LGPD na prospecção B2B: o que pode e o que não pode

A LGPD na prospecção B2B é, de longe, o tema que mais gera dúvida — e mais paralisia — entre agências, SDRs e donos de negócio que dependem de outbound para crescer. A Lei Geral de Proteção de Dados (Lei 13.709/2018) entrou em vigor com sanções em agosto de 2021 e, desde então, circula um equívoco perigoso no mercado: o de que prospectar empresas virou atividade proibida. Não virou. O que mudou foi a obrigação de ter uma base legal clara para cada tipo de dado que você coleta, armazena e usa — e de entender que dado de pessoa jurídica tem tratamento diferente de dado de pessoa física.

Este guia explica, de forma direta e sem juridiquês desnecessário, o que a LGPD na prospecção B2B realmente restringe, quais bases legais legitimam o contato com empresas, o que nunca pode ser feito e como estruturar um fluxo de prospecção que respeita a lei sem travar o pipeline. Ao final, você vai entender por que listas construídas a partir de dados públicos da Receita Federal — como as geradas pelo LeadFrio — estão alinhadas com a legislação e por que isso importa para a sua operação de vendas.

O que a LGPD realmente protege — e o que está fora do seu escopo

A LGPD protege dados pessoais de pessoas naturais (físicas) identificadas ou identificáveis. Isso significa que o CNPJ de uma empresa, a Razão Social, o endereço do estabelecimento, o capital social declarado e o CNAE registrado não são dados pessoais no sentido técnico da lei — são informações de pessoas jurídicas, mantidas em cadastro público pela Receita Federal e disponíveis a qualquer cidadão. Prospectar uma empresa com base nesses dados não configura tratamento de dado pessoal protegido pela LGPD.

O ponto de atenção surge quando você chega ao nível da pessoa física por trás da empresa: nome do sócio, CPF do responsável, e-mail corporativo nominado (joao.silva@empresa.com.br), celular direto do decisor. Esses dados pertencem a uma pessoa natural e, portanto, entram no escopo da lei. Isso não significa que usá-los é proibido — significa que você precisa de uma base legal para fazê-lo, e que o titular tem direitos que precisam ser respeitados, como o direito de pedir exclusão da sua lista.

Outro ponto frequentemente ignorado: a LGPD não se aplica ao uso exclusivamente pessoal ou jornalístico, nem a dados anonimizados. Para o comercial B2B, o que importa é a distinção entre dado de PJ (livre para uso desde que público) e dado de PF vinculado a essa PJ (exige base legal). Manter essa separação na cabeça já resolve 80% das dúvidas operacionais.

Dado de CNPJ vs. dado do sócio: onde está a linha

Quando você filtra no LeadFrio por CNAE, cidade e data de abertura e recebe uma lista com Razão Social, CNPJ, endereço e telefone registrado na Receita Federal, você está lidando com dados de pessoa jurídica de origem pública. Essa combinação não aciona as proteções da LGPD porque não identifica uma pessoa física — identifica um negócio.

O e-mail ou telefone associado ao cadastro da Receita, quando é um contato genérico do estabelecimento (contato@empresa.com.br, (11) 3000-0000), também tende a ser tratado como dado da PJ. Já quando o contato é nitidamente pessoal (primeiro nome + sobrenome no e-mail, ou número de celular exclusivo do sócio), o tratamento muda: você precisa enquadrar o uso em uma das bases legais do artigo 7º da LGPD.

Bases legais que legitimam a prospecção B2B segundo a LGPD

Gere listas de empresas com dados públicos da Receita Federal — segmentadas por CNAE, cidade e porte — e prospecte com conformidade. Experimente o LeadFrio agora.

Acessar a plataforma →

A LGPD elenca dez bases legais no artigo 7º. Para a prospecção B2B, três delas são as mais relevantes e aplicáveis: o legítimo interesse (inciso IX), o consentimento (inciso I) e o cumprimento de obrigação legal ou regulatória (inciso II). Entender quando usar cada uma define se a sua operação de outbound está conforme a lei ou em risco.

