# LGPD e email marketing: consentimento na loja virtual

> Como a LGPD se aplica ao email marketing da loja virtual: bases legais, consentimento válido, prova, descadastro e o que muda entre email de pedido e campanha.

Source: https://pidgely.com/pt-br/blog/lgpd-email-marketing-loja-virtual/ · Published: 2026-10-18 · Pidgely

A LGPD (Lei 13.709/2018) não proíbe o email marketing da loja virtual: ela exige que cada envio tenha uma **base legal**, uma **finalidade clara** e um jeito **fácil e gratuito de sair**. Para emails de pedido, a base é a execução do contrato de compra. Para campanhas, a base mais segura é o **consentimento** coletado de forma livre, informada e inequívoca, com registro de quando e como foi dado. Abaixo está o que a lei diz, como aplicar no checkout e no cadastro, e como a infraestrutura de email ajuda a cumprir.

> Este artigo é informativo e não substitui orientação jurídica. Para casos específicos, fale com o encarregado de dados (DPO) ou com um advogado da sua loja.

## O que a LGPD diz, nos artigos que importam para email

Os trechos abaixo são da [Lei 13.709/2018](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm):

- **Art. 5º, XII**: consentimento é a "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada".
- **Art. 7º**: lista as bases legais. Para email de loja, as relevantes são o consentimento (inciso I), a execução de contrato (inciso V) e o legítimo interesse (inciso IX).
- **Art. 8º, § 2º**: "Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei."
- **Art. 8º, § 4º**: autorizações genéricas são nulas; o consentimento precisa se referir a finalidades determinadas.
- **Art. 8º, § 5º**: o consentimento pode ser revogado a qualquer momento, "por procedimento gratuito e facilitado".
- **Art. 18, IX**: a revogação do consentimento é um direito do titular.
- **Art. 52, II**: as sanções incluem multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de advertência, publicização e bloqueio ou eliminação dos dados.

A fiscalização é da ANPD (Autoridade Nacional de Proteção de Dados). E o Código de Defesa do Consumidor continua valendo em paralelo: o cliente insatisfeito com spam também reclama no Procon e no Consumidor.gov.br.

## Três tipos de email, três bases legais

| Email | Exemplos | Base legal mais comum | Descadastro |
|-------|----------|-----------------------|-------------|
| Transacional | Pedido recebido, Pix, nota fiscal, envio, troca | Execução de contrato (art. 7º, V) | Não se aplica; o cliente precisa receber |
| Relacionamento com cliente | Pedido de avaliação, aviso de recompra de um produto comprado | Legítimo interesse (art. 7º, IX), com cautela | Sim, sempre |
| Marketing | Newsletter, promoções, lançamentos, Black Friday | Consentimento (art. 7º, I) | Sim, com um clique |

O ponto mais importante: **o email de pedido não depende de consentimento**, e por isso não pode virar campanha disfarçada. Uma confirmação com um bloco discreto de recomendações segue sendo transacional; uma "confirmação" que é quase só promoção passa a ser marketing. Veja como separar os dois em [emails transacionais de pedido](/pt-br/blog/emails-transacionais-de-pedido/).

### E o legítimo interesse?

Muitas lojas usam o legítimo interesse para enviar ofertas a quem já comprou, com o argumento de que o cliente espera ouvir da loja. A LGPD admite essa base, mas com condições: o interesse não pode prevalecer sobre os direitos do titular, o uso precisa respeitar as "legítimas expectativas" do titular (art. 10, II) e a loja deve documentar essa avaliação. Na prática:

- serve melhor para comunicações **ligadas à compra** (avaliar o produto, repor um item que acaba);
- é mais frágil para **promoções genéricas** a quem comprou uma vez, há muito tempo;
- exige **descadastro fácil em todos os emails** e respeito imediato a ele.

Se a loja quer mandar campanhas regulares, o caminho mais simples de defender é pedir o consentimento.

## Como coletar consentimento válido

### No checkout

- Uma caixa **desmarcada** com texto específico: "Quero receber ofertas e novidades da Loja Exemplo por email. Posso cancelar quando quiser."
- O aceite **não pode ser condição** para concluir a compra.
- Separe canais se usar mais de um: email e WhatsApp são finalidades e meios diferentes, e o cliente pode querer um e não o outro (veja [email ou WhatsApp para loja virtual](/pt-br/blog/email-ou-whatsapp-para-loja-virtual/)).

### No pop-up ou no rodapé (captação)

- Diga o que a pessoa vai receber e com que frequência ("1 a 2 emails por semana com lançamentos e promoções").
- Se oferecer cupom em troca do cadastro, deixe claro que o cadastro é para receber emails de marketing.
- Link para a política de privacidade no próprio formulário.

### Confirmação dupla (double opt-in)

A lei não exige, mas ajuda muito: a pessoa recebe um email e confirma clicando. Isso prova que o endereço existe, que pertence a quem se cadastrou e elimina cadastros de bots e erros de digitação. Para lojas que captam com cupom, é a melhor defesa contra listas cheias de endereços falsos. O primeiro email da [sequência de boas-vindas](/pt-br/blog/sequencia-de-boas-vindas-loja-virtual/) pode ser a própria confirmação.

