A pergunta chega quase sempre no mesmo formato: "o e-mail está publicado no site da empresa, então posso pegar, certo?". A resposta honesta é que é legal extrair e-mails de sites em boa parte dos casos — o que costuma ser ilegal é o que se faz depois. Este guia separa as duas coisas e mostra o que a LGPD exige antes de você recolher o primeiro endereço e antes de disparar a primeira mensagem.
A resposta curta: coletar e enviar são duas coisas diferentes
Quase toda a confusão vem de tratar "extrair" e "mandar e-mail" como se fossem um ato só. São dois momentos jurídicos distintos, com regras distintas.
Coletar um endereço que a própria empresa publicou na página de contato é tratamento de dado pessoal, sim, mas é um tratamento que pode se apoiar em base legal sem consentimento prévio. Enviar uma mensagem comercial para esse endereço é outro tratamento, com outra finalidade, e exige que você consiga justificar aquela finalidade específica.
Ou seja: dá para ter uma lista impecavelmente legal e mesmo assim cometer uma infração no primeiro disparo. E vale o contrário: a origem suja de uma lista não se conserta escrevendo um e-mail educado.
Um e-mail publicado continua sendo dado pessoal
A LGPD (Lei nº 13.709/2018) define dado pessoal como qualquer informação relacionada a pessoa natural identificada ou identificável. O endereço contato@empresa.com.br tende a ser dado da empresa, não de uma pessoa. Já maria.silva@empresa.com.br identifica alguém, mesmo estando num site corporativo — e por isso entra inteiro na lei.
Estar visível não retira essa proteção: visibilidade não é permissão. O que muda é a base legal disponível, não o fato de a lei se aplicar.
O detalhe brasileiro que quase ninguém conhece
O artigo 7º, §4º da LGPD dispensa o consentimento para dados tornados manifestamente públicos pelo titular. É o trecho que muita gente cita como carta branca — e não é. O mesmo parágrafo termina dizendo "resguardados os direitos do titular e os princípios previstos nesta Lei". Ou seja: você fica dispensado de pedir autorização, mas continua preso à finalidade, à necessidade, à transparência e ao direito da pessoa de pedir para sair.
Traduzindo: o profissional que publicou o e-mail no rodapé do site fez isso para receber contato sobre o trabalho dele. Uma proposta relacionada a esse trabalho cabe nessa expectativa. Uma newsletter semanal sobre outro assunto, não.
O que a LGPD exige na hora de enviar
Base legal: consentimento ou legítimo interesse
Para prospecção B2B no Brasil, a base usada quase sempre é o legítimo interesse (art. 7º, IX). Ela não é um cheque em branco: o artigo 10 exige que o tratamento seja feito para finalidades legítimas e concretas, limitado ao mínimo necessário, e que você avalie o impacto sobre os direitos da pessoa. A ANPD pode pedir um relatório de impacto à proteção de dados quando o tratamento se apoiar nessa base.
O teste mental é simples: essa pessoa ficaria surpresa ao receber isso? Um fornecedor de embalagens escrevendo para o comprador de uma indústria alimentícia não surpreende ninguém. O mesmo fornecedor escrevendo para uma professora cujo e-mail estava no site da escola surpreende — e surpresa é o sinal de que o legítimo interesse não se sustenta.
O dever de informar que todo mundo pula
O artigo 9º dá à pessoa o direito de saber, de forma clara, quem está tratando os dados dela, com que finalidade e com qual base legal. Como você não teve contato prévio, a primeira mensagem é onde essa informação precisa aparecer. Três linhas resolvem:
- Diga de onde veio o endereço. "Encontrei seu contato na página da sua empresa" já cumpre a exigência e, de quebra, aumenta muito a taxa de resposta.
- Diga por que está escrevendo. Uma frase objetiva sobre a finalidade, sem rodeio de marketing.
- Ofereça a saída no mesmo lugar. Um link de descadastro ou uma frase do tipo "responda com SAIR e não escrevo de novo". E cumpra na hora, não em quinze dias.
Guarde a origem de cada endereço junto com o endereço: URL da página, data da coleta e qual era a finalidade. Uma planilha simples basta. Esse registro é o que transforma "achei que podia" em uma defesa concreta caso alguém questione.
Como o Brasil se compara ao GDPR europeu e ao CAN-SPAM americano
Vale conhecer as diferenças, porque a maior parte do conteúdo sobre o assunto é traduzida de guias americanos e dá conselhos que não valem aqui.
