, o artigo 8º da LGPD estabelece que cabe ao controlador demonstrar que o consentimento foi obtido em conformidade com a legislação, assegurando ao titular a possibilidade de revogá-lo a qualquer momento, mediante procedimento gratuito e facilitado. Isso significa que as organizações devem implementar mecanismos adequados para registrar as autorizações, gerenciar preferências e interromper os tratamentos fundamentados no consentimento quando ocorrer sua revogação, ressalvadas as hipóteses de conservação legalmente admitidas.

Embora o consentimento e o legítimo interesse sejam frequentemente associados às atividades de Marketing, outras bases legais podem ser aplicáveis conforme a finalidade específica. A execução de contrato ou de procedimentos preliminares relacionados a contrato, prevista no artigo 7º, inciso V, por exemplo, pode justificar o tratamento de dados necessários à elaboração de uma proposta comercial solicitada pelo próprio titular. Da mesma forma, o cumprimento de obrigação legal ou regulatória, previsto no artigo 7º, inciso II, pode fundamentar determinadas operações administrativas relacionadas a campanhas e promoções comerciais, desde que exista uma obrigação efetivamente aplicável. Essas hipóteses, entretanto, não autorizam automaticamente a reutilização das informações para finalidades publicitárias distintas.

A definição da base legal também exige atenção à natureza das informações utilizadas. O tratamento de dados pessoais sensíveis, como aqueles relacionados à saúde, religião, origem racial ou étnica e outras categorias previstas no artigo 5º, inciso II, da LGPD, está sujeito às hipóteses específicas do artigo 11. Nesse contexto, é importante destacar que o legítimo interesse não integra as bases legais autorizadoras do tratamento de dados pessoais sensíveis, o que demanda cautela adicional em estratégias de segmentação e perfilamento que envolvam diretamente essas informações.

Para compreender essas diferenças, algumas situações recorrentes no departamento de Marketing podem ser consideradas. O cadastramento voluntário de um consumidor para receber uma newsletter pode ser fundamentado no consentimento, desde que observados os requisitos legais. O envio de comunicações promocionais a clientes existentes pode admitir o legítimo interesse, mediante avaliação das legítimas expectativas e dos impactos sobre os titulares. Já o envio de uma proposta comercial solicitada pelo próprio interessado pode estar relacionado à execução de procedimentos preliminares a contrato. Em contrapartida, campanhas de remarketing que utilizam cookies publicitários e tecnologias de rastreamento comportamental geralmente demandam uma avaliação mais rigorosa, sendo o consentimento, em regra, a hipótese mais apropriada, conforme orientações da ANPD.

Da mesma forma, atividades de enriquecimento de bases cadastrais, aquisição de listas de contatos e utilização de informações disponibilizadas por terceiros exigem análise específica da origem dos dados, da legitimidade de sua coleta, das finalidades originalmente informadas e da compatibilidade com o tratamento pretendido. O fato de uma organização adquirir uma base comercial ou contratar um fornecedor especializado em prospecção não significa que esteja automaticamente autorizada a utilizar todas as informações recebidas, sendo necessário verificar a existência de fundamento jurídico adequado para as operações realizadas.

Outro equívoco recorrente consiste em presumir que a existência de uma relação comercial anterior permite a utilização irrestrita dos dados pessoais do consumidor. O fato de uma pessoa ter realizado uma compra, solicitado um orçamento ou preenchido um cadastro não significa que todas as formas posteriores de tratamento sejam legítimas. Um endereço eletrônico fornecido para acompanhar a entrega de um produto, por exemplo, não pode ser automaticamente utilizado para qualquer finalidade promocional ou compartilhado indiscriminadamente com parceiros comerciais. A organização deve avaliar a compatibilidade da nova finalidade com o contexto original da coleta, a expectativa razoável do titular e a hipótese legal que poderá fundamentar o tratamento.

Nesse sentido, a escolha da base legal deve ser acompanhada de documentação adequada, permitindo demonstrar os fundamentos jurídicos utilizados e as medidas adotadas para assegurar a conformidade com a legislação. Essa documentação pode envolver o Registro das Operações de Tratamento de Dados Pessoais (ROPA), testes de balanceamento, registros de consentimento, avaliações de fornecedores, políticas internas e evidências relacionadas à implementação de mecanismos de transparência e exercício de direitos. A documentação também deve ser revisada sempre que houver alterações relevantes nas finalidades, nas categorias de dados utilizados ou nas condições do tratamento.

Portanto, a conformidade das atividades de Marketing com a LGPD não depende exclusivamente da identificação formal de uma base legal, mas da capacidade de demonstrar que sua utilização é adequada às características da operação e compatível com os direitos dos titulares. A definição do fundamento jurídico deve anteceder a execução das campanhas e integrar o planejamento das estratégias comerciais, permitindo que as organizações desenvolvam iniciativas de comunicação, personalização e relacionamento com consumidores de maneira legítima, transparente e proporcional, sem transformar o legítimo interesse ou o consentimento em justificativas genéricas para o tratamento de dados pessoais.

Até onde vai o legítimo interesse para e-mail marketing e comunicação comercial?

O e-mail marketing permanece como uma das principais ferramentas utilizadas pelas organizações para estabelecer relacionamentos com consumidores, divulgar produtos e serviços, promover campanhas e fortalecer estratégias comerciais. Sua utilização, entretanto, envolve o tratamento de dados pessoais, especialmente endereços eletrônicos, nomes, históricos de compras, preferências e informações relacionadas às interações dos destinatários com as comunicações recebidas. Nesse contexto, a aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) exige que as organizações compreendam as diferentes finalidades dessas comunicações e identifiquem as condições jurídicas que podem justificar seu envio.

Inicialmente, é importante distinguir as comunicações transacionais, institucionais e promocionais, uma vez que essas categorias apresentam características e finalidades distintas. As comunicações transacionais estão diretamente relacionadas à execução de uma relação contratual ou ao atendimento de uma solicitação do titular, como confirmações de pedidos, atualizações sobre entregas, emissão de comprovantes e informações necessárias à prestação de serviços. Já as comunicações institucionais envolvem informações sobre a organização, alterações relevantes em seus serviços, atualizações de políticas e outros assuntos relacionados ao relacionamento estabelecido com o destinatário. Por sua vez, as comunicações promocionais possuem finalidade predominantemente comercial, abrangendo ofertas, campanhas publicitárias, divulgação de produtos, descontos e ações destinadas a incentivar novas contratações.

Essa diferenciação é relevante porque a natureza da comunicação influencia a identificação da base legal aplicável. Enquanto determinadas mensagens transacionais podem estar fundamentadas na execução de contrato ou no cumprimento de obrigações legais, comunicações promocionais podem exigir uma avaliação específica quanto à utilização do consentimento ou do legítimo interesse. Além disso, a classificação atribuída pela organização não determina, por si só, a finalidade do tratamento. Uma mensagem apresentada como institucional, mas que contenha ofertas comerciais ou estratégias de incentivo à compra, também poderá envolver finalidades promocionais que precisam ser consideradas na análise jurídica.

No caso do legítimo interesse, previsto no artigo 7º, inciso IX, e disciplinado pelo artigo 10 da LGPD, sua utilização para comunicações comerciais depende da demonstração de que o tratamento atende a uma finalidade legítima, é necessário para alcançá-la e não resulta na prevalência de interesses comerciais sobre os direitos e liberdades fundamentais dos titulares. Conforme as orientações da Agência Nacional de Proteção de Dados (ANPD), essa avaliação deve considerar, entre outros fatores, a relação existente entre o controlador e o titular, o contexto da coleta, as legítimas expectativas quanto à utilização dos dados e as salvaguardas implementadas para reduzir possíveis impactos.

Nesse sentido, o envio de campanhas promocionais a clientes que já possuem relacionamento comercial com a organização pode, em determinadas circunstâncias, ser avaliado sob a perspectiva do legítimo interesse. Por exemplo, uma empresa que comercializa produtos de beleza pode considerar o envio de comunicações sobre produtos relacionados às compras anteriormente realizadas por seus clientes, desde que essa utilização seja compatível com as expectativas dos destinatários, tenha sido acompanhada de transparência adequada e disponibilize mecanismos efetivos de oposição. Entretanto, a existência de uma compra anterior não autoriza automaticamente o envio indiscriminado de mensagens, especialmente quando envolvem produtos sem relação com o histórico comercial, frequência excessiva de contatos ou compartilhamento de informações com terceiros.

A situação exige atenção adicional quando as campanhas são direcionadas a potenciais consumidores que ainda não estabeleceram relacionamento com a organização. A utilização de endereços eletrônicos obtidos por meio de formulários, eventos corporativos, feiras comerciais, redes profissionais ou outras fontes deve considerar a finalidade para a qual os dados foram originalmente disponibilizados. O fornecimento de um cartão de visitas durante um evento, por exemplo, não representa necessariamente uma autorização para inclusão permanente do contato em campanhas publicitárias. Da mesma forma, o preenchimento de um formulário para acessar determinado conteúdo não significa, por si só, concordância com o recebimento contínuo de ofertas comerciais.

Nessas situações, a avaliação jurídica deve considerar a natureza da interação, as informações fornecidas ao titular, a compatibilidade entre a finalidade original e o envio posterior de comunicações, além da possibilidade de oposição. Também é importante observar que a disponibilização pública de um endereço eletrônico, inclusive em páginas institucionais ou redes profissionais, não afasta a aplicação da LGPD quando a informação permite identificar uma pessoa natural. Assim, a utilização de contatos profissionais para prospecção comercial deve ser analisada conforme as circunstâncias concretas, não sendo suficiente presumir que a publicidade do dado autoriza sua utilização irrestrita.

