LGPD na prospecção B2B: dados de CNPJ e legítimo interesse

A LGPD não proíbe a prospecção B2B, mas se aplica sempre que ela usa dados de pessoas físicas, como nome de sócio, celular do dono ou dados de um MEI. Dados da própria pessoa jurídica, como razão social e CNPJ, não são dados pessoais por si só. Para tratar dados pessoais sem consentimento, a base legal normalmente analisada é o legítimo interesse, que pede teste de balanceamento, transparência e respeito aos direitos do titular.

Aviso: este guia é informativo e não é aconselhamento jurídico. Para decisões sobre o seu caso, consulte um advogado especializado em proteção de dados.

O que a LGPD protege?

A Lei 13.709/2018, a LGPD, trata do uso de dados pessoais para proteger os direitos de liberdade e de privacidade da pessoa natural (art. 1º). Para a prospecção, três definições do art. 5º são centrais:

• Dado pessoal é "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, inciso I).
• Titular é a pessoa natural a quem os dados se referem (art. 5º, inciso V). Empresa não é titular.
• Tratamento é toda operação com dados pessoais, como coleta, armazenamento, utilização e transmissão (art. 5º, inciso X). Guardar um contato no CRM já é tratamento.

A lei não se aplica ao uso por pessoa natural para fins exclusivamente particulares e não econômicos (art. 4º, inciso I). Prospecção é atividade econômica, então essa exceção não vale para o seu time de vendas.

Dados públicos de CNPJ são dados pessoais?

Depende do dado. O que importa é se a informação identifica uma pessoa natural.

Dado	É dado pessoal?	Por quê
Razão social, CNPJ, CNAE e situação cadastral de uma sociedade	Em regra, não	Referem-se à pessoa jurídica, salvo se o nome trouxer o de uma pessoa
Nome de sócios e administradores	Sim	Identificam pessoas naturais
Nome empresarial de MEI	Sim	É formado pelo número do CNPJ seguido do nome civil ou social do titular
Celular ou e-mail de uma pessoa cadastrado como contato da empresa	Sim	Permite identificar e contatar uma pessoa natural
Telefone fixo ou e-mail genérico da empresa	Em regra, não	Não está ligado a uma pessoa específica

O formato do nome empresarial do MEI está descrito pela Receita Federal no gov.br. Atenção também ao endereço: em MEIs e empresas pequenas, o endereço cadastrado pode ser a casa do dono, e aí ele passa a se relacionar com uma pessoa.

Como uma lista de prospecção costuma misturar os dois tipos de dado, o mais seguro é tratar a lista inteira como sujeita à LGPD.

Posso usar dados públicos de CNPJ para prospecção?

Dado público não é dado livre. Os parágrafos do art. 7º da LGPD tratam disso:

• Parágrafo 3º: "O tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização."
• Parágrafo 4º: dispensa o consentimento para dados tornados manifestamente públicos pelo próprio titular, resguardados os direitos do titular e os princípios da lei.
• Parágrafo 6º: a dispensa de consentimento não desobriga das demais obrigações da lei, em especial dos princípios e dos direitos do titular.
• Parágrafo 7º: permite o tratamento posterior desses dados para novas finalidades, desde que haja propósitos legítimos e específicos e que os direitos do titular sejam preservados.

Ou seja, usar dados públicos de CNPJ na prospecção pode ser possível, mas exige finalidade legítima e compatível, base legal, só os dados necessários e respeito aos direitos de quem é contatado.

Qual base legal usar na prospecção B2B?

O art. 7º lista as hipóteses que autorizam o tratamento. Na prospecção fria ainda não há consentimento, então a base normalmente analisada é o legítimo interesse, no art. 7º, inciso IX: "quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais".

O art. 10 detalha as condições:

• A finalidade precisa ser legítima e considerada a partir de situações concretas. O "apoio e promoção de atividades do controlador" é um dos exemplos da lei (inciso I).
• Só podem ser tratados os dados estritamente necessários para a finalidade (parágrafo 1º).
• O controlador deve adotar medidas de transparência (parágrafo 2º).
• A ANPD, órgão que fiscaliza a LGPD, pode pedir um relatório de impacto quando o tratamento se baseia no legítimo interesse (parágrafo 3º).

Legítimo interesse não serve para dados pessoais sensíveis, como saúde, religião ou opinião política, porque essa hipótese não aparece no art. 11. Na prospecção B2B, você não deveria precisar de nenhum deles.

Como fazer o teste de balanceamento do legítimo interesse?

Em fevereiro de 2024, a ANPD publicou o Guia Orientativo sobre legítimo interesse. Segundo o guia, o tratamento com base no legítimo interesse deve ser precedido de um teste de balanceamento. O modelo da ANPD, em três fases, não é de uso obrigatório, e cada empresa pode usar outra metodologia compatível com a LGPD.

1. Finalidade. Descreva o interesse e confira se ele é compatível com a lei, se parte de uma situação concreta e se está ligado a uma finalidade legítima, específica e explícita. Exemplo: oferecer um sistema de agendamento a clínicas odontológicas de uma cidade.
2. Necessidade. Liste só os dados indispensáveis. Se o telefone comercial da empresa resolve, não colete o celular pessoal do sócio. Prefira o meio menos intrusivo.
3. Balanceamento e salvaguardas. Pergunte se a pessoa esperaria esse contato. Para avaliar essa expectativa, o guia cita a relação prévia, a fonte dos dados (inclusive fontes públicas), o contexto da coleta e a finalidade. Depois, defina salvaguardas: identificação clara de quem contata, saída fácil em toda mensagem, frequência baixa e prazo de retenção.

