LGPD e coleta de e-mail: o que empresas podem — e não podem — fazer com seu endereço

O e-mail como dado pessoal sob a LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018), em vigor desde 2020, classifica o endereço de e-mail como dado pessoal — ou seja, uma informação que identifica ou pode identificar uma pessoa natural. Isso significa que toda empresa ou serviço que coleta, armazena, usa ou compartilha o seu e-mail precisa seguir as regras da LGPD, independentemente do porte ou do setor de atuação.

Na prática, porém, muitos usuários desconhecem os direitos que a lei assegura. O resultado é que e-mails informados em cadastros acabam sendo usados para fins que o titular jamais autorizou: envio de newsletters não solicitadas, repasse a parceiros comerciais, retenção por prazo indefinido após o encerramento da conta.

Base legal: por que a empresa pode ter o seu e-mail

A LGPD exige que toda operação de tratamento de dados tenha uma base legal prevista no artigo 7º. Para e-mails coletados em cadastros, as bases mais comuns são:

• Consentimento: você autorizou expressamente o uso do seu e-mail para determinada finalidade. O consentimento precisa ser livre, informado e inequívoco — uma caixinha pré-marcada "aceito receber comunicações" não atende ao requisito.
• Execução de contrato: o e-mail é necessário para prestar o serviço contratado. Um e-commerce precisa do seu endereço para enviar a confirmação do pedido — isso é legítimo sem necessidade de consentimento adicional.
• Legítimo interesse: a empresa pode argumentar interesse legítimo para certas comunicações, mas esse interesse não pode se sobrepor aos seus direitos fundamentais.
• Cumprimento de obrigação legal: nos casos em que a lei exige a retenção dos dados por prazo determinado (como obrigações fiscais), a empresa pode manter o e-mail mesmo após encerramento da conta.

Se a empresa não souber indicar a base legal para o uso do seu e-mail, o tratamento é ilegal segundo a LGPD.

O que a empresa pode fazer com seu e-mail

Com base legal adequada, a empresa pode:

• Enviar confirmações de cadastro, pedidos e transações relacionadas ao serviço contratado.
• Enviar comunicações de marketing e newsletters — desde que você tenha consentido de forma específica para essa finalidade.
• Usar o e-mail para autenticação e recuperação de conta.
• Manter o e-mail pelo prazo necessário ao cumprimento do serviço ou obrigação legal.

O que a empresa não pode fazer com seu e-mail

A LGPD proíbe expressamente:

• Compartilhar ou vender sem consentimento: repassar seu e-mail a terceiros (parceiros, anunciantes, listas de dados) sem autorização específica é infração.
• Usar para finalidade diferente da declarada: se você cadastrou o e-mail para receber alertas de segurança e a empresa começa a enviar promoções, isso viola o princípio da finalidade.
• Reter indefinidamente: após o encerramento da conta ou do contrato, os dados devem ser eliminados (salvo obrigação legal específica).
• Negar acesso ou correção: se você solicitar saber quais dados a empresa tem sobre você ou pedir correção, a empresa é obrigada a atender.

Seus direitos como titular — e como exercê-los

O artigo 18 da LGPD lista os direitos do titular de dados. Em relação ao seu e-mail, os mais relevantes são:

Se a empresa se recusar a atender, você pode registrar reclamação na Autoridade Nacional de Proteção de Dados (ANPD), que tem poderes para investigar e aplicar sanções que chegam a 2% do faturamento da empresa, limitado a R$ 50 milhões por infração.

O problema das newsletters "opt-out" e listas compradas

Uma prática muito comum no Brasil é o envio de e-mails de marketing sem consentimento prévio, com a justificativa de que o usuário pode se descadastrar a qualquer momento. Esse modelo opt-out não atende ao requisito de consentimento da LGPD para marketing direto.

Pior ainda é o caso das listas compradas: quando uma empresa adquire uma base de e-mails de terceiros, os titulares nunca autorizaram aquele remetente específico a usar seu endereço. Esse tratamento é ilegal — tanto para quem vende quanto para quem compra a lista.

Na prática, denunciar uma empresa que enviou spam sem consentimento é possível, mas trabalhoso. Por isso, a estratégia mais eficaz continua sendo não fornecer o e-mail real em situações de risco desde o início.

Estratégias práticas para proteger seu e-mail

Conhecer seus direitos é importante, mas agir preventivamente é mais eficiente do que tentar exercê-los depois de receber centenas de e-mails indesejados. Algumas abordagens:

• Use um e-mail descartável em cadastros de sites desconhecidos, formulários de download de material, sorteios e promoções pontuais. O endereço expira sozinho — sem spam residual.
• Use alias de encaminhamento para serviços que você pretende usar por mais tempo, mas sem expor o endereço real. Cada alias pode ser pausado ou excluído se começar a receber spam.
• Leia a política de privacidade antes de fornecer o e-mail, prestando atenção especial à seção sobre uso para marketing e compartilhamento com parceiros.
• Descadastre-se imediatamente de qualquer lista que você não reconhece. O link "cancelar inscrição" é obrigatório por lei — desconfie de listas que não o têm.
• Registre reclamação na ANPD quando houver violação clara da LGPD, especialmente nos casos de venda ou compartilhamento indevido de dados.

Conclusão: direitos existem, mas a prevenção ainda é a melhor defesa

A LGPD avançou muito na proteção de dados pessoais no Brasil, e o endereço de e-mail é um dos ativos mais visados. Você tem direitos reais: acesso, correção, exclusão, revogação do consentimento. Mas exercê-los depois que o e-mail foi vendido ou incluído em dezenas de listas de marketing é um processo lento.

A melhor defesa é decidir desde o início o que o seu e-mail real merece receber. Para tudo o mais, há ferramentas práticas que permitem interagir com serviços digitais sem colocar o endereço real em risco — antes de precisar invocar a LGPD.