Outro elemento fundamental é a expectativa legítima do titular, que deve integrar a avaliação sobre a utilização do legítimo interesse. Uma pessoa que se cadastra voluntariamente para receber informações sobre determinado segmento pode razoavelmente esperar comunicações relacionadas àquele assunto. Por outro lado, dificilmente terá a mesma expectativa em relação ao recebimento de campanhas de organizações desconhecidas, especialmente quando seus dados foram obtidos por intermediários ou compartilhados sem transparência suficiente. A frequência dos envios, o conteúdo das mensagens e a possibilidade de compreender a origem do contato também influenciam essa avaliação.

Além da definição da base legal, as organizações devem assegurar mecanismos acessíveis e efetivos para que os destinatários possam deixar de receber comunicações promocionais. O descadastramento, conhecido como opt-out, constitui uma importante medida de respeito às preferências dos consumidores, podendo ser disponibilizado por meio de links presentes nas mensagens, centrais de preferências ou outros canais adequados. Entretanto, é necessário distinguir o descadastramento de uma lista de comunicação da oposição ao tratamento de dados pessoais, prevista no artigo 18, § 2º, da LGPD, quando houver descumprimento da legislação em tratamentos fundamentados em hipóteses de dispensa do consentimento. A oposição deve ser analisada conforme seus fundamentos e o contexto do tratamento, não se confundindo automaticamente com um pedido de eliminação integral de todos os dados mantidos pela organização.

Nesse contexto, um dos principais desafios operacionais consiste na gestão adequada das solicitações de descadastramento e oposição. Não basta remover o endereço eletrônico de uma campanha específica quando o mesmo contato permanece ativo em outras ferramentas, listas de distribuição ou plataformas de automação utilizadas pela organização. A ausência de integração entre esses ambientes pode resultar no envio de novas comunicações a pessoas que já manifestaram expressamente o desejo de não serem contatadas, aumentando o risco de reclamações, questionamentos e descumprimento das preferências registradas.

Para reduzir esse risco, recomenda-se a implementação de mecanismos centralizados de gestão de preferências e listas de bloqueio, também conhecidas como suppression lists ou blacklists. Essas listas permitem registrar os contatos que não devem ser incluídos em novas campanhas promocionais, inclusive quando ocorrerem importações de bases, atualizações cadastrais ou integrações com fornecedores. A manutenção de informações mínimas necessárias para impedir novos envios deve observar finalidade específica, acesso restrito, medidas de segurança e critérios adequados de retenção, evitando que a própria lista de bloqueio seja utilizada para outras finalidades comerciais.

A utilização de ferramentas paralelas também representa um risco relevante. É comum que departamentos de Marketing mantenham contatos distribuídos entre sistemas de CRM, planilhas eletrônicas, plataformas de disparo de e-mails, ferramentas de automação e bases administradas por agências terceirizadas. Quando esses ambientes não possuem controles consistentes de atualização, exclusão e sincronização, podem ocorrer duplicidades, utilização de informações desatualizadas e reativação indevida de contatos anteriormente descadastrados. Além disso, o armazenamento descentralizado dificulta a identificação da origem dos dados, a comprovação da base legal utilizada e o atendimento às solicitações dos titulares.

Nesse cenário, a governança das comunicações comerciais deve contemplar procedimentos para aquisição e importação de contatos, identificação da origem e da finalidade da coleta, definição da base legal, atualização de preferências, controle de acessos e gestão de fornecedores. Também é recomendável estabelecer mecanismos para impedir que dados pessoais sejam incorporados a novas campanhas sem a verificação prévia de sua legitimidade, especialmente quando provenientes de bases externas ou de sistemas que não compartilham os mesmos registros de descadastramento.

Portanto, a utilização do legítimo interesse no e-mail marketing não depende exclusivamente da existência de uma finalidade comercial legítima, mas da demonstração de que o tratamento é necessário, proporcional, transparente e compatível com as expectativas dos titulares. A conformidade exige que as organizações avaliem não apenas a possibilidade jurídica de enviar determinada comunicação, mas também a origem dos contatos, a frequência das campanhas, os mecanismos de oposição e a efetividade dos controles internos. Dessa forma, o departamento de Marketing poderá desenvolver estratégias de relacionamento e prospecção comercial respeitando os limites estabelecidos pela LGPD e reduzindo os riscos associados ao uso inadequado de dados pessoais.

Cookies, pixels e tecnologias de rastreamento para o consentimento na publicidade digital

A publicidade digital transformou a maneira como as organizações acompanham o comportamento dos consumidores, avaliam o desempenho de campanhas e desenvolvem estratégias de comunicação personalizada. Nesse cenário, tecnologias como cookies, pixels de rastreamento, identificadores digitais e ferramentas de análise de audiência passaram a integrar a infraestrutura de Marketing de sites, aplicativos e plataformas digitais. Embora esses recursos possibilitem a mensuração de resultados e a otimização de investimentos publicitários, sua utilização também envolve desafios relacionados à transparência, à privacidade e à definição das bases legais aplicáveis ao tratamento de dados pessoais.

Os cookies são pequenos arquivos ou registros armazenados no dispositivo do usuário durante a navegação em sites e aplicações, permitindo, entre outras funcionalidades, reconhecer sessões, preservar preferências e registrar determinadas interações. Conforme suas finalidades, podem ser classificados em diferentes categorias. Os cookies necessários são utilizados para viabilizar funcionalidades essenciais, como autenticação, segurança e manutenção de sessões. Os cookies analíticos permitem compreender a utilização de páginas e funcionalidades, contribuindo para a mensuração de acessos, identificação de padrões de navegação e avaliação de desempenho. Já os cookies funcionais possibilitam armazenar preferências, como idioma e configurações de personalização, enquanto os cookies publicitários são empregados para direcionar anúncios, acompanhar interações com campanhas e, em determinadas situações, construir perfis de interesses dos usuários.

Essa classificação, entretanto, não determina automaticamente a base legal aplicável. A avaliação deve considerar a finalidade efetiva de cada tecnologia, os dados pessoais envolvidos, a necessidade do tratamento e seus possíveis impactos sobre os direitos dos titulares. Um cookie utilizado exclusivamente para preservar uma sessão autenticada, por exemplo, apresenta características distintas de outro empregado para acompanhar a navegação entre diferentes sites e direcionar publicidade comportamental. Da mesma forma, ferramentas classificadas como analíticas podem apresentar diferentes níveis de intrusividade, dependendo das configurações adotadas, da possibilidade de identificação dos usuários e do compartilhamento das informações coletadas.

Além dos cookies, os departamentos de Marketing utilizam outras tecnologias capazes de registrar interações digitais. Os pixels de rastreamento, por exemplo, consistem em recursos incorporados a páginas eletrônicas, mensagens ou aplicações que permitem registrar determinados eventos, como visualizações de conteúdo, acessos a páginas, cliques e conversões comerciais. Essas informações podem ser utilizadas para avaliar o desempenho de campanhas, identificar públicos que demonstraram interesse em produtos e direcionar novas ações publicitárias. Também são utilizados identificadores de dispositivos, identificadores publicitários e outras técnicas de reconhecimento que, isoladamente ou combinadas com informações adicionais, podem permitir a identificação ou individualização de usuários.

Na prática, essas tecnologias possibilitam que uma organização identifique, por exemplo, quantas pessoas acessaram determinada página após visualizar um anúncio, quais produtos despertaram maior interesse ou quantos usuários concluíram uma compra após interagir com uma campanha. Entretanto, quando as informações coletadas permitem identificar direta ou indiretamente uma pessoa natural, seu tratamento está sujeito à LGPD, ainda que a organização não tenha acesso imediato ao nome ou a outros dados cadastrais do usuário. A utilização de identificadores pseudonimizados, por si só, também não afasta a aplicação da legislação quando permanece possível relacionar as informações a uma pessoa identificável.

Nesse contexto, a definição da base legal constitui uma das principais responsabilidades das organizações. O Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, publicado pela Agência Nacional de Proteção de Dados (ANPD), esclarece que o legítimo interesse pode ser considerado para determinadas atividades de tratamento, especialmente quando relacionadas a cookies estritamente necessários, desde que atendidos os requisitos legais. Por outro lado, a Agência indica que o consentimento tende a ser a hipótese legal mais apropriada para cookies publicitários, particularmente quando associados ao rastreamento de usuários e à formação de perfis comportamentais. Isso ocorre porque essas atividades podem envolver monitoramento extensivo, compartilhamento de informações com terceiros e impactos relevantes sobre a privacidade dos titulares.

É importante destacar que a simples disponibilização de um banner de cookies não representa, por si só, conformidade com a LGPD. O banner deve integrar um mecanismo efetivo de transparência e gestão de preferências, permitindo que os usuários compreendam as finalidades do tratamento e realizem escolhas informadas. Quando a organização utiliza o consentimento como base legal, sua obtenção deve observar os requisitos estabelecidos nos artigos 5º, inciso XII, e 8º da LGPD, especialmente quanto à manifestação livre, informada e inequívoca para finalidades determinadas.

Nesse sentido, práticas como caixas previamente selecionadas, autorizações genéricas, ausência de opções claras de rejeição e interfaces que dificultam a recusa podem comprometer a validade do consentimento. Essas estratégias, frequentemente associadas aos chamados dark patterns, consistem na utilização de elementos de design capazes de induzir ou direcionar as escolhas dos usuários, prejudicando sua autonomia. Um exemplo ocorre quando o botão para aceitar todos os cookies é apresentado de maneira destacada, enquanto a opção de rejeição exige múltiplas etapas ou está posicionada em local de difícil identificação. Conforme as orientações da ANPD, os mecanismos de consentimento devem favorecer decisões efetivamente livres, evitando obstáculos desproporcionais ao exercício das preferências dos titulares.

