LGPD em vendas: o que o time comercial pode e não pode fazer

A LGPD não proíbe o time comercial de prospectar, ligar, mandar mensagem ou guardar dados no CRM. Ela exige que cada uso de dado pessoal tenha uma base legal, uma finalidade clara e informada à pessoa, só os dados necessários, segurança e respeito aos direitos do titular, principalmente o de pedir para não ser mais contatado. Na prática: o vendedor pode responder e acompanhar quem pediu orçamento, prospectar contatos profissionais de empresas com base no legítimo interesse e manter o histórico do cliente no CRM. Não pode usar lista de origem desconhecida, insistir com quem pediu para parar, guardar dados de clientes no celular pessoal ou levar a carteira quando sai da empresa. Abaixo estão as regras, com os artigos da Lei nº 13.709/2018 e as orientações da ANPD, e um checklist de adequação do comercial.

Aviso: este artigo é um guia prático para o time comercial, não um parecer jurídico. Cada operação tem particularidades; decisões sobre base legal, compra de dados e incidentes devem passar pelo encarregado de dados e pela assessoria jurídica da empresa. Os artigos citados foram conferidos no texto da lei no Planalto em outubro de 2026.

O que a LGPD considera dado pessoal no comercial

Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). No dia a dia de vendas, isso inclui:

Nome, celular, e-mail nominal e cargo do contato, mesmo que seja o e-mail corporativo.
Anotações do vendedor sobre a pessoa (“decide junto com o sócio”, “prefere ligação à tarde”).
Gravações e transcrições de ligações e reuniões.
Conversas de WhatsApp e e-mail.
Dados de navegação e de formulário ligados a um lead identificado.

O CNPJ, a razão social e o faturamento de uma empresa, sozinhos, não são dados pessoais. Mas a venda B2B quase sempre envolve pessoas, e é aí que a lei entra.

Atenção aos dados sensíveis (art. 5º, II): origem racial ou étnica, religião, opinião política, filiação a sindicato, saúde, vida sexual, dados genéticos ou biométricos. Eles têm regras mais restritas (art. 11) e não devem entrar em anotação de vendas, roteiro de qualificação ou campo do CRM, salvo em segmentos em que fazem parte do serviço e foram avaliados pelo jurídico.

Dois papéis aparecem o tempo todo: o controlador, que decide sobre o tratamento (a sua empresa), e o operador, que trata os dados em nome dele (o fornecedor de CRM, a plataforma de WhatsApp, a ferramenta de IA) (art. 5º, VI e VII). O operador deve seguir as instruções do controlador, e cabe ao controlador verificar se isso acontece (art. 39).

Os princípios que mais pesam em vendas

O art. 6º lista dez princípios. Quatro deles mudam a rotina comercial:

Princípio	O que diz (resumo)	Na rotina do comercial
Finalidade (I)	Tratar dados para propósitos legítimos, específicos e informados ao titular	O formulário diz para que o contato será usado
Necessidade (III)	Limitar ao mínimo necessário para a finalidade	Pedir só o que a qualificação usa; CPF e data de nascimento não entram no formulário de orçamento
Transparência (VI)	Informações claras e acessíveis sobre o tratamento	O vendedor diz de onde veio o contato quando perguntado
Segurança (VII)	Medidas para proteger os dados contra acessos não autorizados e incidentes	Permissões no CRM, nada de planilha de clientes circulando por e-mail

Bases legais para vendas: consentimento, contrato e legítimo interesse

Todo tratamento de dado pessoal precisa se encaixar numa das hipóteses do art. 7º. Para o comercial, três são as mais relevantes.

Base legal	Artigo	Quando costuma se aplicar em vendas	Cuidados
Execução de contrato ou procedimentos preliminares, a pedido do titular	Art. 7º, V	Lead que pediu orçamento, proposta ou demonstração; cliente com contrato em andamento	Vale para o que a pessoa pediu. Usar o mesmo contato para outras ofertas pede outra base
Legítimo interesse	Art. 7º, IX, e art. 10	Prospecção B2B com contato profissional; ofertas relacionadas ao que o cliente já compra	Só dados estritamente necessários (art. 10, § 1º), transparência (art. 10, § 2º), respeito às expectativas do titular e canal de oposição
Consentimento	Art. 7º, I, e art. 8º	Newsletter, listas de ofertas, contatos de evento que autorizaram receber comunicações	Precisa ser demonstrável (art. 8º) e pode ser revogado a qualquer momento, de forma gratuita e facilitada (art. 8º, § 5º)