O guia deixa claro que a LGPD não exige impacto zero, e sim que os impactos sejam minimizados e levados em conta na escolha das salvaguardas. Em um dos exemplos da ANPD, a opção de descadastro em cada mensagem aparece justamente como salvaguarda. Se o resultado indicar que os direitos do titular prevalecem, não use o legítimo interesse.

Registre o teste por escrito. O art. 37 exige registro das operações de tratamento, "especialmente quando baseado no legítimo interesse".

Quais direitos o titular tem e como atender?

O art. 18 garante ao titular, entre outros, o direito de confirmar se há tratamento, acessar os dados, corrigi-los e pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei. O pedido é feito ao agente de tratamento e atendido sem custo (art. 18, parágrafos 3º e 5º).

O parágrafo 2º do mesmo artigo permite ao titular se opor a tratamento feito sem consentimento quando houver descumprimento da lei.

Pelo art. 19, o acesso pode ser dado em formato simplificado, imediatamente, ou por declaração completa em até 15 dias, indicando inclusive a origem dos dados. Se alguém perguntar "de onde vocês tiraram meu número?", você precisa saber responder. Guarde a fonte de cada contato.

Quanto ao opt-out, trate todo pedido para não ser mais contatado como definitivo, mesmo que a pessoa não cite a LGPD. Pare o contato, marque o registro no CRM e avise a equipe. Se o pedido for de eliminação, avalie com o seu jurídico o mínimo que precisa ser mantido para não voltar a contatar a pessoa.

Minimização, retenção e registros

• Minimização: o princípio da necessidade limita o tratamento ao mínimo necessário (art. 6º, inciso III). Não guarde dados que a equipe não usa.
• Retenção: o tratamento termina, entre outras hipóteses, quando a finalidade é alcançada ou os dados deixam de ser necessários (art. 15), e os dados devem ser eliminados depois disso, salvo as exceções do art. 16. Defina um prazo para apagar leads que nunca responderam.
• Registros: mantenha o registro das operações (art. 37). Pela Resolução CD/ANPD nº 2/2022, agentes de tratamento de pequeno porte, nos critérios da resolução, podem fazer esse registro de forma simplificada.
• Encarregado: a lei exige que o controlador indique um encarregado (art. 41). A mesma resolução dispensa os agentes de pequeno porte dessa indicação, desde que mantenham um canal de comunicação com os titulares.
• Segurança: adote medidas técnicas e administrativas para proteger os dados (art. 46), como controle de acesso ao CRM.

Checklist de LGPD para o time de vendas

1. Escreva a finalidade da prospecção em uma frase.
2. Faça e guarde o teste de balanceamento do legítimo interesse.
3. Colete só os dados necessários. Prefira contatos comerciais aos pessoais.
4. Registre a fonte de cada contato, como a base pública de CNPJ da Receita Federal.
5. Identifique-se e identifique a empresa já na primeira mensagem.
6. Ofereça uma saída simples em toda abordagem.
7. Mantenha uma lista de quem pediu para não ser contatado e respeite-a em todos os canais.
8. Tenha um canal para pedidos de titulares e conheça os prazos do art. 19.
9. Defina por quanto tempo guarda leads sem resposta e apague depois.
10. Restrinja o acesso ao CRM a quem precisa.

Para montar a lista com critério, veja como buscar empresas por CNAE e o guia de prospecção B2B. No WhatsApp, as regras de opt-in do próprio WhatsApp somam-se à LGPD.

No AtivoCRM, a lista de empresas vem da base pública da Receita Federal. Revelar o contato cadastral de uma empresa custa 1 crédito, e esse contato pode estar desatualizado. Para saber como o AtivoCRM trata dados pessoais, veja a política de privacidade.

Perguntas frequentes

Prospecção B2B precisa de consentimento pela LGPD?

Não necessariamente. O consentimento é só uma das bases legais do art. 7º da LGPD. Na prospecção fria, a base normalmente analisada é o legítimo interesse (art. 7º, inciso IX), que exige finalidade legítima, só os dados necessários, transparência e, segundo a ANPD, um teste de balanceamento.

Pode usar dados públicos de CNPJ para prospecção?

Pode ser possível, mas dado público não é dado livre. O art. 7º, parágrafo 3º, manda considerar a finalidade, a boa-fé e o interesse público que justificaram a disponibilização. Os dados de pessoas físicas da lista continuam protegidos pela LGPD, com todos os direitos do titular.

Dados de MEI são dados pessoais?

Na prática, sim. O nome empresarial do MEI é formado pelo número do CNPJ seguido do nome civil ou social do titular, e o endereço e o telefone cadastrados podem ser os da própria pessoa. Trate esses dados com as mesmas regras de qualquer dado pessoal.

O que fazer quando alguém pede para não ser mais contatado?

Pare o contato imediatamente, registre o pedido no CRM e garanta que ninguém da equipe volte a abordar a pessoa, em nenhum canal. Se ela pedir acesso aos dados, o art. 19 da LGPD fixa os prazos de resposta. Para outros pedidos, como eliminação, consulte o seu jurídico.

Qual a multa por descumprir a LGPD na prospecção?

O art. 52 prevê sanções que vão de advertência a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Também há multa diária, publicização da infração e bloqueio ou eliminação dos dados, entre outras medidas aplicadas pela ANPD.