Para operacionalizar esses controles, muitas organizações utilizam plataformas de gerenciamento de consentimento, conhecidas como Consent Management Platforms (CMPs). Essas ferramentas permitem apresentar informações sobre as categorias de cookies, registrar as escolhas dos usuários e gerenciar a ativação de determinadas tecnologias conforme as preferências manifestadas. Entretanto, a contratação de uma CMP não garante automaticamente a conformidade, sendo necessário verificar se sua implementação técnica corresponde às informações apresentadas no banner e se os mecanismos de bloqueio funcionam adequadamente.

Por exemplo, quando uma organização utiliza o consentimento como fundamento para a instalação de cookies publicitários, esses recursos não devem ser ativados antes da manifestação válida de vontade do usuário. Da mesma forma, caso o titular rejeite determinada categoria, a configuração do site deve impedir o tratamento fundamentado naquela autorização. Isso exige alinhamento entre o departamento de Marketing, as equipes de Tecnologia da Informação e os fornecedores responsáveis pela implementação de ferramentas de publicidade e análise de audiência.

Outro aspecto fundamental envolve a possibilidade de revogação do consentimento e alteração das preferências. Nos termos do artigo 8º, § 5º, da LGPD, o consentimento pode ser revogado a qualquer momento, mediante manifestação expressa do titular, por procedimento gratuito e facilitado. Assim, não basta disponibilizar opções de escolha apenas no primeiro acesso ao site. É necessário que o usuário consiga posteriormente consultar e modificar suas preferências, inclusive para interromper o tratamento fundamentado em consentimento anteriormente concedido, observadas as hipóteses legais de conservação dos dados.

A gestão dessas preferências também deve considerar a existência de diferentes dispositivos, navegadores e ambientes digitais. Quando possível e tecnicamente aplicável, as organizações devem adotar mecanismos consistentes para registrar as escolhas e evitar que configurações inadequadas resultem na ativação de tecnologias de rastreamento em desconformidade com as preferências manifestadas. Também é recomendável manter evidências da obtenção e revogação do consentimento, respeitando os princípios da necessidade, segurança e limitação da finalidade.

Além das questões relacionadas à coleta, a utilização dessas tecnologias exige atenção ao compartilhamento de dados pessoais com plataformas de publicidade, fornecedores de análise de audiência e outros parceiros tecnológicos. Ferramentas de mensuração de campanhas e direcionamento de anúncios podem envolver a transmissão de identificadores digitais, informações de navegação, eventos de conversão e outros dados para terceiros, inclusive em operações que envolvam transferência internacional de dados pessoais. Nessas situações, as organizações devem compreender quais informações são compartilhadas, para quais finalidades serão utilizadas, quais agentes participam do tratamento e quais responsabilidades lhes correspondem.

Essa avaliação é particularmente importante porque determinados fornecedores podem utilizar informações recebidas para finalidades próprias, como aprimoramento de serviços, mensuração publicitária ou desenvolvimento de funcionalidades. Portanto, a organização deve examinar as condições contratuais, as configurações das ferramentas e os Avisos de Privacidade dos fornecedores, evitando presumir que todos os terceiros atuam exclusivamente como operadores de dados pessoais. A definição dos papéis de controlador e operador deve considerar as decisões efetivamente exercidas por cada agente sobre as finalidades e os elementos essenciais do tratamento.

Também é necessário observar que a utilização de ferramentas de rastreamento pode envolver informações relacionadas a hábitos de consumo, interesses, localização aproximada e padrões de comportamento. Dependendo do contexto e da combinação dessas informações, o tratamento poderá permitir inferências sobre aspectos privados da vida dos titulares, ampliando os riscos associados ao perfilamento e à publicidade comportamental. Essa possibilidade reforça a importância da minimização dos dados coletados, da limitação dos períodos de retenção e da avaliação contínua da necessidade das tecnologias implementadas.

Dessa forma, a governança de cookies e tecnologias de rastreamento deve contemplar não apenas a elaboração de uma Política de Cookies, mas também o inventário das ferramentas utilizadas, a identificação de suas finalidades, a definição das bases legais, a configuração adequada dos mecanismos de consentimento, a avaliação dos fornecedores e a realização de verificações periódicas para identificar tecnologias instaladas sem autorização ou em desconformidade com as preferências dos usuários.

Portanto, a conformidade da publicidade digital com a LGPD depende da capacidade de transformar transparência e controle em mecanismos efetivos de proteção dos dados pessoais. A utilização de cookies, pixels e identificadores digitais não é proibida pela legislação, mas deve observar critérios de legitimidade, necessidade, proporcionalidade e respeito às escolhas dos titulares. Para os departamentos de Marketing, isso significa compreender que a eficiência das campanhas não pode depender da coleta indiscriminada de informações, sendo necessário estruturar estratégias publicitárias que conciliem mensuração de resultados, inovação tecnológica e proteção da privacidade dos consumidores.

Remarketing e publicidade comportamental — Quando a personalização ultrapassa os limites da privacidade?

A personalização de campanhas publicitárias tornou-se uma das principais estratégias utilizadas pelos departamentos de Marketing para ampliar o alcance de suas ações, melhorar a experiência dos consumidores e aumentar as taxas de conversão. Nesse contexto, técnicas como remarketing, retargeting e publicidade comportamental permitem direcionar anúncios a públicos específicos com base em interações anteriores, interesses identificados e padrões de comportamento no ambiente digital. Embora essas práticas representem importantes recursos para a eficiência das estratégias comerciais, sua utilização exige atenção aos limites estabelecidos pela Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente quando envolve monitoramento contínuo, cruzamento de informações e construção de perfis individuais.

O remarketing e o retargeting consistem em estratégias destinadas a alcançar novamente pessoas que já demonstraram algum tipo de interesse por determinada organização, produto ou serviço. Isso pode ocorrer, por exemplo, quando um consumidor acessa uma loja virtual, visualiza determinado produto e, posteriormente, passa a receber anúncios relacionados àquele item em redes sociais, mecanismos de busca ou outros sites. Essas campanhas podem ser operacionalizadas por meio de cookies, pixels de rastreamento, identificadores digitais e integrações com plataformas publicitárias, que permitem reconhecer determinadas interações e associá-las a públicos utilizados para direcionamento de anúncios.

A publicidade comportamental, por sua vez, apresenta uma abrangência maior, pois envolve a utilização de informações relacionadas às atividades, preferências e comportamentos dos usuários para selecionar anúncios considerados relevantes. Nesse modelo, as organizações podem criar audiências com base em páginas visitadas, produtos pesquisados, conteúdos acessados, histórico de compras, interações com campanhas e outras informações obtidas durante a navegação. Também podem ser utilizadas técnicas de segmentação que agrupam consumidores com características semelhantes ou identificam padrões capazes de indicar potenciais interesses comerciais.

Essas estratégias frequentemente envolvem o cruzamento de informações provenientes de diferentes ambientes digitais. Dados coletados em sites institucionais, aplicativos, plataformas de comércio eletrônico e ferramentas de relacionamento podem ser combinados com informações disponibilizadas por fornecedores de publicidade, permitindo a criação de audiências personalizadas e o direcionamento de campanhas em múltiplos canais. Em determinadas situações, listas de clientes também são compartilhadas com plataformas publicitárias para identificação de correspondências entre cadastros, inclusive mediante técnicas de transformação de identificadores, como o uso de funções de hash. Entretanto, é importante observar que a transformação de um endereço eletrônico em um identificador criptográfico derivado não representa, necessariamente, sua anonimização, especialmente quando permanece possível relacioná-lo a uma pessoa natural.

Nesse cenário, um dos principais riscos está associado ao rastreamento persistente dos usuários e à formação de perfis comportamentais abrangentes, que podem revelar aspectos de seus hábitos, preferências e interesses. Embora determinada informação coletada isoladamente possa parecer pouco relevante, sua combinação com outros registros pode permitir a identificação de padrões detalhados de comportamento. O acompanhamento contínuo da navegação, por exemplo, pode revelar interesses relacionados a questões financeiras, condições de saúde, convicções pessoais ou situações particulares, ampliando significativamente os impactos potenciais sobre a privacidade dos titulares.

A utilização dessas informações também pode produzir situações em que o consumidor desconhece a extensão do monitoramento realizado ou não compreende por que determinados anúncios estão sendo apresentados. Isso ocorre especialmente quando o direcionamento publicitário depende de múltiplos agentes e tecnologias que operam de maneira integrada, dificultando a identificação das fontes de dados e das finalidades de tratamento. Dessa forma, a transparência deve ultrapassar a simples informação genérica de que a organização utiliza dados para melhorar a experiência do usuário, sendo necessário esclarecer, de maneira acessível, as principais categorias de informações utilizadas, as finalidades do direcionamento publicitário e a existência de compartilhamentos relevantes com terceiros.

A definição da base legal aplicável também constitui um elemento central dessas operações. Conforme orientações da Agência Nacional de Proteção de Dados (ANPD), especialmente no Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, o consentimento tende a ser a hipótese legal mais apropriada para cookies publicitários utilizados em atividades de rastreamento e perfilamento comportamental. Isso não significa que todas as formas de personalização dependam necessariamente de consentimento, mas que a escolha da base legal deve considerar as características concretas do tratamento, a extensão do monitoramento, as expectativas dos titulares e os possíveis impactos sobre seus direitos e liberdades fundamentais.

Nesse sentido, é necessário distinguir estratégias de personalização baseadas em informações limitadas e diretamente relacionadas ao relacionamento comercial existente daquelas que envolvem monitoramento extensivo e combinação de dados provenientes de múltiplas fontes. Uma organização que recomenda produtos semelhantes aos anteriormente adquiridos por um cliente, utilizando exclusivamente informações de seu próprio histórico de compras, apresenta um contexto de tratamento distinto daquele em que diferentes plataformas compartilham identificadores e registros de navegação para acompanhar o comportamento do consumidor em diversos ambientes digitais. Embora ambas as situações envolvam personalização, os riscos e as exigências jurídicas podem ser significativamente diferentes.