Na prática:

Uma base por finalidade, não uma por contato. O mesmo lead pode ter o pedido de orçamento apoiado na execução de procedimentos preliminares e, depois, o envio de novidades apoiado no consentimento ou no legítimo interesse. Cada finalidade precisa da sua justificativa.
Consentimento não é sempre a melhor escolha. Se o titular revogar, o tratamento baseado nele para. A escolha da base é do controlador, com apoio do jurídico.

Como a ANPD orienta o legítimo interesse

O guia orientativo da ANPD sobre legítimo interesse, lançado em fevereiro de 2024, propõe um teste de balanceamento em três fases: finalidade, necessidade, e balanceamento e salvaguardas. O guia trata o teste como boa prática e medida recomendável para demonstrar que a base foi bem aplicada.

Na avaliação da legítima expectativa do titular, o guia destaca quatro fatores: se existe relação prévia entre a empresa e a pessoa; a fonte e a forma da coleta (direto do titular, de fontes públicas ou compartilhados por terceiros); o contexto e o período da coleta; e a compatibilidade da finalidade com o tratamento. Entre as salvaguardas, o modelo de teste pergunta se há canal de fácil acesso para o titular se descadastrar, se opor ao tratamento e pedir a eliminação dos dados.

Traduzindo para o comercial, um teste de balanceamento simples para a prospecção B2B responde por escrito:

TESTE DE BALANCEAMENTO — PROSPECÇÃO B2B
1. Finalidade: oferecer [serviço] a empresas do perfil [ICP].
   O interesse é concreto e ligado à nossa atividade atual?
2. Necessidade: quais dados usamos? (nome, cargo, e-mail ou telefone
   profissional, empresa). Algum dado sobra?
3. Expectativa: o contato é ligado ao cargo da pessoa? De onde veio
   o dado? Quando foi coletado?
4. Riscos: a abordagem é intrusiva? Quantas tentativas fazemos?
5. Salvaguardas: a primeira mensagem diz quem somos e como parar
   de receber contato? O pedido de descadastro bloqueia no CRM?
6. Conclusão: podemos usar o legítimo interesse? Sim/Não. Data e responsável.

O teste fica arquivado junto com o registro das operações de tratamento, que o controlador e o operador devem manter, especialmente quando a base é o legítimo interesse (art. 37). A ANPD pode pedir relatório de impacto à proteção de dados nesses casos (art. 10, § 3º).

Prospecção B2B com dados de contato

A prospecção entre empresas é o uso mais comum do legítimo interesse no comercial. O que costuma sustentar a base:

Contato ligado à função. Oferecer um serviço de logística ao gerente de logística é compatível com a atividade profissional dele. Mandar a mesma oferta para o celular pessoal de um funcionário de outra área não é.
Dados mínimos. Nome, cargo, empresa e um canal profissional. Sem dados de vida pessoal.
Identificação clara. A primeira mensagem diz quem é a empresa, por que está entrando em contato e como parar de receber contato.
Cadência com limite. Várias tentativas sem resposta em sequência, em vários canais, tendem a pesar contra a empresa no balanceamento. Defina um número máximo de tentativas e encerre.
Dados públicos com cuidado. Dados de acesso público podem ser tratados considerando a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização (art. 7º, § 3º). Um perfil profissional público não autoriza qualquer uso.

O passo a passo da montagem de lista e cadência está no guia de prospecção de clientes.

Compra de listas: o que avaliar

A LGPD não tem um artigo que proíba comprar lista. O problema é outro: ao usar os dados, a sua empresa passa a ser responsável pelo tratamento e precisa demonstrar a base legal e o respeito às expectativas do titular. Como o guia da ANPD considera a fonte e a forma da coleta na avaliação, uma lista de origem desconhecida enfraquece a justificativa desde o início.