O legítimo interesse é a base mais usada — e mais mal aplicada — no contexto comercial. A LGPD permite o tratamento de dados quando necessário para atender aos interesses legítimos do controlador ou de terceiros, desde que não prevaleçam os direitos e liberdades fundamentais do titular. Na prática: uma empresa de software que envia e-mail frio para o gestor de TI de outra empresa, usando um dado obtido de forma rastreável e não invasiva, tem argumento sólido de legítimo interesse. O contato é esperável dentro do contexto B2B, existe relação entre os perfis e o impacto sobre o titular é baixo.

O consentimento, por outro lado, é a base mais robusta mas também a mais custosa operacionalmente: exige que o titular tenha dado permissão específica, informada e livre antes do tratamento. Em prospecção outbound pura (cold email, cold call), o consentimento prévio é quase inviável — ninguém vai pedir para ser prospectado antes de ser prospectado. Por isso, o mercado B2B vive majoritariamente sob o legítimo interesse, desde que documentado e acompanhado de canal fácil de opt-out.

Como aplicar o teste de legítimo interesse na prática

A ANPD (Autoridade Nacional de Proteção de Dados) orienta um teste de três etapas para validar o legítimo interesse: (1) identificar o interesse legítimo perseguido; (2) verificar se o tratamento é necessário e proporcional para atingi-lo; (3) ponderar se os direitos do titular prevalecem. No contexto de prospecção B2B, a passagem costuma ser tranquila: o interesse é comercial e legítimo, o dado usado é o mínimo necessário para o contato, e o impacto sobre o profissional abordado é baixo — especialmente quando há opt-out fácil.

Documente esse raciocínio em um registro de atividades de tratamento (o chamado ROPA, exigido para controladores de médio e grande porte pelo artigo 37). Ter esse registro é tanto uma exigência legal quanto uma proteção em caso de reclamação: você demonstra que a decisão foi consciente, proporcional e revisada — não uma operação à revelia da lei.

Opt-out: obrigação, não cortesia

Independentemente da base legal usada, o titular tem o direito de solicitar a exclusão dos seus dados das suas listas a qualquer momento (artigo 18, LGPD). Na prospecção B2B, isso se traduz numa obrigação concreta: todo e-mail frio precisa ter um mecanismo de descadastro claro e funcional, e toda solicitação de remoção precisa ser atendida em prazo razoável — a ANPD referencia 15 dias como prazo adequado para resposta.

Ignorar um pedido de opt-out é uma das infrações mais fáceis de provar e uma das que mais geram reclamações formais à ANPD. Ferramentas de e-mail marketing (e CRMs como GoHighLevel) já têm esse recurso nativo — use-o. Não é opcional.

O que definitivamente não pode ser feito na prospecção B2B

Algumas práticas são claramente vedadas pela LGPD e precisam sair do seu playbook agora. A primeira é comprar ou usar listas de dados pessoais de origem obscura — sem rastreabilidade da fonte, sem consentimento do titular e sem qualquer base legal identificável. Se você não consegue explicar de onde veio cada dado da sua lista e por que você tem o direito de usá-lo, você está em risco. Multas da ANPD podem chegar a 2% do faturamento do grupo no Brasil, limitado a R$ 50 milhões por infração.

A segunda prática proibida é o uso de dados sensíveis sem consentimento explícito. Dados sensíveis (opinião política, saúde, biometria, origem racial etc.) têm proteção elevada e, na prospecção B2B convencional, simplesmente não deveriam aparecer. Se por algum motivo você está segmentando com base em características que se aproximam de dado sensível, revise imediatamente.

A terceira — e mais comum no mercado de listas — é a reutilização de dados coletados para uma finalidade em contextos completamente distintos sem nova base legal. Exemplo: um lead que preencheu um formulário para baixar um e-book concordou com o uso daquele dado para envio de conteúdo relacionado. Isso não autoriza, automaticamente, que você o inclua em uma cadência de cold outbound de produto diferente. Finalidade importa na LGPD — e desvio de finalidade é infração.

Como construir uma lista de prospecção B2B em conformidade com a LGPD

A forma mais segura e escalável de prospectar empresas em conformidade com a LGPD é partir de dados públicos de pessoas jurídicas — e é exatamente aí que plataformas como o LeadFrio atuam. O LeadFrio usa dados da Receita Federal, que são públicos por definição: qualquer empresa aberta no Brasil tem seu CNPJ, CNAE, endereço, situação cadastral e data de abertura disponíveis para consulta pública. Isso significa que a base de origem da lista é rastreável, oficial e não envolve dado pessoal de pessoa física no seu núcleo.