A aplicação dos princípios da necessidade e da adequação, previstos no artigo 6º da LGPD, exige que as organizações avaliem se as informações utilizadas são efetivamente necessárias para alcançar a finalidade publicitária pretendida. A possibilidade técnica de coletar grandes volumes de dados não significa que sua utilização seja juridicamente justificada. Assim, antes de implementar campanhas de remarketing, o departamento de Marketing deve considerar quais eventos precisam ser monitorados, por quanto tempo os identificadores serão mantidos, quais informações serão compartilhadas e se existem alternativas menos invasivas capazes de produzir resultados compatíveis com os objetivos comerciais.

Outro aspecto relevante envolve o tratamento de dados pessoais sensíveis, definidos pelo artigo 5º, inciso II, da LGPD, incluindo informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual e dados genéticos ou biométricos vinculados a uma pessoa natural. A utilização dessas informações para segmentação publicitária exige cautela adicional, uma vez que o artigo 11 estabelece hipóteses legais específicas para seu tratamento, não incluindo o legítimo interesse entre elas.

Os riscos também podem surgir quando informações aparentemente comuns permitem inferir características sensíveis dos consumidores. Por exemplo, a combinação de pesquisas realizadas, conteúdos acessados e interações com determinadas páginas pode possibilitar inferências sobre condições de saúde ou convicções religiosas. Nessas situações, é necessário avaliar se a operação efetivamente envolve tratamento de dados pessoais sensíveis, considerando a natureza das inferências produzidas, sua utilização e os possíveis impactos sobre os titulares. A utilização de informações dessa natureza para direcionamento de campanhas pode ampliar riscos de discriminação, exposição indevida e exploração de vulnerabilidades individuais.

A publicidade comportamental também apresenta desafios específicos quando direcionada a crianças e adolescentes, especialmente em ambientes digitais que utilizam mecanismos de recomendação, personalização e acompanhamento de interações. O artigo 14 da LGPD determina que o tratamento de dados pessoais desse público deve observar seu melhor interesse, exigindo atenção especial às finalidades pretendidas, à transparência das informações e aos riscos decorrentes das tecnologias utilizadas. No caso de crianças, a legislação estabelece requisitos específicos relacionados ao consentimento parental, observadas as interpretações e orientações da ANPD sobre as hipóteses legais aplicáveis.

Além disso, a Lei nº 15.211/2025, conhecida como Estatuto Digital da Criança e do Adolescente (ECA Digital), estabeleceu regras específicas para a proteção desse público em ambientes digitais, incluindo restrições à utilização de dados pessoais para publicidade comercial baseada em perfilamento e à análise comportamental para fins publicitários. Essas disposições reforçam a necessidade de que as organizações avaliem não apenas a base legal utilizada, mas também as limitações materiais impostas à própria atividade publicitária, especialmente quando os serviços e plataformas são direcionados a crianças e adolescentes ou podem ser acessados por esse público.

Nesse contexto, a utilização de campanhas personalizadas não deve ser orientada exclusivamente por indicadores de desempenho, alcance ou conversão. É necessário considerar os efeitos que o direcionamento de anúncios pode produzir sobre a autonomia dos consumidores, especialmente quando são utilizadas técnicas capazes de explorar vulnerabilidades, induzir decisões ou influenciar comportamentos a partir de informações pessoais detalhadas. A personalização excessiva, além de ampliar riscos jurídicos e reputacionais, pode comprometer a confiança dos titulares quando realizada sem transparência suficiente ou em desconformidade com suas expectativas.

Para reduzir esses riscos, recomenda-se que as organizações estabeleçam critérios internos para criação e utilização de audiências, limitem o compartilhamento de identificadores, revisem as configurações das plataformas publicitárias e documentem as finalidades e bases legais aplicáveis. Também é importante avaliar os fornecedores envolvidos, implementar mecanismos de gestão de consentimento quando necessários e assegurar que as solicitações de oposição e demais direitos dos titulares sejam consideradas nos processos de segmentação e direcionamento de campanhas.

Portanto, o limite entre a personalização legítima e o tratamento excessivo de dados pessoais não está apenas na tecnologia utilizada, mas na finalidade, na necessidade, na proporcionalidade e na transparência das operações realizadas. O remarketing e a publicidade comportamental podem integrar estratégias comerciais compatíveis com a LGPD, desde que observados os requisitos legais e as salvaguardas adequadas. Para os departamentos de Marketing, o desafio consiste em desenvolver campanhas relevantes sem transformar a experiência digital dos consumidores em um processo de monitoramento indiscriminado, assegurando que a inovação publicitária permaneça alinhada à proteção da privacidade e aos direitos fundamentais dos titulares.Parte superior do formulário

Perfilamento de consumidores — Segmentação, decisões automatizadas e inteligência artificial

A crescente utilização de dados pessoais nas estratégias de Marketing ampliou significativamente a capacidade das organizações de compreender o comportamento dos consumidores, antecipar interesses e desenvolver experiências comerciais personalizadas. Nesse contexto, o perfilamento, também conhecido como profiling, tornou-se uma prática relevante para a segmentação de públicos, a identificação de oportunidades comerciais e a otimização de campanhas publicitárias. Embora essas técnicas possam contribuir para a eficiência das ações de Marketing, sua utilização exige atenção aos princípios e às disposições da Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente quando envolve decisões automatizadas, inferências comportamentais e tecnologias de inteligência artificial.

O perfilamento de consumidores consiste na utilização de dados pessoais para analisar, classificar ou prever determinadas características, preferências e comportamentos de indivíduos. Nas atividades de Marketing, essa prática pode envolver a construção de perfis com base em históricos de compras, produtos visualizados, frequência de interações, localização, preferências declaradas e padrões de navegação. A partir dessas informações, as organizações conseguem identificar grupos de consumidores com características semelhantes, estimar a probabilidade de aquisição de determinados produtos e direcionar comunicações consideradas mais relevantes para cada público.

Na prática, uma empresa de comércio eletrônico pode utilizar informações sobre compras anteriores e interações com seu catálogo para identificar consumidores interessados em determinadas categorias de produtos. Da mesma forma, plataformas de automação de Marketing podem atribuir pontuações a potenciais clientes, por meio de técnicas conhecidas como lead scoring, considerando fatores como abertura de e-mails, acesso a conteúdos, preenchimento de formulários e interações comerciais. Essas classificações permitem priorizar oportunidades de relacionamento e adaptar estratégias de comunicação, mas também representam operações de tratamento de dados pessoais que devem observar finalidades legítimas, bases legais adequadas e critérios de necessidade e proporcionalidade.

Com o avanço da inteligência artificial e dos modelos de aprendizado de máquina, essas atividades passaram a incorporar mecanismos mais sofisticados de análise e previsão. Diferentemente das segmentações tradicionais, frequentemente baseadas em critérios previamente definidos, determinadas ferramentas de inteligência artificial conseguem identificar correlações entre grandes volumes de informações, reconhecer padrões de comportamento e produzir inferências sobre interesses ou tendências de consumo. Esses recursos podem ser utilizados para recomendar produtos, prever a possibilidade de abandono de uma compra, estimar a propensão de contratação e identificar públicos com maior probabilidade de responder a determinadas campanhas.

Entretanto, a sofisticação tecnológica não elimina os riscos associados ao tratamento de dados pessoais. Modelos de inteligência artificial podem produzir inferências incorretas, classificações desatualizadas ou associações que não correspondem à realidade dos titulares. Um consumidor que pesquisa determinado produto para presentear outra pessoa, por exemplo, pode ser classificado como integrante de um segmento de interesse que não representa suas preferências pessoais. Embora esse tipo de equívoco possa parecer limitado quando resulta apenas na exibição de um anúncio pouco relevante, seus impactos podem ser mais significativos quando as classificações são utilizadas para determinar ofertas, condições comerciais, prioridades de atendimento ou oportunidades disponibilizadas aos consumidores.

Outro risco relevante está relacionado à discriminação algorítmica e à categorização excessiva de indivíduos. Sistemas de perfilamento podem reproduzir distorções presentes nos dados utilizados em seu desenvolvimento ou estabelecer correlações que resultem em tratamentos injustificadamente diferenciados. Informações aparentemente neutras, como localização geográfica, padrões de consumo ou características de navegação, podem funcionar como indicadores indiretos de condições socioeconômicas ou de atributos protegidos pela legislação. Dependendo da finalidade e da forma de utilização, essas classificações podem contribuir para a exclusão de determinados grupos de campanhas, a restrição de oportunidades comerciais ou a apresentação de condições diferenciadas sem justificativa adequada.

Nesse cenário, é necessário distinguir a personalização comercial de decisões exclusivamente automatizadas que produzam efeitos sobre os interesses dos titulares. A simples recomendação de produtos com base em preferências anteriormente demonstradas não possui, necessariamente, as mesmas consequências de um sistema que utiliza perfis comportamentais para determinar automaticamente condições comerciais, restringir o acesso a determinados serviços ou classificar consumidores de maneira capaz de afetar seus interesses. A distinção deve considerar não apenas a tecnologia empregada, mas também a natureza da decisão, o grau de intervenção humana e os efeitos concretos ou potenciais sobre o indivíduo.

O artigo 20 da LGPD estabelece que o titular possui o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo aquelas destinadas a definir seu perfil pessoal, profissional, de consumo e de crédito ou aspectos de sua personalidade. Essa disposição possui especial relevância para organizações que utilizam sistemas automatizados de classificação, pontuação e análise comportamental em processos comerciais, uma vez que determinadas decisões fundamentadas em perfis de consumidores podem estar abrangidas pela previsão legal.

