Você captura leads por formulário, dispara e-mail marketing, roda remarketing no Meta Ads, usa pixel de rastreamento e manda mensagem por WhatsApp. Tudo isso, depois da LGPD, depende de base legal documentada. Sem ela, cada ação vira passivo jurídico.
A LGPD no marketing digital não é teoria de compliance para advogado discutir em seminário. É o filtro que separa a operação de captação amadora (lista comprada, cookie sem aviso, lead sem consentimento) da operação que gera resultado sustentável. Empresas maduras em LGPD convertem até 32% mais leads qualificados do que as que ignoram a lei. Privacidade virou vetor de receita, não só escudo jurídico.
Se você gerencia um PDV, uma rede de franquias, uma academia ou qualquer estabelecimento que coleta dados de clientes (inclusive pelo Wi-Fi), o que vem a seguir é o mapa prático do que a lei exige, onde a maioria erra e como transformar conformidade em vantagem competitiva.
Veja mais vídeos como esse em nosso canal do YouTube!
O que a LGPD exige do seu marketing
A Lei 13.709/2018 entrou em vigor em setembro de 2020 e estabeleceu dez bases legais para tratar dados pessoais. No marketing digital, três delas concentram 90% das situações do dia a dia:
| Base legal | Quando usar | Exemplo prático |
|---|---|---|
| Consentimento (art. 7º, I) | Coleta com opt-in para finalidade específica | Newsletter, lead magnet, remarketing comportamental, lista de transmissão no WhatsApp |
| Legítimo interesse (art. 7º, IX) | Interesse legítimo do controlador, sem ferir direitos do titular | Segmentação de base própria, personalização de UX, prevenção à fraude |
| Execução de contrato (art. 7º, V) | Tratamento necessário para cumprir o contrato | Onboarding de aluno em academia, confirmação de reserva em hotel, suporte pós-venda |
Além da base legal, a LGPD impõe princípios que afetam diretamente como você monta formulários, configura cookies e envia comunicações:
- Finalidade: cada campo do formulário precisa ter propósito declarado antes da coleta. “Utilizaremos seu e-mail para envio de materiais educativos” é válido. Coletar e-mail sem dizer pra quê, não.
- Necessidade: colete o mínimo. Formulários com 12 campos que caíram para 6 elevaram a conversão de 43% para 71% em testes reais. Menos dados, mais resultado.
- Transparência: política de privacidade clara, em português acessível, com identificação do responsável e do DPO (encarregado de dados).
Parece burocrático? Pode ser. Mas o problema real não está na lei. Está nos erros operacionais que se repetem em quase todo estabelecimento.
Onde a maioria erra (e onde a multa mora)
A ANPD aplicou zero multas em 2024. A única multa da história da lei (R$ 14.400, contra a Telekall Infoservice em 2023) foi por venda de listas de WhatsApp sem base legal. Isso cria uma falsa sensação de segurança.
Dois dados corrigem essa ilusão: a ANPD acumulou mais de 600 comunicações de incidentes em três anos, e o Poder Judiciário já condena empresas por conta própria. Em 2025, o TJMG condenou uma instituição financeira a pagar R$ 10 mil por vazamento de dados sem consentimento. São ações individuais que se multiplicam.
Os erros mais frequentes no marketing digital de PDVs e empresas de serviço:
- Cookies carregados antes do consentimento. O Meta Pixel, o Google Analytics e o TikTok Pixel disparam antes do visitante clicar em qualquer coisa. Segundo o Guia Orientativo de Cookies da ANPD, scripts de rastreamento não podem ser carregados sem aceite prévio.
- Listas de e-mail (ou WhatsApp) compradas. Não existe base legal que sustente o uso de dados adquiridos de terceiros sem consentimento do titular. A primeira multa da LGPD foi exatamente sobre isso.
- Formulários sem finalidade declarada. “Cadastre-se” sem explicar para quê é coleta sem transparência. O campo de e-mail precisa de aviso de privacidade visível, não enterrado no rodapé.
- Remarketing sem consentimento específico. Usar dados de clientes para montar públicos personalizados e lookalike no Meta Ads sem opt-in granular configura compartilhamento irregular com plataformas de anúncios.
- Shadow data: dados em planilhas de vendedores. Aquele Excel com nome, telefone e e-mail de 2.000 clientes que o gerente guarda no Google Drive pessoal? É tratamento de dados fora de qualquer governança. E a responsabilidade é da empresa.
Apenas 36% das empresas brasileiras estavam em conformidade total em 2023. O cenário melhorou desde então, mas o gap entre “iniciamos adequação” e “operamos com governança real” continua enorme.