Antes de comprar ou contratar uma base de dados, peça por escrito:

Pergunta ao fornecedor	Sinal de alerta
De onde vieram os dados e como foram coletados?	“Várias fontes”, sem detalhar
Quando foram coletados e atualizados?	Sem data ou com base antiga
Os titulares foram informados do compartilhamento?	Nenhuma resposta ou resposta vaga
Quais dados vêm na lista?	Dados pessoais além do contato profissional, como CPF ou endereço residencial
Como o fornecedor trata pedidos de exclusão?	Não há processo
O contrato define responsabilidades de cada parte?	Contrato sem cláusula de proteção de dados

Se as respostas não forem satisfatórias, não use. Se forem, leve o contrato e o teste de balanceamento ao jurídico antes da primeira abordagem. No WhatsApp a resposta é mais simples: a política do WhatsApp Business, conferida em outubro de 2026, só permite contatar quem forneceu o número e autorizou receber mensagens da empresa. Lista comprada não atende a essa regra.

Direito de oposição e descadastro

O titular pode, a qualquer momento, pedir confirmação de que seus dados são tratados, acesso, correção, eliminação dos dados tratados com consentimento e informação sobre com quem eles foram compartilhados, entre outros direitos (art. 18). Pode também se opor a tratamento feito sem consentimento, em caso de descumprimento da lei (art. 18, § 2º). Esses pedidos são feitos ao agente de tratamento por requerimento do titular ou de representante (art. 18, § 3º).

Quando o pedido é de acesso completo, a lei dá prazo de até 15 dias, contados do requerimento, para a declaração completa (art. 19, II).

O processo mínimo para o comercial:

Qualquer vendedor que receber “não quero mais contato” registra no CRM no mesmo dia, num campo padrão (“não contatar”, com data e canal do pedido).
O campo bloqueia novas tarefas, cadências e envios automáticos para aquele contato, em todos os canais.
O vendedor confirma ao titular, por escrito, que o pedido foi registrado.
Pedidos de acesso, correção ou eliminação vão para o encarregado de dados, que o controlador deve indicar (art. 41), e não ficam na mão do vendedor.
A lista de bloqueio é cruzada com toda lista nova antes da prospecção, para o contato não voltar por outra origem.

Dados no CRM e no WhatsApp do vendedor

No CRM

Acesso por função. Vendedor vê a própria carteira; exportação da base só para perfis autorizados. É uma medida de segurança no sentido do art. 46.
Campos com finalidade. Cada campo do cadastro tem uso definido. Campo que ninguém usa é dado guardado sem necessidade.
Anotações profissionais. O que o vendedor escreve sobre o cliente pode ser acessado pelo próprio titular (art. 18, II). Escreva como se o cliente fosse ler.
Prazo de guarda. O tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários (art. 15), e os dados devem ser eliminados depois disso, salvo exceções como cumprimento de obrigação legal (art. 16). Defina com o jurídico por quanto tempo leads perdidos ficam na base.
Contrato com o fornecedor. O fornecedor do CRM é operador: o contrato deve tratar segurança, localização dos dados e o que acontece com eles no fim do contrato. O guia de CRM de vendas traz as perguntas para fazer antes de assinar.

No WhatsApp

Número da empresa, não do vendedor. Conversa com cliente em celular pessoal fica fora do controle da empresa: sem permissão de acesso, sem backup corporativo e sem como atender a um pedido de exclusão.
Opt-in e pedido para parar. Além da LGPD, a política do WhatsApp Business exige autorização do contato e respeito aos pedidos de bloqueio ou de parar de receber mensagens, feitos dentro ou fora do WhatsApp.
Nada de dados sensíveis ou documentos sem necessidade. A mesma política proíbe pedir números completos de cartão de pagamento, de conta financeira e de documento de identidade, entre outras informações confidenciais.

A organização do canal, com scripts e rotina, está no guia de vendas pelo WhatsApp.

Quando o vendedor sai da empresa

Os dados dos clientes são da empresa, que é a controladora. O vendedor que leva a carteira para o próximo emprego usa dados pessoais para uma finalidade que o titular não conhece e que a empresa não autorizou.

Procedimento de saída:

Acessos ao CRM, e-mail, telefonia e WhatsApp corporativo removidos no último dia.
Carteira redistribuída no CRM, com o histórico preservado.
Número de WhatsApp comercial mantido pela empresa (por isso o número deve ser corporativo desde o início).
Planilhas, exportações e arquivos locais com dados de clientes devolvidos ou apagados, com registro.
Contrato de trabalho ou de prestação de serviço com cláusula de confidencialidade e proteção de dados.
Clientes avisados do novo responsável pela conta.