É importante observar que nem toda segmentação publicitária configura, automaticamente, uma decisão exclusivamente automatizada sujeita ao artigo 20. A aplicação desse dispositivo depende da existência de uma decisão tomada unicamente com base em tratamento automatizado e capaz de afetar os interesses do titular. Por outro lado, a utilização de sistemas de inteligência artificial para estabelecer classificações que influenciem diretamente o acesso a produtos, serviços ou condições comerciais pode exigir uma avaliação mais aprofundada quanto à incidência desse direito.

Além do direito à revisão, o § 1º do artigo 20 estabelece que o controlador deverá fornecer, sempre que solicitado, informações claras e adequadas sobre os critérios e procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial. Já o § 2º prevê a possibilidade de auditoria pela ANPD para verificação de aspectos discriminatórios quando determinadas informações deixarem de ser fornecidas sob a justificativa de proteção desses segredos. Assim, embora a legislação reconheça a necessidade de proteção de informações estratégicas das organizações, também estabelece mecanismos voltados à transparência e à fiscalização das decisões automatizadas.

Essa previsão possui implicações práticas para os departamentos de Marketing. Uma organização que utiliza algoritmos para classificar consumidores e determinar automaticamente condições comerciais deve compreender os principais critérios considerados pelo sistema, as informações utilizadas e os possíveis efeitos dessas decisões. A contratação de uma plataforma tecnológica ou de uma solução de inteligência artificial desenvolvida por terceiros não afasta a necessidade de avaliar a conformidade do tratamento, especialmente quando a organização utiliza os resultados para orientar decisões que afetem os interesses dos titulares.

Nesse sentido, a qualidade dos dados pessoais utilizados no perfilamento representa um elemento essencial para a confiabilidade das análises. O artigo 6º, inciso V, da LGPD estabelece o princípio da qualidade dos dados, exigindo que as informações sejam exatas, claras, relevantes e atualizadas, conforme a necessidade e a finalidade do tratamento. No contexto da inteligência artificial, esse princípio assume especial importância, uma vez que informações incorretas, incompletas ou desatualizadas podem influenciar os resultados produzidos pelos modelos e gerar classificações inadequadas.

A governança dos algoritmos também deve contemplar medidas destinadas a identificar e reduzir riscos de discriminação, inconsistências e utilização excessiva de informações pessoais. Para isso, recomenda-se que as organizações estabeleçam critérios para seleção dos dados utilizados, avaliem a necessidade das variáveis consideradas pelos modelos, realizem testes periódicos de desempenho e adotem mecanismos de monitoramento capazes de identificar resultados potencialmente discriminatórios. Quando aplicável, também devem ser definidos procedimentos para contestação de decisões, correção de informações e intervenção humana, especialmente em situações nas quais o tratamento possa produzir consequências relevantes para os consumidores.

Outro aspecto importante envolve a transparência sobre a utilização de sistemas automatizados. Embora não seja necessário divulgar irrestritamente códigos-fonte, modelos proprietários ou informações protegidas por segredo comercial e industrial, as organizações devem fornecer informações adequadas sobre as finalidades do tratamento, as categorias de dados utilizadas e, nas hipóteses abrangidas pelo artigo 20, os critérios e procedimentos empregados nas decisões automatizadas. Essa transparência contribui para que os titulares compreendam como suas informações são utilizadas e possam exercer os direitos assegurados pela legislação.

A avaliação dos impactos do perfilamento também deve considerar a extensão do tratamento, a natureza dos dados utilizados, a possibilidade de identificação dos titulares e as consequências decorrentes das classificações produzidas. Quanto maior a capacidade de um sistema de influenciar oportunidades comerciais, estabelecer diferenciações entre consumidores ou produzir inferências sobre características pessoais, maior deverá ser a atenção dedicada à identificação dos riscos e à implementação de salvaguardas adequadas. Quando o legítimo interesse for utilizado como base legal, essa avaliação deverá contemplar o teste de balanceamento, considerando as legítimas expectativas dos titulares e a prevalência de seus direitos e liberdades fundamentais.

Dessa forma, a utilização de inteligência artificial e técnicas de perfilamento no Marketing deve estar acompanhada de processos de governança que envolvam o mapeamento das operações de tratamento, a definição das bases legais, a avaliação dos fornecedores, a documentação das finalidades e a revisão periódica dos resultados produzidos. Também é recomendável que as áreas de Marketing, Tecnologia da Informação, Jurídico e Privacidade atuem de maneira integrada, especialmente na implementação de soluções que envolvam decisões automatizadas ou análises comportamentais mais complexas.

Portanto, a utilização de inteligência artificial e perfilamento de consumidores deve ser orientada não apenas pela capacidade tecnológica de prever comportamentos, mas pela legitimidade, necessidade e proporcionalidade do tratamento realizado. A personalização comercial pode contribuir para experiências mais relevantes e estratégias de Marketing mais eficientes, desde que as organizações mantenham controles sobre os dados utilizados, compreendam os efeitos das classificações produzidas e assegurem mecanismos adequados de transparência e exercício de direitos. Nesse contexto, a governança dos algoritmos torna-se parte integrante da proteção de dados pessoais, permitindo conciliar inovação, eficiência comercial e respeito aos direitos e liberdades fundamentais dos titulares.Parte inferior do formulário

Enriquecimento de bases e publicidade com dados de terceiros

A utilização de dados pessoais provenientes de terceiros tornou-se uma prática recorrente nas estratégias de Marketing, especialmente em atividades de prospecção comercial, segmentação de públicos, personalização de campanhas e identificação de novas oportunidades de negócio. Com o crescimento das plataformas de inteligência comercial, ferramentas de automação e serviços especializados em fornecimento de informações cadastrais, as organizações passaram a contar com diferentes possibilidades de ampliar suas bases de contatos e complementar os dados já disponíveis em seus sistemas. Entretanto, essas operações também representam desafios relevantes para a conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD), uma vez que a origem das informações, as condições de compartilhamento e as finalidades pretendidas devem ser avaliadas antes de sua utilização.

O enriquecimento de bases de dados, também conhecido como data enrichment, consiste na complementação de registros existentes por meio da incorporação de informações obtidas de outras fontes. No contexto do Marketing, essa atividade pode envolver a atualização de dados cadastrais, a identificação de vínculos profissionais, a inclusão de informações sobre interesses comerciais e a associação de características comportamentais aos perfis de consumidores. Uma organização que possui apenas o nome e o endereço eletrônico de determinado contato, por exemplo, pode contratar uma ferramenta especializada para acrescentar informações sobre sua atuação profissional, empresa vinculada ou outros atributos considerados relevantes para estratégias de segmentação e prospecção.

Embora essa prática possa contribuir para a qualidade dos cadastros e para a eficiência das campanhas, é necessário observar que o enriquecimento representa uma nova operação de tratamento de dados pessoais, sujeita aos princípios e às bases legais estabelecidos pela LGPD. O fato de a organização já possuir determinados dados sobre um consumidor não significa que esteja automaticamente autorizada a complementar seu perfil com informações obtidas de terceiros. A legitimidade da operação depende da finalidade pretendida, da natureza das informações incorporadas, da origem dos dados e da compatibilidade do tratamento com as legítimas expectativas dos titulares.

Nesse cenário, a aquisição de listas de contatos e a contratação de fornecedores especializados em bases comerciais exigem atenção adicional. É comum que empresas ofereçam conjuntos de informações contendo nomes, endereços eletrônicos, telefones, cargos profissionais, vínculos empresariais e outros dados destinados à prospecção de potenciais clientes. Entretanto, a disponibilidade comercial de uma base de dados não representa, por si só, uma garantia de que sua coleta, compartilhamento e utilização estejam em conformidade com a LGPD. A organização adquirente deve avaliar se existe fundamento jurídico adequado para receber e utilizar essas informações, considerando também as condições em que foram originalmente obtidas.

Um dos principais equívocos relacionados a essas atividades consiste em presumir que dados pessoais disponíveis publicamente podem ser utilizados de maneira irrestrita. Informações divulgadas em redes sociais, páginas institucionais, diretórios profissionais, cadastros públicos ou outras fontes acessíveis na internet continuam sujeitas à proteção da LGPD quando relacionadas a pessoas naturais identificadas ou identificáveis. O artigo 7º, § 4º, da legislação prevê a dispensa da exigência de consentimento para dados tornados manifestamente públicos pelo titular, resguardados seus direitos e os princípios legais. Essa previsão, entretanto, não representa uma autorização genérica para qualquer forma de tratamento.

Além disso, o artigo 7º, § 3º, estabelece que o tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização. Dessa forma, a existência de um endereço eletrônico profissional em determinada página não significa que o titular espere receber campanhas comerciais de organizações com as quais nunca estabeleceu relacionamento. Da mesma maneira, informações disponibilizadas para fins de transparência institucional, participação em eventos ou divulgação profissional não podem ser automaticamente reutilizadas para qualquer finalidade publicitária, sem a avaliação de sua compatibilidade com o contexto original.

Essa distinção é especialmente importante em atividades de prospecção que utilizam ferramentas automatizadas para coletar informações disponíveis na internet, prática frequentemente associada ao web scraping. Embora a coleta automatizada de informações publicamente acessíveis não seja, por si só, necessariamente ilícita, sua utilização para construir bases comerciais deve observar os requisitos da LGPD, incluindo a identificação de uma base legal adequada, o respeito à finalidade, a necessidade dos dados e a transparência perante os titulares. A escala da coleta, a combinação de informações provenientes de diferentes fontes e a possibilidade de formação de perfis individuais também devem integrar a avaliação dos riscos.