- Estados Unidos (CAN-SPAM): modelo de opt-out. Dá para escrever sem autorização prévia, desde que você identifique o remetente, não minta no assunto e honre o descadastro. É o regime mais permissivo dos três.
- União Europeia (GDPR + ePrivacy): modelo de opt-in para pessoas físicas. Em B2B há alguma folga via legítimo interesse, mas cada país aperta de um jeito e o padrão prático é pedir autorização.
- Brasil (LGPD): fica no meio. O legítimo interesse é uma base viável para prospecção B2B, o que aproxima o Brasil da Europa em princípios e dos EUA na prática — desde que haja transparência e saída fácil.
Um ponto que pega muita empresa brasileira: se um endereço da sua lista for de alguém na Europa, o GDPR passa a valer para aquele contato, não importa onde a sua empresa esteja. Separe a base por país antes de qualquer disparo.
Quem fiscaliza e o que pode acontecer
A fiscalização é da ANPD, a Autoridade Nacional de Proteção de Dados, que aplica sanções desde agosto de 2021. As penalidades vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados.
Na vida real, porém, o risco maior para quem prospecta não é a multa. É o dano de entrega: Gmail, Outlook e os filtros corporativos punem remetente com muita reclamação de spam bem antes de qualquer autoridade bater na porta — e, quando o domínio queima, não existe recurso administrativo que resolva.
Os erros que transformam uma lista legal em um problema
Quase todo caso ruim que aparece nasce de um destes cinco descuidos:
- Misturar finalidades. Coletar para uma proposta comercial específica e depois jogar o endereço na newsletter geral. A finalidade mudou; a base legal não acompanha sozinha.
- Ignorar os termos de uso do site. Se a página diz expressamente que proíbe coleta automatizada, o dado até é público, mas você passou por cima de uma regra contratual.
- Não honrar o descadastro. É o erro mais caro: a pessoa pediu para sair, a lista foi reimportada no mês seguinte e ela voltou a receber. Isso não é descuido, é insistência documentada.
- Guardar para sempre. A LGPD exige eliminar o dado quando a finalidade se esgota. Uma lista de prospecção de 2021 que ninguém tocou desde então não tem por que continuar no seu servidor.
- Não limpar antes de enviar. Endereços duplicados, formatos inválidos e armadilhas de spam derrubam a sua reputação de remetente e não têm nada a ver com direito — mas destroem o resultado do mesmo jeito.
Como fazer na prática, sem montar um scraper
A maior parte de quem precisa de vinte ou cinquenta contatos não precisa de infraestrutura de raspagem. Precisa de um caminho organizado:
- Defina o recorte antes de coletar. Segmento, porte, região e cargo. Lista pequena e certeira supera lista enorme e genérica em qualquer métrica que importe.
- Vá às fontes certas. Sites institucionais, páginas de contato, diretórios de associações setoriais e catálogos de feiras — tudo público e com finalidade de contato explícita.
- Confira o robots.txt e os termos de uso. Basta abrir o endereço do site seguido de /robots.txt. Leva dez segundos e evita quase todo o problema.
- Recolha só o que for visível na página. Uma extensão que lê os e-mails visíveis da página aberta faz isso sem servidor, sem robô e sem tocar em nada atrás de login — é você lendo a página, só que mais rápido.
- Registre a origem na hora. URL, data e finalidade, ao lado de cada endereço.
- Limpe antes de disparar. Remova duplicados, valide formatos e teste com um lote pequeno antes de escalar.
Um passo lateral que economiza tempo: identificar a plataforma e as tecnologias da página mostra em segundos se você está diante de uma loja em Shopify, um site em WordPress ou um sistema próprio — e isso muda o que faz sentido oferecer.
⚡ Dicas avançadas
- Prefira o endereço institucional ao pessoal sempre que os dois existirem. comercial@ carrega muito menos risco do que o e-mail nominal de um funcionário.
- Coloque um prazo de validade na base: seis meses sem interação, o contato sai. Cumpre a LGPD e melhora a entrega ao mesmo tempo.
- Mantenha uma lista de supressão permanente com quem pediu para sair. Ela nunca é apagada, mesmo quando a base é refeita do zero.
