Prospecção fria e LGPD: o que pode e o que não pode em 2026

Sim, prospecção fria é legal no Brasil. A LGPD permite abordar quem nunca falou com você com base no legítimo interesse (art. 7º, inciso IX da lei), desde que a finalidade seja comercial legítima, o dado usado seja o mínimo necessário e a pessoa abordada possa sair da lista a qualquer momento. O problema não é ligar ou mandar e-mail pra um desconhecido. É como esse contato foi conseguido e o que você faz se ele pedir pra parar.

O que a lei realmente diz

A LGPD não exige consentimento prévio pra toda prospecção B2B, se exigisse, cold call e cold email teriam virado ilegais da noite pro dia em todo o país, e não foi isso que aconteceu. O artigo 7º lista dez bases legais que autorizam o tratamento de dado pessoal, e o inciso IX é o legítimo interesse do controlador: você pode usar um dado pessoal sem pedir permissão antes, desde que consiga sustentar por que aquele uso é razoável e esperado pela pessoa.

A Autoridade Nacional de Proteção de Dados (ANPD) já publicou orientação específica sobre isso e vem fiscalizando de forma mais ativa desde 2025. A multa prevista pela lei chega a 2% do faturamento da empresa, com teto de R$ 50 milhões por infração: o mesmo teto que já aparece no post sobre o risco de comprar lista de leads. A diferença é que ali o risco vem do dado desconhecido de origem; aqui o risco vem de como a sua própria prospecção é conduzida.

Os 3 requisitos pra legítimo interesse valer

Legítimo interesse não é uma brecha genérica, pra sustentar numa eventual fiscalização, a abordagem precisa passar em três testes:

• Finalidade legítima. Prospecção comercial B2B é uma finalidade reconhecida. Ligar ou escrever oferecendo um produto ou serviço pra empresa que pode usá-lo está dentro do que a lei considera esperado nesse contexto.
• Necessidade. Você só pode usar o dado mínimo pra fazer o contato. Nome da empresa, CNPJ, telefone comercial, e-mail corporativo: tudo isso é dado de identificação empresarial, tratado de forma diferente do dado pessoal sensível. Celular particular do sócio, e-mail pessoal, endereço residencial já são outra categoria e pedem outra base legal.
• Balanceamento. O direito da empresa de ser abordada de forma comercial precisa conviver com o direito da pessoa de não ser incomodada indefinidamente. Isso se traduz em conteúdo relevante pro destinatário e, principalmente, opt-out fácil e respeitado.

Passa nos três, a abordagem fria está amparada. Falha em qualquer um, principalmente no opt-out, e o legítimo interesse deixa de sustentar o uso do dado.

O que não pode

• Usar dado pessoal sem base legal. Celular pessoal do sócio conseguido por fora, e-mail particular vazado em alguma lista, WhatsApp de uso privado abordado como se fosse canal comercial. Se o dado não é de identificação empresarial, legítimo interesse comercial não cobre.
• Ignorar pedido de descadastro. A pessoa responde "não tenho interesse, pare de mandar" e a lista continua recebendo a mesma campanha na semana seguinte. É o ponto mais comum de reclamação formal, e o mais fácil de evitar.
• Insistir depois do não. Legítimo interesse justifica o primeiro contato e talvez um follow-up. Não justifica ligação todo mês pro mesmo número que já pediu pra sair.
• Comprar lista sem saber a origem do dado. Se você não sabe como aquele contato foi coletado, não dá pra garantir que o uso é necessário e proporcional: o risco vira seu no momento em que você usa o dado, não de quem vendeu.

Dado da empresa não é dado da pessoa

A linha mais importante da LGPD pra quem prospecta é essa: CNPJ, razão social, atividade econômica (CNAE) e endereço comercial são dados de pessoa jurídica, registro público, fora do escopo de proteção da lei. O nome do sócio, o CPF dele, o celular pessoal, mesmo que apareçam vinculados àquele CNPJ. São dados de pessoa física, e aí a LGPD se aplica em cheio. O glossário de prospecção B2B detalha essa e outras distinções que valem a pena guardar antes de montar qualquer lista.

Na prática: montar uma lista com CNPJ, nome fantasia, CNAE e telefone comercial da empresa é território seguro. Ir atrás do WhatsApp pessoal do sócio fora dos canais que ele mesmo tornou públicos já é outra conversa.

Como isso muda a abordagem, canal por canal

• E-mail corporativo (contato@, comercial@, ou e-mail direto ligado ao cargo): o canal mais alinhado ao legítimo interesse. Sempre com link ou instrução clara de descadastro.
• WhatsApp comercial: vale a mesma lógica de opt-out, quem pede pra parar, para. O script de primeiro contato por WhatsApp já trata disso como parte da estrutura da mensagem, não como detalhe legal à parte.
• Ligação: exige o mesmo cuidado, se a pessoa pede pra não ligar mais, o número sai da lista de prospecção ativa, não só daquela campanha específica.

Onde o Prospek entra nessa conta

O Prospek puxa empresa direto da base pública da Receita: CNPJ, razão social, CNAE, telefone e e-mail comercial: exatamente a categoria de dado que a LGPD trata como cadastral, não pessoal. Não inclui celular particular de sócio nem dado coletado por fora: cada contato vem da fonte oficial, com o critério de CNAE, região e porte que você define. Isso resolve o requisito de necessidade (o dado mínimo, direto da fonte) mas o opt-out e o respeito ao "não, obrigado" continuam sendo responsabilidade de quem aborda.

Prospecção fria não é o problema. O problema é tratar dado pessoal como se fosse dado de empresa e ignorar quando alguém pede pra sair da lista. Resolvidos esses dois pontos, o legítimo interesse sustenta a abordagem, e a prospecção continua sendo, como sempre foi, uma questão de critério, não de sorte.