LGPD e GDPR: consentimento ou legítimo interesse no B2B

Existem duas respostas padrão para saber se você pode contatar uma empresa na Europa sem pedir antes, e as duas estão erradas. A primeira diz que o GDPR proibiu a prospecção B2B fria em 2018. A segunda diz que o contato entre empresas está isento, então mande o que quiser. A posição real fica entre as duas, é legível se você ler os instrumentos na ordem certa, e o legítimo interesse é a dobradiça em que ela gira. No Brasil, a LGPD tem o mesmo desenho, então o raciocínio abaixo vale para os dois regimes. O que segue é o nosso entendimento de trabalho, escrito porque construímos decisões de produto em cima dele.

01O que o GDPR governa, e o que não governa

O GDPR governa dado pessoal: informação relativa a uma pessoa viva identificada ou identificável. O considerando 14 diz isso de forma direta, e exclui dados sobre pessoas jurídicas. Uma empresa não é pessoa natural, e não é protegida pelo GDPR só por existir. A LGPD desenha a mesma fronteira no artigo 5º, inciso I.

Então um endereço genérico de empresa carrega uma pretensão de dado pessoal mais fraca que um endereço de trabalho de uma pessoa nomeada. Compare os dois:

• Um formulário de contato sem destinatário nomeado, ou um endereço de função como info@ ou vendas@ em uma empresa de cem pessoas, identifica uma organização e uma função. Não há uma pessoa específica do outro lado, e muitas vezes não há uma pessoa estável.
• [email protected] é dado pessoal. Identifica um indivíduo, é dele, e usar para trabalho não muda nada. Tanto o ICO quanto o EDPB tratam dados de contato profissional de uma pessoa identificável como dentro do escopo.

Mais fraca não é nenhuma, e é aqui que as pessoas exageram. Um endereço de função ainda pode identificar uma pessoa: info@ em uma consultoria de duas pessoas é um humano com nome, e vários reguladores analisam assim. E se você pesquisou alguém ou personalizou com base em qualquer coisa sobre essa pessoa, você tratou dado pessoal para produzir a mensagem, mesmo quando o destino é genérico. O envelope não decide a análise. O tratamento decide.

Publicação também conta, mas menos do que as pessoas gostariam. Uma empresa que publica uma página de contato convidou o contato por aquela rota, o que é um insumo real para o teste de expectativa razoável mais abaixo. Não é consentimento, e tratar como consentimento é o erro mais comum daqui. Uma porta, no nosso vocabulário, é uma rota de contato pública, e preferimos formulários sem destinatário nomeado. Não adivinhamos endereços de trabalho individuais a partir de um padrão de nomes: prática comum, descartada em vez de adiada.

02Legítimo interesse é base legal, na LGPD e no GDPR, não slogan

O artigo 6(1)(f) faz do legítimo interesse uma base legal, e o considerando 47 diz que o marketing direto pode ser considerado feito com base em um. Esse considerando é citado o tempo todo e quase sempre lido errado. Ele diz pode ser considerado: permissão para rodar o teste, não o resultado. Na LGPD, o artigo 7º, inciso IX, e o artigo 10 fazem o mesmo trabalho e cobram a mesma prestação de contas. Legítimo interesse para marketing B2B é real e condicional, e a condição é uma avaliação documentada em vez de uma afirmação.

Ele tem três partes, e as três precisam se sustentar:

• Finalidade. Existe um interesse real, específico e presente? "Crescer o negócio" reprova, porque descreve qualquer coisa que uma empresa possa fazer. "Contatar empresas que publicam uma página de contato para desenvolvedores e já rodam infraestrutura de scraping, sobre um produto de scraping" é específico o bastante para ser discutido, e é isso que faz dele uma finalidade.
• Necessidade. O tratamento é mesmo necessário para essa finalidade, e algo menos invasivo levaria você até lá? Se um diretório publicado, uma relação já existente ou um canal de entrada resolveriam, o balanceamento não salva você. Necessidade é restrição de verdade, não caixinha para marcar.
• Balanceamento. Pese o seu interesse contra os direitos, as liberdades e as expectativas razoáveis do destinatário. A relevância carrega a maior parte do peso. Uma mensagem sobre um problema que o destinatário escreveu publicamente, enviada a um canal que ele publicou, é muito diferente do mesmo texto disparado para dez mil endereços na esperança de que alguns acertem.