- Não passe a base para um aplicativo de disparo em massa antes de conferir onde os dados ficam hospedados. Se o app guarda a lista em servidor próprio, você virou responsável por uma transferência que talvez nem tenha percebido.
- Uma assinatura de e-mail completa, com nome, empresa, telefone e site, já cumpre boa parte do dever de identificação e reduz muito a chance de a mensagem ser marcada como spam.
O que o CDC e o Marco Civil acrescentam
A LGPD não é a única lei em jogo. O Código de Defesa do Consumidor (Lei nº 8.078/1990) trata como prática abusiva o envio de serviço sem solicitação prévia, e a leitura corrente estende esse espírito ao envio comercial insistente. O Marco Civil da Internet (Lei nº 12.965/2014) reforça a proteção da privacidade nas comunicações online.
Existe ainda o CAPEM, o código brasileiro de autorregulamentação de e-mail marketing, que não é lei mas é adotado pelos grandes provedores: opt-in, identificação clara do remetente e descadastro em até dois dias úteis. Ele não te blinda juridicamente, mas ajuda muito na entrega.
Perguntas frequentes
É legal extrair e-mails de sites no Brasil?
Recolher endereços visíveis em páginas públicas não é proibido pela LGPD. O artigo 7º, §4º dispensa o consentimento para dados tornados manifestamente públicos pelo titular, desde que os princípios da lei sejam respeitados. O que exige cuidado é o passo seguinte: usar aqueles endereços para enviar mensagem comercial é outro tratamento, com outra finalidade, e precisa de base legal própria, transparência sobre a origem e um caminho fácil de descadastro.
Preciso de consentimento para enviar e-mail de prospecção B2B?
Nem sempre. A base legal mais usada em prospecção B2B no Brasil é o legítimo interesse, prevista no artigo 7º, IX da LGPD. Ela dispensa o consentimento prévio, mas exige finalidade concreta, tratamento limitado ao mínimo necessário e respeito às expectativas do destinatário. Se a mensagem for claramente relacionada à atividade profissional da pessoa, identificar você mesmo, explicar a origem do contato e oferecer saída imediata costuma ser suficiente.
Qual a diferença entre um e-mail corporativo e um e-mail pessoal nessa história?
Um endereço genérico como contato@empresa.com.br tende a ser dado da pessoa jurídica e fica fora do núcleo da LGPD, que protege pessoas naturais. Já um endereço nominal, do tipo nome.sobrenome@empresa.com.br, identifica uma pessoa e é dado pessoal mesmo em contexto corporativo. Na dúvida, prefira o genérico: o risco é menor e a mensagem costuma chegar a quem realmente responde por aquele assunto.
Posso extrair e-mails do LinkedIn ou do Instagram?
Não. Os termos de uso dessas plataformas proíbem raspagem e a fiscalização é agressiva, com bloqueio de conta e ações judiciais. Além disso, montar lista comercial a partir de perfis pessoais dificilmente se sustenta como legítimo interesse: ninguém publica um perfil social esperando proposta comercial por e-mail. Fique em sites institucionais e diretórios de empresas.
O que acontece se alguém reclamar à ANPD?
A ANPD pode pedir explicações sobre a origem dos dados, a base legal aplicada e as informações prestadas ao titular. As sanções vão de advertência com prazo para correção até multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Na maioria dos casos o desfecho é uma exigência de ajuste — mas quem não registrou de onde veio cada endereço fica sem resposta a dar.
Por quanto tempo posso guardar os endereços que coletei?
Só enquanto a finalidade que justificou a coleta existir. Se você recolheu contatos para uma campanha específica e ela terminou, a base deveria ser eliminada ou anonimizada. Regra prática que funciona: seis meses sem interação, o contato sai. Mantenha apenas a lista de supressão de quem pediu para não receber mais — essa precisa sobreviver a qualquer limpeza.
Em resumo
A resposta que fecha o assunto tem duas partes. Extrair e-mails visíveis de sites públicos é legal no Brasil, com respaldo direto no artigo 7º, §4º da LGPD. Escrever para essas pessoas é legal quando existe finalidade legítima, quando você diz de onde veio o contato e quando a saída é imediata e respeitada.
Comece pelo simples: lista pequena, origem anotada, primeira mensagem que você mostraria ao jurídico sem constrangimento e obediência imediata ao primeiro pedido de descadastro. Quem faz isso raramente tem problema — nem com a ANPD, nem com o filtro de spam.