Nesse contexto, a verificação da origem dos dados e da legitimidade de seu compartilhamento constitui uma etapa essencial antes da contratação de fornecedores ou da incorporação de novas bases aos sistemas internos. As organizações devem buscar compreender como as informações foram coletadas, quais finalidades foram apresentadas aos titulares, quais bases legais fundamentaram as operações e se existe legitimidade para o compartilhamento e a utilização posterior dos dados. Quando o fornecedor afirma que os titulares consentiram com o recebimento de comunicações comerciais, por exemplo, é necessário avaliar a abrangência dessa autorização, as finalidades informadas e a possibilidade de demonstrar que o consentimento foi obtido de maneira válida.

Da mesma forma, quando o fornecedor utiliza o legítimo interesse como fundamento para a coleta ou disponibilização de informações, a organização contratante deve avaliar se essa justificativa é compatível com as características do tratamento e se foram consideradas as legítimas expectativas dos titulares. A existência de uma base legal para a atividade realizada pelo fornecedor não significa, necessariamente, que a mesma hipótese poderá justificar todas as operações posteriores realizadas pela empresa adquirente. Cada agente deve avaliar os tratamentos sob sua responsabilidade, considerando as finalidades efetivamente determinadas e as condições concretas de utilização das informações.

Por essa razão, a realização de processos de Due Diligence de Privacidade e Proteção de Dados representa uma medida relevante para a contratação de fornecedores de dados, agências de publicidade, plataformas de prospecção e empresas especializadas em inteligência comercial. Essas avaliações devem contemplar aspectos como a origem e a licitude das bases disponibilizadas, as hipóteses legais utilizadas, os mecanismos de transparência, os procedimentos de atendimento aos direitos dos titulares, os critérios de retenção e eliminação e as medidas técnicas e administrativas de segurança da informação.

Entretanto, a análise não deve se limitar ao preenchimento de questionários ou à apresentação de declarações genéricas de conformidade. Afirmações como “a base está adequada à LGPD”, “todos os contatos possuem autorização” ou “os dados foram obtidos de fontes públicas” não são suficientes, isoladamente, para demonstrar a legitimidade das operações. Sempre que necessário e proporcional aos riscos identificados, devem ser solicitadas evidências capazes de sustentar as informações prestadas, como descrições dos processos de coleta, modelos de avisos de privacidade, registros pertinentes de consentimento, documentação das avaliações de legítimo interesse e procedimentos adotados para atualização e exclusão de dados.

Outro aspecto relevante envolve a utilização de listas de clientes e audiências personalizadas em plataformas de publicidade digital. Determinadas ferramentas permitem que as organizações compartilhem endereços eletrônicos, números de telefone ou outros identificadores para localizar correspondências entre seus cadastros e os usuários de plataformas publicitárias. A partir dessas correspondências, podem ser desenvolvidas campanhas direcionadas a públicos específicos, estratégias de exclusão de clientes de determinadas ações e mecanismos de identificação de audiências com características semelhantes.

Embora algumas plataformas utilizem técnicas de transformação de identificadores, como funções de hash, é importante compreender que esses procedimentos não representam necessariamente a anonimização dos dados pessoais. Quando as informações transformadas continuam permitindo a identificação ou correspondência com pessoas naturais, inclusive mediante a utilização de bases adicionais, permanecem sujeitas à LGPD. Portanto, o compartilhamento de listas de clientes com plataformas publicitárias deve ser avaliado como uma operação de tratamento de dados pessoais, exigindo fundamento jurídico adequado, transparência e observância dos princípios da finalidade, necessidade e segurança.

A definição das responsabilidades entre os agentes envolvidos também merece atenção. Conforme os artigos 5º, incisos VI e VII, e 39 da LGPD, o controlador é responsável pelas decisões referentes ao tratamento de dados pessoais, enquanto o operador realiza o tratamento em nome do controlador, observando suas instruções e as disposições legais aplicáveis. Entretanto, a relação entre uma organização e seus fornecedores não pode ser definida exclusivamente pela denominação utilizada no contrato, sendo necessário avaliar as atividades efetivamente desempenhadas e o grau de autonomia de cada agente na determinação das finalidades e dos elementos essenciais do tratamento.

Por exemplo, uma agência de publicidade contratada exclusivamente para executar campanhas com base nas instruções de determinada empresa poderá atuar como operadora de dados pessoais. Por outro lado, um fornecedor que coleta informações de diferentes fontes, estrutura bases comerciais e define autonomamente as finalidades de sua utilização poderá atuar como controlador em relação a essas operações. Dependendo das circunstâncias, também poderão existir situações de controladoria conjunta ou diferentes papéis desempenhados pelos mesmos agentes em operações distintas. Essa diferenciação é abordada no Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, publicado pela ANPD.

A formalização contratual constitui, portanto, uma medida importante para estabelecer as responsabilidades relacionadas ao tratamento de dados pessoais. Os instrumentos celebrados com fornecedores de dados, agências e plataformas tecnológicas devem contemplar, conforme a natureza da relação, as finalidades autorizadas, as categorias de informações envolvidas, as obrigações de confidencialidade e segurança, as condições de compartilhamento, os procedimentos de atendimento aos direitos dos titulares e as regras aplicáveis à retenção e eliminação dos dados. Também devem ser avaliadas eventuais transferências internacionais, a utilização de suboperadores e as responsabilidades relacionadas à comunicação e ao tratamento de incidentes de segurança.

Entretanto, a existência de cláusulas contratuais de proteção de dados não substitui a necessidade de verificar a legitimidade das operações efetivamente realizadas. Um contrato que atribui ao fornecedor a responsabilidade pela origem das informações pode estabelecer obrigações e mecanismos de responsabilização entre as partes, mas não afasta automaticamente os deveres legais da organização que decide utilizar os dados para suas próprias finalidades comerciais. A responsabilidade de cada agente deve ser analisada conforme sua atuação concreta e as disposições da LGPD, inclusive quanto às hipóteses previstas nos artigos 42 e 43.

Outro desafio envolve a manutenção da conformidade após a incorporação dos dados aos sistemas internos. Informações adquiridas de terceiros podem ser distribuídas entre plataformas de CRM, ferramentas de automação, planilhas comerciais e sistemas administrados por diferentes equipes. Sem mecanismos adequados de governança, essa distribuição pode dificultar a identificação da origem dos registros, a atualização das informações e o atendimento a solicitações de acesso, correção, oposição ou eliminação. Também pode resultar na reutilização de dados para finalidades não avaliadas originalmente, ampliando os riscos de tratamento excessivo ou incompatível com as expectativas dos titulares.

Para reduzir esses riscos, recomenda-se que as organizações mantenham registros sobre a procedência das bases utilizadas, os fornecedores responsáveis por sua disponibilização, as finalidades autorizadas, as hipóteses legais consideradas e os critérios de retenção aplicáveis. A integração dessas informações ao Registro das Operações de Tratamento de Dados Pessoais (ROPA) contribui para a rastreabilidade das atividades e facilita a identificação de eventuais incompatibilidades entre a finalidade originalmente estabelecida e as operações posteriormente realizadas. Da mesma forma, a implementação de mecanismos de gestão de preferências e listas de bloqueio deve alcançar, quando pertinente, os dados recebidos de terceiros, evitando que contatos anteriormente descadastrados sejam reincorporados a campanhas por meio de novas importações.

Nesse contexto, a contratação de fornecedores deve ser compreendida como parte de um processo contínuo de gestão de riscos, e não como uma etapa meramente administrativa. A conclusão de uma Due Diligence, a apresentação de documentos de conformidade ou a assinatura de cláusulas contratuais não representam garantias absolutas de adequação à LGPD. É necessário acompanhar as recomendações identificadas, verificar a implementação das medidas pertinentes e reavaliar as condições do tratamento sempre que houver alterações relevantes nas fontes de dados, nas tecnologias utilizadas ou nas finalidades comerciais.

Portanto, os riscos associados ao enriquecimento de bases e à publicidade com dados de terceiros começam antes da execução das campanhas, no momento em que a organização decide adquirir, receber, complementar ou compartilhar informações pessoais. A legitimidade dessas operações depende não apenas da existência de uma base legal, mas também da capacidade de demonstrar a origem dos dados, a compatibilidade das finalidades, a adequação dos fornecedores e a definição das responsabilidades dos agentes envolvidos. Para os departamentos de Marketing, isso significa reconhecer que a aquisição de uma base de contatos ou a contratação de uma plataforma especializada não transfere automaticamente a responsabilidade pela conformidade, sendo indispensável incorporar a proteção de dados pessoais às decisões de contratação, às estratégias de prospecção e à gestão contínua das informações utilizadas.

O que a ANPD está priorizando em 2026

A evolução das estratégias de Marketing digital, especialmente com a utilização de inteligência artificial, publicidade comportamental, tecnologias de rastreamento e compartilhamento de informações entre diferentes plataformas, passou a integrar discussões relevantes no cenário regulatório brasileiro. À medida que as organizações ampliam sua capacidade de coletar, combinar e analisar dados pessoais para direcionar campanhas, também se intensificam os desafios relacionados à transparência, à legitimidade das finalidades e à proteção dos direitos dos titulares. Nesse contexto, a atuação da Agência Nacional de Proteção de Dados (ANPD) assume especial importância, uma vez que suas prioridades de fiscalização e regulamentação permitem identificar práticas que demandam maior atenção das organizações.

Em dezembro de 2025, a ANPD publicou, por meio da Resolução CD/ANPD nº 30/2025, o Mapa de Temas Prioritários de Fiscalização para o biênio 2026–2027, instrumento que orienta o planejamento das atividades fiscalizatórias da Agência. O documento estabelece quatro temas prioritários: direitos dos titulares; proteção de crianças e adolescentes no ambiente digital; tratamento de dados pessoais pelo Poder Público; e inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais. A definição dessas prioridades considerou informações provenientes de requerimentos, comunicações de incidentes de segurança, ações de fiscalização e outros elementos reunidos durante os ciclos anteriores de monitoramento.