O fluxo prático para uma campanha de prospecção legalmente estruturada começa com a segmentação: defina o perfil de empresa-alvo com CNAE (atividade econômica), cidade ou UF, porte (MEI, ME, EPP), e faixa de abertura. No LeadFrio, esses filtros são aplicados diretamente na busca — você gera uma lista de empresas que correspondem ao ICP sem precisar de planilha gigante nem limpeza manual. A plataforma entrega Razão Social, CNPJ, contato (e-mail/telefone), flag MEI e exportação em CSV ou Excel, pronta para importar no CRM.

Depois da lista pronta, a conformidade com a LGPD se dá em três camadas: (1) use os dados de contato da PJ para o primeiro toque — isso não exige base legal específica além do exercício regular do comércio; (2) quando o contato evoluir para uma pessoa física identificada, documente o legítimo interesse e garanta o opt-out; (3) mantenha um registro de tratamento atualizado e nunca misture leads obtidos por vias diferentes sem verificar se as bases legais são compatíveis.

Passo a passo: da lista ao primeiro contato sem infringir a LGPD

Passo 1 — Defina o ICP com critérios objetivos: CNAE principal, faixa de abertura (ex: empresas abertas há menos de 2 anos tendem a estar em fase de estruturação e receptivas a serviços), cidade-alvo e porte. Quanto mais específico o filtro, menor o desperdício de abordagem e menor o risco de contatar empresas fora do contexto relevante.

Passo 2 — Gere a lista no LeadFrio e exporte para CSV ou Excel. No GoHighLevel ou qualquer outro CRM, crie uma pipeline exclusiva para esses leads com uma tag de origem ('Receita Federal — público') para rastreabilidade. Isso documenta a proveniência do dado desde o primeiro registro.

Passo 3 — Elabore o primeiro e-mail frio com identificação clara de quem envia, finalidade do contato e link de descadastro visível. Mencione brevemente por que a empresa foi selecionada (ex: 'Identificamos que sua empresa atua no segmento de serviços contábeis em São Paulo…') — isso demonstra proporcionalidade e uso do dado dentro do contexto esperado. Passo 4 — Ao receber opt-out, remova o contato da lista em até 15 dias e registre a solicitação. No GoHighLevel, um fluxo de automação pode fazer isso em segundos.

LGPD, e-mail frio e cold call: o que a lei diz sobre cada canal

E-mail frio para empresas é legítimo quando baseado em dado de origem pública e acompanhado de opt-out claro. O Marco Civil da Internet (Lei 12.965/2014) e a LGPD não proíbem o envio de e-mail comercial não solicitado — mas exigem transparência sobre quem envia, qual a finalidade e como o destinatário pode sair da lista. O que é vedado é spam em massa sem qualquer possibilidade de descadastro e sem identificação do remetente.

Cold call para o telefone registrado no CNPJ da empresa segue a mesma lógica: dado público, uso justificável por legítimo interesse, sem restrição expressa na LGPD — desde que o contato aconteça em horário comercial, seja identificado e o potencial cliente possa recusar futuras ligações. Já cold call para celular pessoal do sócio obtido por meios não rastreáveis levanta questão séria sobre a origem do dado e a base legal para o uso.

LinkedIn é um caso à parte: perfis públicos de profissionais no LinkedIn têm uma expectativa implícita de contato B2B — a própria plataforma é construída para isso. A ANPD ainda não emitiu orientação específica sobre prospecção via LinkedIn, mas o entendimento predominante é de que a abordagem por InMail ou conexão com mensagem comercial clara é compatível com o legítimo interesse, especialmente quando o profissional tem perfil público e cargo relevante para a sua oferta.

Documentação mínima que protege a sua operação de prospecção

Conformidade com a LGPD não é só não fazer o errado — é conseguir demonstrar que você faz o certo. Para operações de prospecção B2B, a documentação mínima recomendada inclui: (a) registro de origem de cada lista usada (fonte pública, data de extração, critérios de filtro); (b) política de privacidade publicada no site com menção ao tratamento de dados para fins comerciais; (c) registro de atividades de tratamento (ROPA) com a base legal usada para cada finalidade; e (d) log de solicitações de opt-out recebidas e atendidas.