A pergunta prática, então, é: como capturar leads de forma segura, escalável e com ROI mensurável? A resposta passa por um conceito que a própria lei favorece.
First-party data: a resposta que a LGPD empurra
First-party data é o dado que o cliente entrega diretamente a você, com ciência e consentimento. Não depende de cookies de terceiros, não depende de listas compradas, não depende de plataformas intermediárias.
No contexto de PDVs (restaurantes, academias, hotéis, clínicas, eventos), o canal mais natural de first-party data é o Wi-Fi.
Funciona assim: o cliente chega ao estabelecimento, conecta no Wi-Fi e passa por um captive portal. Nesse portal, ele faz login via celular, e-mail ou rede social. Antes de conectar, aceita os termos de uso e a política de privacidade. Pronto: você tem nome, contato e consentimento documentado, tudo em um único passo.
Esse modelo resolve três problemas ao mesmo tempo (e elimina os riscos de segurança do Wi-Fi aberto sem controle):
- Base legal: o opt-in acontece no momento da conexão. O consentimento é livre (o cliente escolhe conectar), informado (os termos estão visíveis) e inequívoco (há ação afirmativa).
- Finalidade: o captive portal declara para que os dados serão usados antes da coleta.
- Prova: o sistema registra timestamp, IP, dispositivo e aceite. Se a ANPD ou um juiz pedir evidência de consentimento, ela existe.
Comparado com formulários de landing page (onde a taxa de preenchimento fica entre 2% e 5%), o Wi-Fi marketing com captive portal captura dados de praticamente todos que conectam. Em um restaurante com 200 conexões por dia, são 200 leads com consentimento documentado, todos os dias.
E o dado não para no Wi-Fi. Se o sistema integra com WhatsApp, o lead capturado na conexão pode receber uma mensagem de boas-vindas automática, um cupom de retorno ou uma pesquisa de satisfação, tudo com base legal e sem intervenção manual.
Mas o Wi-Fi resolve a captação no PDV. E os canais digitais que dependem de cookies e rastreamento?
Cookies e rastreamento: o que mudou de verdade
O Guia Orientativo de Cookies da ANPD (publicado em 2022, atualizado em 2025) é direto:
- Consentimento granular: o usuário aceita ou recusa cada categoria (essenciais, analíticos, marketing) separadamente.
- Pré-bloqueio: nenhum script de tracking pode rodar antes do aceite. Isso inclui Google Tag Manager, Meta Pixel, LinkedIn Insight Tag.
- Rejeição com destaque igual: o botão “recusar todos” precisa ter o mesmo peso visual de “aceitar todos”.
- Opt-in, não opt-out: aquele antigo banner com texto genérico e botão único (“entendi”) não é mais suficiente.
Na prática, isso significa que uma parcela significativa dos visitantes do seu site vai recusar cookies de marketing. E aí?
Duas respostas técnicas dominam o mercado em 2026:
Server-side tracking. Em vez de o navegador do usuário enviar dados para o Google ou Meta (client-side, bloqueável), o seu servidor envia. O Google Tag Manager Server-Side e a Meta Conversions API são as ferramentas padrão. Não eliminam a necessidade de consentimento, mas reduzem a perda de dados causada por bloqueadores de anúncios e navegadores restritivos.
First-party data como eixo central. O fim dos cookies de terceiros no Chrome (adiado várias vezes pelo Google, mas a tendência é irreversível) força a migração para dados coletados diretamente com consentimento. Marcas que dependiam de lookalike audiences e retargeting baseado em pixels precisam reconstruir a estratégia ao redor de dados próprios.
Para um estabelecimento físico, isso reforça o valor do Wi-Fi como canal. O dado coletado no captive portal é first-party por definição. Não depende de cookie, não depende de navegador, não depende de plataforma de terceiro.
Existe, porém, um canal onde a LGPD exige atenção redobrada, justamente por ser o mais poderoso para conversão: o WhatsApp.
WhatsApp e LGPD: potência com permissão
O WhatsApp é o canal com maior taxa de abertura no Brasil (acima de 90% em mensagens comerciais). Mas a LGPD impõe regras claras para usá-lo como ferramenta de marketing:
- Opt-in antes de iniciar conversa de marketing. Você precisa de consentimento registrado antes de enviar promoção, novidade ou qualquer comunicação que não seja resposta direta a uma solicitação do cliente.
- Listas de transmissão só com contatos que autorizaram. Disparar para uma lista comprada ou para contatos que nunca consentiram é a mesma infração que derrubou a Telekall.