Embora a publicidade comportamental não constitua, isoladamente, um dos quatro eixos gerais do Mapa, o monitoramento do uso secundário de dados pessoais para publicidade comercial direcionada foi expressamente incluído entre as atividades fiscalizatórias previstas para o biênio. Essa distinção é relevante porque demonstra que a utilização de informações pessoais para finalidades publicitárias integra as preocupações da Agência, especialmente quando envolve o reaproveitamento de dados originalmente coletados em outros contextos.

O uso secundário ocorre quando informações pessoais inicialmente coletadas para determinada finalidade passam a ser utilizadas em operações posteriores, como segmentação de consumidores, enriquecimento de cadastros, construção de audiências ou direcionamento de anúncios. Uma organização que coleta dados para executar uma compra, por exemplo, pode posteriormente pretender utilizá-los para identificar padrões de consumo e desenvolver campanhas personalizadas. Embora essa utilização não seja automaticamente proibida, sua legitimidade depende da avaliação da finalidade posterior, da base legal aplicável, da compatibilidade com o contexto original da coleta e das expectativas dos titulares.

A Nota Técnica nº 54/2025/FIS/CGF/ANPD, que subsidiou a elaboração do Mapa de Temas Prioritários, identifica o tratamento secundário de dados pessoais para finalidades incompatíveis com a coleta inicial, especialmente em situações de publicidade direcionada e perfilamento, entre os assuntos de relevância para a atuação fiscalizatória. Esse direcionamento reforça a importância de que os departamentos de Marketing não considerem a disponibilidade de informações em seus sistemas como autorização suficiente para utilizá-las em novas estratégias comerciais.

Nesse cenário, práticas como o compartilhamento de históricos de compras com plataformas publicitárias, a utilização de informações cadastrais para criação de públicos personalizados e o cruzamento de dados provenientes de diferentes fontes exigem atenção especial. A organização deve compreender se a finalidade publicitária foi adequadamente informada, se existe fundamento jurídico para a nova operação e se foram implementadas medidas proporcionais aos riscos envolvidos. Também é necessário avaliar as responsabilidades dos fornecedores e das plataformas que participam do tratamento, especialmente quando as informações compartilhadas podem ser utilizadas para finalidades próprias desses agentes.

Outro eixo prioritário da ANPD envolve a proteção de crianças e adolescentes no ambiente digital, tema que ganhou relevância adicional com a Lei nº 15.211/2025, conhecida como Estatuto Digital da Criança e do Adolescente (ECA Digital). A legislação estabeleceu obrigações específicas para produtos e serviços digitais abrangidos por suas disposições, incluindo medidas relacionadas à privacidade, à segurança e à proteção contra práticas capazes de comprometer os direitos desse público. No contexto do Marketing, merecem destaque as restrições à utilização de dados pessoais de crianças e adolescentes para publicidade comercial baseada em perfilamento, bem como à análise comportamental destinada ao direcionamento publicitário.

A ANPD também incluiu entre as atividades previstas para o biênio a verificação da adoção, desde a concepção e por padrão, das configurações mais protetivas disponíveis em relação à privacidade e à proteção de dados pessoais. Essa orientação possui implicações para plataformas digitais, aplicativos e serviços que utilizam mecanismos de personalização, recomendação de conteúdos e direcionamento de anúncios, especialmente quando acessíveis a crianças e adolescentes. Para as organizações, isso reforça a necessidade de avaliar previamente as funcionalidades publicitárias disponibilizadas, os mecanismos de identificação etária aplicáveis e as configurações que possam permitir o rastreamento ou a formação de perfis de usuários menores de idade.

A regulamentação dessas obrigações também integra a Agenda Regulatória 2025–2026, atualizada pela Resolução CD/ANPD nº 31/2025. Entre os temas incorporados estão os mecanismos de aferição de idade, o escopo e as obrigações gerais dos fornecedores de produtos ou serviços de tecnologia da informação abrangidos pelo ECA Digital e a revisão das regras de fiscalização e sanção relacionadas à nova legislação. A Agência esclareceu que determinadas matérias tecnicamente complexas poderão ser inicialmente abordadas por meio de regulamentação e orientação, antes de ações fiscalizatórias e eventuais sanções administrativas.

A inteligência artificial e as tecnologias emergentes também integram os temas prioritários para 2026–2027, refletindo os desafios associados à crescente utilização de sistemas automatizados no tratamento de dados pessoais. No departamento de Marketing, essas tecnologias são empregadas para identificar padrões de comportamento, prever interesses, recomendar produtos, classificar consumidores e otimizar campanhas. Entretanto, sua utilização pode envolver riscos relacionados à formação de perfis excessivamente detalhados, à utilização de dados para finalidades incompatíveis, à produção de inferências incorretas e à ocorrência de resultados discriminatórios.

Nesse contexto, a atuação regulatória da ANPD apresenta conexão com o artigo 20 da LGPD, que assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões destinadas à definição de perfis de consumo. A Agenda Regulatória 2025–2026 contempla iniciativas relacionadas à inteligência artificial, incluindo o desenvolvimento de parâmetros interpretativos para a aplicação desse dispositivo e a análise de questões envolvendo bases legais, princípios da LGPD e direitos dos titulares no desenvolvimento e na utilização de sistemas de inteligência artificial.

Para as organizações que utilizam ferramentas automatizadas de Marketing, esse cenário evidencia a importância de compreender os critérios empregados pelos sistemas, a origem das informações utilizadas e os possíveis efeitos das classificações produzidas. A utilização de soluções tecnológicas fornecidas por terceiros não elimina a necessidade de avaliar os riscos do tratamento, especialmente quando os resultados são utilizados para determinar condições comerciais, estabelecer prioridades de atendimento ou influenciar decisões capazes de afetar os interesses dos consumidores.

A proteção dos direitos dos titulares constitui outro eixo central da fiscalização prevista para 2026–2027. No contexto do Marketing, essa prioridade possui implicações diretas para o atendimento de solicitações de acesso, correção, eliminação e oposição ao tratamento de dados pessoais, bem como para a disponibilização de informações claras sobre as finalidades das campanhas e os agentes envolvidos. A utilização de diferentes plataformas de automação, sistemas de CRM e fornecedores de publicidade pode dificultar o atendimento dessas solicitações, especialmente quando os dados são compartilhados entre múltiplos ambientes e não existem mecanismos adequados de rastreabilidade.

Nesse sentido, a transparência deve ser compreendida como uma obrigação que acompanha todo o ciclo de vida dos dados pessoais, desde sua coleta até sua eliminação ou conservação nas hipóteses legalmente admitidas. Uma organização que utiliza informações cadastrais para criar audiências personalizadas, por exemplo, deve avaliar como essa finalidade é apresentada aos consumidores e quais mecanismos estão disponíveis para o exercício de seus direitos. Da mesma forma, solicitações de descadastramento de comunicações comerciais devem ser efetivamente refletidas nos sistemas envolvidos, evitando que os contatos sejam reincorporados a novas campanhas por meio de integrações, importações de bases ou fornecedores terceirizados.

Além das atividades de fiscalização, a ANPD mantém iniciativas regulatórias relacionadas ao consentimento e à atuação de agregadores de dados pessoais, temas diretamente associados às práticas de publicidade digital. A Agenda Regulatória 2025–2026 contempla uma iniciativa específica sobre a hipótese legal do consentimento, destinada ao estabelecimento de parâmetros e orientações sobre seus requisitos de validade, incluindo liberdade de escolha, clareza das informações, finalidade determinada e possibilidade de revogação. Conforme o acompanhamento publicado pela Agência, atualizado em setembro de 2026, essa iniciativa permanecia em elaboração interna, não devendo ser confundida com a existência de uma nova regulamentação já concluída.

Essa discussão possui relevância para organizações que utilizam banners de cookies, formulários de inscrição, ferramentas de automação e mecanismos de rastreamento publicitário. A obtenção de consentimento não deve ser tratada como uma formalidade destinada exclusivamente a viabilizar campanhas, mas como uma manifestação efetiva de vontade do titular. Assim, a evolução das orientações regulatórias pode exigir revisões nas interfaces de coleta, nos mecanismos de registro das autorizações e nos procedimentos de gestão das preferências dos consumidores.

A atuação dos agregadores de dados pessoais também integra a Agenda Regulatória da ANPD. Essas organizações podem atuar na coleta, organização, combinação e disponibilização de informações provenientes de diferentes fontes, inclusive mediante técnicas automatizadas de extração de dados publicamente acessíveis. A iniciativa regulatória busca esclarecer questões relacionadas às hipóteses legais aplicáveis, às medidas de transparência e aos limites da utilização de dados públicos ou tornados manifestamente públicos pelos titulares. Segundo o acompanhamento oficial da Agência, a matéria permanecia em fase de elaboração interna em setembro de 2026.

Para os departamentos de Marketing, essa iniciativa reforça a importância de avaliar fornecedores de bases comerciais, plataformas de enriquecimento cadastral e ferramentas de prospecção. A aquisição de informações disponibilizadas por terceiros não elimina a necessidade de verificar sua origem, as condições de coleta e a legitimidade das finalidades pretendidas. Embora a atuação de agregadores não tenha sido estabelecida como eixo autônomo do Mapa de Temas Prioritários 2026–2027, o tema permanece relevante no âmbito regulatório e pode ser alcançado por outras atividades de fiscalização, conforme as características das operações realizadas.

É importante destacar que o Mapa de Temas Prioritários e a Agenda Regulatória possuem finalidades distintas. Enquanto o primeiro estabelece prioridades para as atividades de fiscalização, a segunda organiza iniciativas de regulamentação e elaboração de orientações normativas. Portanto, a inclusão de determinada matéria nesses instrumentos não significa, necessariamente, a existência de uma nova obrigação já regulamentada ou a instauração automática de procedimentos sancionadores. Entretanto, ambos oferecem parâmetros importantes para que as organizações identifiquem tendências regulatórias e antecipem avaliações de conformidade.