Se houver indício de que dados foram copiados indevidamente, leve ao encarregado. Incidente de segurança que possa acarretar risco ou dano relevante aos titulares precisa ser comunicado à ANPD e aos titulares (art. 48); a avaliação de cada caso é do encarregado com o jurídico.

O que pode e o que não pode: resumo para o time

Pode	Não pode
Responder e acompanhar quem pediu orçamento	Usar lista de origem desconhecida
Prospectar contato profissional com base no legítimo interesse documentado	Insistir depois de um pedido para parar
Guardar o histórico do cliente no CRM, com acesso controlado	Guardar dados de clientes no celular ou e-mail pessoal
Gravar ligação avisando o cliente e com finalidade definida	Anotar dado sensível sem necessidade
Enviar ofertas a quem autorizou ou a clientes, com descadastro fácil	Exportar a base sem autorização
Usar dados públicos de forma compatível com o motivo de serem públicos	Levar a carteira ao sair da empresa

Checklist de adequação do comercial

Erros mais comuns

Achar que B2B está fora da LGPD. O contato da empresa é uma pessoa, e os dados dela são pessoais.

Usar consentimento para tudo. Pedir aceite em toda interação cria fricção e uma base que pode ser revogada a qualquer momento. Escolha a base pela finalidade.

Descadastro que não chega ao vendedor. O marketing bloqueia, o CRM não, e o contato recebe ligação depois de pedir para parar.

WhatsApp pessoal. É o maior ponto cego do comercial: dados fora do controle da empresa e perdidos quando o vendedor sai.

A LGPD organiza o comercial mais do que limita: base limpa, contatos com origem conhecida e pedidos de oposição respeitados também melhoram a taxa de resposta. Para ver como dados e segurança entram nas outras camadas de tecnologia do time, consulte o guia de tecnologia e IA em vendas.

Perguntas frequentes

A LGPD proíbe prospecção ativa?

Não. A Lei 13.709/2018 não proíbe prospecção. Ela exige que todo tratamento de dados pessoais tenha uma base legal (art. 7º), uma finalidade informada e que o titular possa exercer seus direitos, inclusive o de se opor. Na prospecção entre empresas, a base mais usada é o legítimo interesse (art. 7º, IX), que pede contato ligado à atividade profissional da pessoa, uso só dos dados necessários, transparência e canal fácil de descadastro.

A LGPD vale para dados de empresas (B2B)?

A LGPD protege dados de pessoas naturais. O CNPJ e a razão social de uma empresa, sozinhos, não são dados pessoais. Mas o nome, o e-mail nominal, o celular e o cargo do comprador são, porque identificam uma pessoa (art. 5º, I). Por isso, a prospecção B2B também está sujeita à lei.

Posso comprar lista de contatos para prospectar?

A lei não traz uma proibição expressa, mas quem usa os dados passa a ser responsável pelo tratamento e precisa demonstrar a base legal. O guia da ANPD sobre legítimo interesse indica que a fonte e a forma da coleta (inclusive dados compartilhados por terceiros) pesam na avaliação da legítima expectativa do titular. Lista sem origem comprovada, sem data de coleta e sem garantia de que os titulares foram informados é um risco alto. Leve o caso à assessoria jurídica antes de comprar.

O que fazer quando o contato pede para não ser mais procurado?

Registrar o pedido no CRM no mesmo dia, bloquear novos contatos comerciais em todos os canais e confirmar ao titular que o pedido foi atendido. A LGPD garante o direito de oposição (art. 18, § 2º) e, no caso de dados tratados com consentimento, a revogação a qualquer momento (art. 8º, § 5º). No WhatsApp, a política da plataforma também exige respeitar pedidos para parar de receber mensagens.

Qual a multa da LGPD?

A multa simples pode chegar a 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II). A lei também prevê advertência, bloqueio e eliminação dos dados, entre outras sanções, e o dever de reparar danos causados ao titular (art. 42).

Pedro Favaretto

COO do Grupo VMX

Pedro Favaretto é COO do Grupo VMX, em Belo Horizonte, e responde pela operação que estrutura processos comerciais, geração de demanda e times de vendas de empresas clientes. Escreve sobre processo de vendas, marketing, tecnologia comercial e vendas por segmento.