Base legal para dados de lead em prospecção: qual fundamento sustenta a lista

A LGPD não distingue cliente atual de prospect: dado pessoal é toda informação relacionada a pessoa natural identificada ou identificável, e a lei se aplica a qualquer operação de tratamento, incluindo coleta, armazenamento, uso e compartilhamento. O contato com nome, e-mail e cargo de uma pessoa natural é dado pessoal, e a lista que o contém é objeto da lei, mesmo que a empresa nunca tenha fechado negócio com aquela pessoa.

O art. 7º fecha a lista de fundamentos possíveis, e dois deles dominam a prospecção: o consentimento do titular e o legítimo interesse do controlador. A execução de contrato e os procedimentos preliminares também aparecem, mas o inciso cobre o contato que decorre de pedido ou negociação em curso, e não a abordagem inicial espontânea.

A consequência prática é simples: antes de disparar qualquer campanha, a empresa precisa escolher e documentar o fundamento que autoriza aquele uso. Fundamento não declarado no momento do tratamento é o tipo de lacuna que não se conserta depois, quando a origem do dado já virou memória institucional.

O art. 10 autoriza o tratamento com fundamento no legítimo interesse para finalidades legítimas consideradas a partir de situações concretas, e cita o apoio e a promoção das atividades do controlador, onde a prospecção encaixa. O inciso não transforma a lista em zona livre: a empresa precisa demonstrar que a finalidade é legítima e que a expectativa do titular foi considerada.

Duas exigências práticas acompanham esse fundamento. A primeira é restrição de escopo: quando o tratamento se apoia em legítimo interesse, só os dados estritamente necessários à finalidade podem ser tratados, o que desaconselha coletar informações sem uso na abordagem. A segunda é transparência: a empresa precisa informar de forma clara que trata dados para essa finalidade e como o titular pode se opor.

O registro das operações de tratamento é obrigatório para controlador e operador, e a lei destaca especialmente o tratamento baseado em legítimo interesse. Esse registro é o documento que permite explicar, anos depois, por que aquele contato foi incluído na lista e com qual fundamento.

O consentimento é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para finalidade determinada. Ele é o fundamento mais simples de explicar e o mais pesado de operar: precisa ser obtido antes do uso, para a finalidade anunciada, e a empresa precisa conseguir provar quando e como cada titular consentiu.

O formulário de inscrição, o download de material rico e a participação em evento são oportunidades de coleta com consentimento explícito. A caixa pré-marcada e o texto genérico enfraquecem o fundamento, porque consentimento inequívoco não se presume do silêncio. A prática mais defensável separa o aceite de comunicações comerciais do aceite de termos de uso, cada um com finalidade descrita.

Vale lembrar que o consentimento pode ser revogado a qualquer momento, e a revogação precisa ter caminho tão simples quanto a concessão. Depois do descadastro, o contato sai da lista ativa, e a empresa que mantém a base precisa registrar a exclusão para não reaproveitar o dado em campanha futura.

A base adquirida de fornecedor é o cenário de maior risco da prospecção. A empresa que compra a lista passa a ser controladora dos dados que ela contém e herda a responsabilidade pela legalidade do tratamento, ainda que não tenha participado da coleta original. Sem documento que comprove a origem do dado e o fundamento usado na coleta, a empresa usa um ativo que não consegue justificar.

Antes de comprar ou incorporar base de terceiro, o caminho prático é exigir do fornecedor a descrição da origem dos dados e a declaração de que a coleta observou a LGPD, com cláusulas de garantia no contrato. Quando a origem não é demonstrável, a lista precisa ser descartada ou tratada apenas como indício, e nunca importada integralmente para a base ativa.

Dados públicos também merecem cuidado: o fato de um contato estar disponível em rede profissional não autoriza, por si só, uso comercial indefinido. A empresa que extrai contatos de fontes públicas precisa aplicar o mesmo teste de origem, necessidade e expectativa que aplica a qualquer outra lista, e registrar as decisões.

A mesma lista que gera receita gera risco, e a diferença está no processo ao redor dela. Política de prospecção escrita, com base legal escolhida por finalidade, reduz a dependência de decisão individual: quem monta a campanha sabe qual fundamento usar, o que pode ser enviado e o que fazer com a resposta negativa.

A rotina mínima inclui descadastro imediato e efetivo, controle de frequência de contato, registro da origem de cada lote de dados e revisão periódica da base, com eliminação dos contatos sem interação por período prolongado. Nenhum desses passos depende de tecnologia sofisticada: dependem de regra escrita e de execução consistente.

O princípio da finalidade fecha o conjunto: dados coletados para um propósito legítimo, específico e explícito não podem ser tratados depois de forma incompatível com ele. Contato obtido em evento sobre um produto não vira automaticamente destinatário de campanha sobre outro, e a ampliação de uso pede nova base ou nova coleta.

A escolha do fundamento costuma ser tratada como detalhe técnico, e é ela que define o ônus de prova da empresa. Com consentimento, a prova é o registro do aceite, com data, finalidade e versão do texto apresentado ao titular. Com legítimo interesse, a prova é o conjunto: origem lícita do dado, necessidade dos campos, transparência e caminho de oposição funcionando. Com execução de contrato ou procedimentos preliminares, a prova é o vínculo documental entre o contato e a negociação em curso.

O erro recorrente é escolher o fundamento pela conveniência operacional e não pela origem do dado. Contato coletado em formulário com aceite explícito sustenta consentimento e dispensa justificativa adicional; contato extraído de fonte pública raramente sustenta consentimento e depende do teste do art. 10. Aplicar o mesmo fundamento a lotes de origens diferentes é o que produz base juridicamente frágil.

A tabela não substitui o registro das operações de tratamento: ela organiza a decisão que precisa estar documentada em política interna e refletida na campanha. Quando a empresa mistura fundamentos no mesmo lote, o registro precisa permitir separar os contatos por origem e por fundamento, e é esse detalhe que separa uma base explicável de uma base improvisada.

A LGPD não regula canal por canal: o fundamento escolhido serve para e-mail, telefone ou mensagem instantânea, e a obrigação de transparência e descadastro acompanha qualquer um deles. O que muda por canal é o risco operacional e as regras de terceiros: plataformas de e-mail aplicam políticas anti-spam próprias, operadoras de telefone têm regulamentação setorial e aplicativos de mensagem vedam envio em massa não solicitado nos termos de uso.

Esse desenho tem consequência prática concreta: a empresa pode ter o fundamento correto e ainda assim ter a conta bloqueada por violar a política da plataforma, ou responder pela forma invasiva do contato em outra esfera. O mapeamento de canal pertence ao registro das operações, com regra de frequência, horário e conteúdo por canal, e o time comercial precisa saber que fundamento e adequação de canal são exigências distintas.

Quando o envio passa por fornecedor, seja plataforma de e-mail, discador ou ferramenta de mensagens, entra em cena o contrato de operador, e a empresa segue responsável pelas instruções que dá. Vale revisar o contrato com operador de dados antes de escalar o canal, e acompanhar a trilha de dados pessoais e LGPD, que reúne as demais análises dessa operação.