Diante desse cenário, recomenda-se que os departamentos de Marketing acompanhem periodicamente as publicações, orientações, consultas públicas e regulamentações da ANPD, avaliando seus possíveis impactos sobre as atividades desenvolvidas. Essa atuação deve envolver a revisão das bases legais utilizadas, dos mecanismos de consentimento, das práticas de publicidade comportamental, dos processos de perfilamento e dos contratos celebrados com fornecedores de dados e plataformas tecnológicas. Também é importante manter registros das avaliações realizadas e das medidas adotadas, permitindo demonstrar que as decisões comerciais consideram os riscos relacionados à proteção de dados pessoais.

Portanto, as prioridades estabelecidas pela ANPD para 2026–2027 evidenciam a necessidade de maior atenção às práticas de publicidade direcionada, ao uso secundário de dados pessoais, à proteção de crianças e adolescentes, às decisões automatizadas e à efetividade dos direitos dos titulares. Para as organizações, acompanhar a atuação regulatória da Agência não deve representar apenas uma resposta a possíveis fiscalizações, mas uma oportunidade de aprimorar seus mecanismos de governança e revisar estratégias que envolvam tratamento de dados pessoais. Nesse contexto, a conformidade das atividades de Marketing exige uma abordagem contínua, capaz de acompanhar a evolução das tecnologias e das orientações regulatórias, conciliando inovação, eficiência comercial e respeito à privacidade dos consumidores.Parte superior do formulário

Conclusão

A transformação digital ampliou significativamente as possibilidades de utilização de dados pessoais nas estratégias de Marketing, permitindo que as organizações desenvolvam campanhas mais segmentadas, compreendam o comportamento dos consumidores e estabeleçam relacionamentos comerciais cada vez mais personalizados. Entretanto, essa evolução também trouxe responsabilidades relacionadas à coleta, à utilização, ao compartilhamento e à conservação das informações, exigindo que a inovação tecnológica seja acompanhada de mecanismos adequados de governança e proteção de dados pessoais. Nesse cenário, a Lei Geral de Proteção de Dados Pessoais (LGPD) não representa um impedimento à realização de campanhas publicitárias, mas estabelece critérios e limites para que essas atividades sejam desenvolvidas de maneira legítima, transparente e proporcional.

Ao longo deste artigo, foi possível observar que a conformidade das operações de Marketing não depende exclusivamente da obtenção de consentimento ou da identificação formal de uma base legal. Atividades como e-mail marketing, remarketing, publicidade comportamental, perfilamento de consumidores e enriquecimento de bases cadastrais apresentam características distintas, que exigem avaliações específicas quanto às finalidades pretendidas, à origem dos dados utilizados e aos possíveis impactos sobre os direitos dos titulares. Nesse contexto, o legítimo interesse, embora possa fundamentar determinadas iniciativas comerciais, não deve ser interpretado como uma autorização genérica para o tratamento de informações pessoais, sendo indispensável demonstrar sua adequação por meio de avaliações concretas, considerando os princípios da necessidade, proporcionalidade e transparência.

A crescente utilização de inteligência artificial, ferramentas de automação e tecnologias de rastreamento também reforça a necessidade de compreender os limites da personalização. A possibilidade de identificar padrões de comportamento, prever interesses e direcionar anúncios não significa que todas as informações disponíveis possam ser utilizadas indiscriminadamente. A construção de perfis de consumidores, especialmente quando envolve o cruzamento de dados provenientes de diferentes fontes, exige atenção à qualidade das informações, à legitimidade das inferências produzidas e aos riscos de discriminação, monitoramento excessivo e utilização de dados para finalidades incompatíveis com aquelas originalmente estabelecidas.

Outro aspecto fundamental está relacionado à responsabilidade das organizações sobre todo o ciclo de vida dos dados pessoais utilizados em suas estratégias comerciais. A contratação de agências de publicidade, plataformas de automação, fornecedores de bases cadastrais ou soluções de inteligência artificial não afasta os deveres legais dos agentes de tratamento, conforme suas respectivas atuações. Dessa forma, a conformidade deve começar antes da execução das campanhas, abrangendo a avaliação da origem das informações, a definição das bases legais, a análise dos fornecedores, a formalização das responsabilidades contratuais e a implementação de procedimentos adequados de retenção, eliminação e atendimento aos direitos dos titulares.

Nesse sentido, a governança de dados pessoais deve ser incorporada ao planejamento estratégico do departamento de Marketing, deixando de ser compreendida como uma atividade exclusivamente jurídica ou uma etapa posterior à implementação de novas ferramentas. O mapeamento das operações de tratamento, a manutenção do Registro das Operações de Tratamento de Dados Pessoais (ROPA), a realização de testes de balanceamento, a gestão de consentimentos e preferências, a avaliação de fornecedores e a revisão periódica das tecnologias utilizadas constituem medidas importantes para reduzir riscos jurídicos, operacionais e reputacionais. A atuação integrada entre as áreas de Marketing, Jurídico, Tecnologia da Informação e Privacidade também contribui para que as decisões comerciais sejam acompanhadas de critérios adequados de proteção de dados desde sua concepção.

As prioridades regulatórias estabelecidas pela Agência Nacional de Proteção de Dados (ANPD) para o biênio 2026–2027 reforçam a relevância dessa abordagem. O monitoramento do uso secundário de dados pessoais para publicidade comercial direcionada, a proteção de crianças e adolescentes no ambiente digital, a utilização de inteligência artificial e a efetividade dos direitos dos titulares demonstram que as estratégias de Marketing estão inseridas em um ambiente regulatório em constante evolução. Para as organizações, esse cenário exige acompanhamento contínuo das orientações da Agência e capacidade de revisar práticas, processos e tecnologias sempre que necessário, evitando que a busca por eficiência comercial resulte em tratamentos excessivos ou incompatíveis com a legislação.

Além do cumprimento das obrigações legais, a proteção de dados pessoais também desempenha um papel relevante na construção de relacionamentos comerciais sustentáveis. Consumidores que compreendem como suas informações são utilizadas, possuem mecanismos efetivos para gerenciar suas preferências e encontram transparência nas comunicações recebidas tendem a dispor de melhores condições para estabelecer relações de confiança com as organizações. Nesse sentido, a privacidade não deve ser considerada apenas um requisito de conformidade, mas um elemento que contribui para a credibilidade institucional, a qualidade do relacionamento com os consumidores e a sustentabilidade das estratégias comerciais.

Portanto, o principal desafio do Marketing contemporâneo não está apenas em utilizar dados pessoais para compreender e alcançar consumidores, mas em assegurar que cada operação de tratamento possua finalidade legítima, fundamento jurídico adequado e mecanismos proporcionais de proteção. A eficiência de uma campanha não deve ser medida exclusivamente por indicadores de alcance, engajamento ou conversão, mas também pela capacidade da organização de respeitar as expectativas e os direitos dos titulares ao longo de toda a jornada de relacionamento. Incorporar a LGPD às decisões de Marketing significa reconhecer que inovação, personalização e privacidade não são objetivos incompatíveis, mas dimensões que devem ser desenvolvidas de maneira integrada.

Dessa forma, a proteção de dados pessoais deve integrar todas as etapas das estratégias de Marketing, desde o planejamento das campanhas e a definição dos públicos-alvo até a escolha das tecnologias, a contratação de fornecedores e o encerramento das operações de tratamento. A adoção de critérios claros para utilização de informações, o respeito às preferências dos consumidores e a manutenção de mecanismos contínuos de governança permitem que as organizações desenvolvam iniciativas comerciais mais responsáveis e sustentáveis. Mais do que alcançar o consumidor certo, no momento certo, o Marketing orientado pela proteção de dados deve assegurar que esse relacionamento seja construído de maneira legítima, transparente e respeitosa, reconhecendo que a confiança também constitui um dos resultados mais importantes de uma estratégia comercial.

Referências

https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm

https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_legitimo_interesse.pdf

https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/anonimizado___guia_de_cookies.pdf

https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_agentes_de_tratamento_e_encarregado___defeso_eleitoral.pdf

https://www.gov.br/anpd/pt-br/assuntos/fiscalizacao/mapa-de-temas-prioritarios

https://www.gov.br/anpd/pt-br/assuntos/regulamentacao/agenda-regulatoria

https://www.gov.br/anpd/pt-br/assuntos/legislacao

https://www.gov.br/anpd/pt-br/acesso-a-informacao/perguntas-frequentes

https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2025/lei/l15211.htm

https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes

O Papel da DPO Expert na Governança e Prevenção de Riscos

A DPO Expert apoia organizações na estruturação e no aprimoramento de práticas de privacidade e proteção de dados pessoais aplicadas às atividades de Marketing, considerando todo o ciclo de vida das informações utilizadas nas estratégias comerciais. Essa atuação envolve o mapeamento dos fluxos de dados e sua inclusão no Registro das Operações de Tratamento de Dados Pessoais (ROPA), a definição das bases legais aplicáveis, a avaliação de práticas de prospecção, e-mail marketing, remarketing e publicidade comportamental, além da gestão de consentimentos, cookies e tecnologias de rastreamento. Também contempla a análise dos riscos relacionados ao uso de Inteligência Artificial, ao perfilamento de consumidores, ao enriquecimento de bases cadastrais e ao compartilhamento de informações com terceiros, bem como a avaliação de fornecedores e a estruturação de mecanismos para o atendimento aos direitos dos titulares.

Dessa forma, a DPO Expert não apenas viabiliza a conformidade com a LGPD, mas contribui diretamente para o aumento da maturidade organizacional em proteção de dados, posicionando a empresa de forma mais segura, competitiva e preparada para os desafios do ambiente digital.

Clique aqui e veja como a DPO Expert pode proteger sua empresa.

Siga nossa página no LinkedIn