A palavra que faz o trabalho é documentada. Escreva a avaliação antes da campanha, guarde a versão, e registre o que mudou quando a segmentação mudou. Se um regulador ou um destinatário perguntar, esse documento é a prova. Um produzido depois que a reclamação chegou não é avaliação, é defesa, e se lê como uma.

Isso também traz uma obrigação que as pessoas pulam. O artigo 14 cobre dados que você não obteve da própria pessoa, e exige que você conte a ela o que guarda, por quê, e de onde veio, no mais tardar quando faz o primeiro contato. A LGPD chega ao mesmo lugar pelo artigo 9º. Então a primeira mensagem precisa dizer de onde vieram os dados. A maior parte da prospecção fria nunca diz.

03A ePrivacy é a regra que morde de verdade

Aqui vem a parte que é pulada, e a parte que gera a fiscalização. O GDPR dá a você uma base legal para tratar os dados. A Diretiva ePrivacy governa o ato do marketing eletrônico em si, um instrumento separado com requisitos separados, então você pode cumprir o artigo 6(1)(f) inteirinho e ainda estar impedido de enviar.

O artigo 13 estabelece opt in para marketing eletrônico não solicitado a pessoas naturais. O artigo 13(5) então entrega a posição sobre pessoas jurídicas aos Estados membros, exigindo apenas que os interesses delas sejam suficientemente protegidos. Essa única delegação é a razão de não existir uma resposta europeia aqui, só vinte e sete respostas nacionais, e como uma diretiva é transposta em vez de aplicada diretamente, essas implementações divergiram de forma permanente.

Como as lemos hoje, e este mapa é revisado em vez de presumido:

• A Alemanha exige consentimento prévio expresso para publicidade por correio eletrônico sob o parágrafo 7 da UWG, sem exceção empresarial. Os tribunais alemães têm sido consistentes: um e-mail publicitário não solicitado para a caixa de uma empresa é um incômodo desarrazoado, e o destinatário ser uma empresa não ajuda você.
• A Itália exige consentimento prévio para marketing eletrônico sob o artigo 130 do Codice Privacy, e o Garante aplicou isso a destinatários empresariais.
• A Áustria segue a mesma linha na lei de telecomunicações dela. Consentimento primeiro, e ser uma empresa não muda isso.
• A França distingue o B2B de forma explícita. A posição da CNIL é que contatar um profissional em um endereço profissional sobre o cargo dele não exige consentimento prévio, desde que ele seja informado na coleta e possa se opor.
• A Irlanda, e boa parte do resto da UE, tratam assinantes corporativos em regime de opt out: envie até que se oponham, sujeito aos deveres do GDPR acima.

Então a pergunta não é "isso está em conformidade com o GDPR", que sozinha é quase sem sentido. É "qual implementação nacional se aplica a este destinatário", decidida por onde o destinatário está, e não por onde você está. Uma campanha lícita para Dublin e ilícita para Munique é o caso normal, não a exceção.

A Knockwire exclui por padrão as jurisdições de consentimento prévio. Uma empresa lida na Alemanha, na Áustria ou na Itália é recusada no filtro de jurisdição, o motivo é escrito no momento da decisão, e ela aparece no registro de recusas onde qualquer um pode contar. O operador pode religar um país, o que é justamente o ponto: fazer isso é um ato deliberado com uma pessoa nomeada junto, tomado com base em orientação jurídica própria. Nunca é o padrão e nunca acontece em silêncio.