Nomeie um encarregado de dados (DPO — Data Protection Officer) se o volume de tratamento justificar. Para pequenas operações de prospecção, um responsável interno designado já cumpre a exigência formal. A ANPD pode solicitar essa indicação em caso de investigação, e não ter ninguém designado agrava a percepção de descaso com a conformidade.

Por fim, revise a sua stack de ferramentas. CRMs como GoHighLevel permitem controle granular sobre consentimento, tags de origem e automação de opt-out. Plataformas de e-mail como Instantly ou Lemlist têm links de descadastro nativos. Usar essas funcionalidades não é luxo — é a diferença entre uma operação auditável e uma que gera risco real de sanção. Quando a lista de entrada vem de dados públicos e verificáveis, como os do LeadFrio, você já começa com a fundação certa.

Perguntas frequentes

Dados do CNPJ são protegidos pela LGPD?

Não. CNPJ, Razão Social, endereço e CNAE são dados de pessoa jurídica mantidos em cadastro público pela Receita Federal. A LGPD protege dados de pessoas naturais (físicas), não de empresas. Você pode usar esses dados para prospecção sem precisar de base legal específica da LGPD — apenas respeite as boas práticas comerciais e os direitos dos profissionais com quem você vier a interagir.

Posso enviar e-mail frio para empresas sem violar a LGPD?

Sim, desde que o e-mail seja enviado para um contato empresarial de origem rastreável, contenha identificação clara do remetente, explique a finalidade do contato e ofereça mecanismo de descadastro fácil e funcional. A lei não proíbe o e-mail comercial não solicitado — exige transparência e respeito ao opt-out.

Qual base legal usar para prospecção B2B?

A base mais usada e adequada para prospecção outbound B2B é o legítimo interesse (art. 7º, IX, LGPD). Ela permite o tratamento de dados pessoais quando necessário para atender ao interesse legítimo do controlador, desde que não haja violação desproporcional dos direitos do titular. Documente o raciocínio (teste de necessidade e proporcionalidade) e garanta o opt-out para sustentar essa base.

O que acontece se alguém pedir para sair da minha lista de prospecção?

Você é obrigado a atender a solicitação. A LGPD garante ao titular o direito de solicitar a exclusão ou bloqueio dos seus dados (art. 18). O prazo recomendado pela ANPD para resposta é de 15 dias. Ignore pedidos de opt-out e você estará em infração direta — uma das mais fáceis de documentar e reportar à ANPD.

Listas compradas de terceiros são permitidas pela LGPD?

Depende inteiramente da origem dos dados. Se a lista contém dados de pessoas jurídicas de fonte pública (como dados da Receita Federal), o uso é legítimo. Se contém dados pessoais de pessoas físicas sem rastreabilidade de origem, sem consentimento documentado e sem base legal identificável, o uso é arriscado e potencialmente ilegal. Sempre exija do fornecedor a comprovação da base legal e da origem dos dados antes de usar qualquer lista.

MEI é tratado como pessoa física ou pessoa jurídica para fins da LGPD?

Juridicamente, o MEI é uma pessoa jurídica (CNPJ próprio), mas na prática o CNPJ do MEI está vinculado diretamente a uma pessoa física identificável — o próprio empreendedor. Isso significa que dados do MEI que permitam identificar o indivíduo (nome, CPF, endereço pessoal) devem ser tratados com os cuidados aplicáveis a dados de pessoas físicas. Use a flag MEI disponível no LeadFrio para identificar esses registros e aplicar abordagem e políticas de dados adequadas a esse perfil.

A ANPD já multou empresas por prospecção B2B indevida?

Até o início de 2025, as sanções aplicadas pela ANPD se concentraram em casos envolvendo vazamento de dados de consumidores em larga escala e descumprimento de direitos do titular após solicitação formal. Prospecção B2B desconforme ainda não foi o foco principal das investigações públicas, mas isso não significa imunidade — significa que o momento de se adequar é antes de receber uma notificação, não depois.

Pronto para prospectar com dados reais? Acesse o LeadFrio.