## Guarde a prova (o ônus é da loja)

Como o art. 8º, § 2º coloca o ônus da prova no controlador, registre para cada contato:

```text
email:              ana@example.com
consentimento:      marketing_email = true
data e hora:        2026-10-18T14:32:05-03:00
origem:             checkout | popup-home | cadastro-conta
texto exibido:      versão 2026-09 do aceite
ip / user agent:    registrados pelo formulário
confirmação dupla:  2026-10-18T14:35:40-03:00
```

No Pidgely, contatos aceitam **propriedades** (por exemplo `consent_source`, `consent_at`, `consent_version`), então a prova pode viajar junto com o contato em vez de ficar perdida em um sistema à parte. Veja o [guia de contatos](https://docs.pidgely.com/guides/contacts/).

## Descadastro: gratuito, fácil e imediato

O art. 8º, § 5º fala em "procedimento gratuito e facilitado". Em email, isso significa:

- **link de descadastro visível** em todo email de marketing, sem exigir login ou senha;
- **descadastro com um clique** pelo cabeçalho `List-Unsubscribe` (RFC 8058), que Gmail e Yahoo exigem de remetentes em massa. O Google recomenda processar os pedidos em até 48 horas ([FAQ do Google](https://support.google.com/a/answer/14229414)). Explicamos como funciona em [descadastro com um clique](/pt-br/blog/descadastro-um-clique-rfc-8058/);
- **opção de reduzir em vez de sair**: "só promoções grandes" ou "1 email por mês" salva parte da base;
- **sincronizar o descadastro** com todos os sistemas que enviam marketing: de nada adianta sair da newsletter e continuar recebendo da ferramenta de carrinho abandonado.

No Pidgely, toda campanha (broadcast) leva descadastro com um clique, e o descadastro entra na lista de supressão da conta, valendo para os próximos envios.

## Direitos do titular que chegam por email

Além de sair da lista, o cliente pode pedir acesso, correção ou eliminação dos dados (art. 18). Tenha um canal claro, normalmente o email do encarregado na política de privacidade, e um processo para:

- localizar o contato em todas as ferramentas (loja, email, CRM, WhatsApp);
- responder dentro de prazo razoável;
- manter o endereço em uma lista de supressão quando a pessoa pede para não receber mais (isso evita que ele volte por uma importação antiga).

## Situações comuns em loja virtual

**Cliente que comprou como visitante (sem criar conta).** O email foi informado para receber o pedido. Use-o para os emails do pedido; para campanhas, só se houver o aceite no checkout ou outra base legal que você consiga justificar.

**Cadastro feito por pop-up com cupom.** É consentimento para marketing, desde que o texto deixe isso claro. Guarde a versão do pop-up e use confirmação dupla, porque esses formulários atraem endereços falsos.

**Importação da base antiga para uma ferramenta nova.** Trocar de ferramenta não renova o consentimento. Leve junto a prova de cada contato e não importe quem já tinha se descadastrado: importe essas pessoas direto para a lista de supressão.

**Sorteios e parcerias com outras marcas.** Contatos captados por um parceiro não autorizaram receber emails da sua loja, a menos que o formulário tenha dito isso de forma específica.

**Email de carrinho abandonado.** É um lembrete comercial ligado a uma compra iniciada. Muitas lojas o tratam como legítimo interesse, com descadastro em todos os emails; se o contato já se descadastrou do marketing, não envie. Veja [email de carrinho abandonado](/pt-br/blog/email-de-carrinho-abandonado/).

## Checklist LGPD para o email da loja

- Emails de pedido separados das campanhas, sem promoção como assunto principal.
- Caixa de aceite desmarcada, específica para email marketing, não obrigatória.
- Texto do aceite versionado e registrado com data, origem e IP.
- Confirmação dupla nos formulários de captação.
- Descadastro com um clique e link visível em toda campanha.
- Descadastros sincronizados entre todas as ferramentas.
- Política de privacidade com finalidade, bases legais e canal do encarregado.
- Nada de listas compradas ou "emprestadas" de parceiros.

Cumprir a LGPD também é boa prática de entregabilidade: listas com consentimento claro geram menos reclamações, e menos reclamações mantêm seus emails na caixa de entrada. Esse lado da história está em [campanhas de loja sem cair no spam](/pt-br/blog/campanhas-de-loja-sem-cair-no-spam/).

## Perguntas frequentes

### Preciso de consentimento para mandar email de confirmação de pedido?

Não. Emails de pedido, pagamento, envio e troca são necessários para executar o contrato de compra, uma base legal própria da LGPD (art. 7º, V). O consentimento é exigido para o marketing quando ele é a base escolhida, não para o email do pedido.

### Quem comprou na loja pode receber campanhas sem ter marcado a caixa?

Algumas lojas usam o legítimo interesse (art. 7º, IX) para enviar ofertas a clientes, com descadastro fácil em todos os emails. Essa base exige avaliar se o envio é esperado pelo cliente e não prevalece sobre os direitos dele. Na dúvida, peça consentimento no checkout.

### A caixa de aceite pode vir marcada?

Não é recomendável. A LGPD define consentimento como manifestação livre, informada e inequívoca. Uma caixa pré-marcada dificilmente prova uma manifestação inequívoca, e o ônus de provar o consentimento é da loja (art. 8º, § 2º).

### Quanto tempo tenho para atender um descadastro?

A LGPD diz que a revogação deve ser por procedimento gratuito e facilitado e pode ocorrer a qualquer momento. O Google recomenda processar descadastros em até 48 horas. Na prática, o ideal é que seja imediato, como no descadastro com um clique.

### Comprar lista de emails é permitido?

Na prática, não há como provar que as pessoas de uma lista comprada consentiram em receber emails da sua loja, para essa finalidade. Além do risco legal, listas compradas trazem endereços inválidos e armadilhas de spam que destroem a reputação de envio.