Uma nota honesta sobre escopo. Um envio pelo formulário de contato da própria empresa não é o caso clássico do artigo 13, que mira correio eletrônico e chamada automatizada, e costuma ser analisado sob o GDPR e sob regras nacionais de concorrência desleal. Isso é parte do motivo de entregarmos por ali. Não é brecha e não sobreviveria a ser usado em volume. Envio de e-mail não está construído: está previsto para o quarto trimestre de 2026, então a leitura do artigo 13 e do parágrafo 7 da UWG acima é a gente resolvendo regras antes de precisar delas, não descrevendo o que fazemos hoje.

04A posição do Reino Unido: PECR e o assinante corporativo

O Reino Unido manteve o PECR depois do Brexit, e o PECR traça uma linha que o GDPR não traça: assinantes individuais contra assinantes corporativos. O regulamento 22, a regra de consentimento para e-mail de marketing não solicitado, se aplica a assinantes individuais. Sociedades limitadas, LLPs, sociedades escocesas e órgãos públicos são assinantes corporativos, e o regulamento 22 não alcança eles. E-mail de marketing para a caixa de uma sociedade limitada não precisa de consentimento sob o PECR. Essa parte da história da isenção é verdadeira.

A metade que não é verdadeira é a metade que gera as multas. O UK GDPR continua se aplicando a qualquer dado pessoal dentro ou atrás daquela mensagem, então você precisa de base legal, você deve o aviso do artigo 14, e o direito de oposição continua de pé. O regulamento 23 se aplica qualquer que seja o tipo de assinante: não esconda quem está enviando, e forneça um endereço válido para quem quiser sair. "B2B é isento" é uma afirmação sobre um regulamento, lida como se cobrisse todos eles.

Há uma armadilha na própria classificação. Profissionais autônomos e, na Inglaterra, no País de Gales e na Irlanda do Norte, sociedades não constituídas são assinantes individuais sob o PECR, e de fora se parecem exatamente com empresas pequenas: um site, uma marca, uma página de time, nenhuma constituição formal. Quem resolve isso é o Companies House, não o site. Não tentamos essa classificação automaticamente. Uma empresa lida no Reino Unido que não conseguimos situar com confiança como constituída é recusada em vez de adivinhada, e o motivo registrado nomeia a evidência que faltou.

05Oposição, exclusão, e o que "imediatamente" quer dizer

O artigo 21 dá um direito absoluto de se opor ao marketing direto, e absoluto é a palavra correta. Nenhum exercício de balanceamento, nenhuma avaliação, nenhum legítimo interesse sobrevive a ele. Alguém diz pare, e você para, para sempre. A única coisa que você guarda é o fato da oposição, porque precisa dele para continuar honrando. Isso é a lista de exclusão: o único lugar em que "guardamos os seus dados porque você mandou a gente ir embora" é a resposta certa e não uma desculpa.

A maioria das implementações dá conta do imediatamente e reprova no para sempre. Uma lista de exclusão que se sustenta na prática tem propriedades que vale enunciar:

• Vale para o cliente inteiro, não por campanha. Uma oposição a uma campanha é uma oposição, não um comentário sobre aquela campanha.
• Chaveada pelo domínio além do endereço, para que a saída de quem se opôs não signifique que o sucessor dele receba a mensagem que foi recusada.
• Checada antes de o rascunho ser escrito, e não antes do envio, para que nenhuma pessoa seja convidada a aprovar uma mensagem que não poderia sair legalmente.
• Permanente, sem validade, sem janela de reativação, e sem presumir que silêncio desde então significa que a posição mudou.
• Resistente à redescoberta. A fonte que trouxe a empresa no trimestre passado vai trazer de novo, e o registro deve mostrar o mesmo motivo de recusa toda vez.

Teste esse último item em qualquer ferramenta que você avaliar, a nossa inclusive. Se uma empresa excluída pode reentrar como candidata nova sob um nome ligeiramente diferente, a exclusão é um filtro sobre o envio, e não sobre o processo.