- Identificação clara do remetente. CNPJ, razão social, finalidade da mensagem.
- Link de descadastro funcional. O titular pode revogar o consentimento a qualquer momento, e o atendimento deve ocorrer em até 15 dias.
A integração entre Wi-Fi e WhatsApp resolve o gargalo do opt-in. O cliente conecta no Wi-Fi do seu estabelecimento, fornece o número de celular no captive portal (com aceite dos termos) e, a partir dali, pode receber mensagens com base legal documentada.
Esse fluxo transforma o Wi-Fi em porta de entrada e o WhatsApp em canal de fechamento. Sem atrito, sem compra de lista, sem risco jurídico.
Mas conformidade não é só sobre evitar multa. A pergunta que o gestor faz (com razão) é: isso dá retorno?
O retorno mensurável de estar em conformidade
Privacidade virou critério de compra. Marcas percebidas como pouco transparentes sofrem queda de conversão de até 40%. No sentido inverso, a conformidade gera três resultados concretos:
1. Leads mais qualificados. Quando o cliente opta por fornecer o dado (em vez de ter o dado extraído por cookie), ele está mais engajado. A taxa de conversão de leads capturados com opt-in ativo é consistentemente maior do que a de leads adquiridos por scraping ou listas compradas.
2. Redução de risco jurídico. O teto da LGPD é 2% do faturamento, limitado a R$ 50 milhões por infração. Para uma rede com 20 unidades e faturamento de R$ 30 milhões, uma multa cheia seria de R$ 600 mil. Mas o risco judicial é mais imediato: ações individuais de R$ 5 mil a R$ 50 mil por consumidor se acumulam rápido. Conformidade é seguro, não gasto.
3. Base ativa com permissão real. Uma base de 10 mil contatos que consentiram receber suas comunicações vale mais do que 100 mil contatos que nunca abrem e-mail e marcam como spam. O custo por aquisição cai, o engajamento sobe e a frequência de recompra aumenta.
Para estabelecimentos que operam com fluxo físico de pessoas (academias, restaurantes, hotéis, clínicas), a equação é direta: Wi-Fi com captive portal captura o lead no opt-in, WhatsApp com automação converte esse lead em recorrência, e tudo acontece dentro da LGPD.
Se a sua operação ainda trata o Wi-Fi como commodity de conexão e o WhatsApp como app de mensagem, o problema não é a lei. É o canal subutilizado. Veja como a integração Wi-Fi + WhatsApp funciona na prática para o seu segmento.
Perguntas frequentes
Preciso de consentimento para usar cookies de marketing no meu site?
Sim. O Guia Orientativo de Cookies da ANPD exige consentimento prévio, granular e com opção real de recusa antes de carregar qualquer script de rastreamento (Google Analytics, Meta Pixel, etc.). Cookies estritamente necessários (sessão, autenticação, carrinho) estão dispensados.
Posso usar listas de e-mail ou WhatsApp compradas?
Não. Listas compradas envolvem dados coletados sem consentimento do titular. A primeira (e até hoje única) multa da LGPD foi exatamente por venda de listas de WhatsApp. O risco é administrativo, judicial e reputacional.
Qual o valor máximo da multa por infração à LGPD?
Até 2% do faturamento da empresa no último exercício, limitado a R$ 50 milhões por infração. Além da multa administrativa, o Judiciário condena empresas em ações individuais com indenizações que variam de R$ 5 mil a R$ 50 mil por titular lesado.
A LGPD proíbe remarketing no Google Ads e Meta Ads?
Não proíbe, mas exige base legal. Para remarketing comportamental (públicos personalizados, lookalike), o consentimento via banner de cookies com opt-in granular é o caminho mais seguro. Sem ele, o controlador precisa justificar legítimo interesse, e a ANPD tem posição conservadora sobre isso.
Capturar dados pelo Wi-Fi do estabelecimento é legal?
Sim, desde que o captive portal apresente termos de uso e política de privacidade antes da conexão, e o usuário faça opt-in ativo (login por celular, e-mail ou rede social). Esse modelo atende aos requisitos de consentimento livre, informado e inequívoco da LGPD.
Pequenas empresas precisam indicar um DPO (encarregado de dados)?
Depende do porte e do tipo de tratamento. A Resolução CD/ANPD nº 2/2022 permite dispensa para empresas de pequeno porte que operam tratamento de baixo risco, desde que mantenham canal de comunicação direto com o titular. Na prática, a maioria das PMEs precisa ao menos de um responsável designado.
