Leis de e-mail marketing: regras de consentimento por país

O que qualquer lei de e-mail marketing exige de você#

Este guia é uma informação geral para pequenas lojas, não uma orientação jurídica. As leis mudam e os detalhes dependem da sua situação. Consulte as fontes oficiais indicadas abaixo ou fale com um advogado nos países onde você vende.

As leis antispam e de proteção de dados variam nos detalhes, mas convergem em três obrigações para quem envia e-mails de marketing:

1. Permissão. Seja o consentimento antes do envio (opt-in), seja o direito da pessoa de pedir que você pare depois de começar (opt-out).
2. Identidade. Diga quem você é, com um nome e uma forma de contato. Várias leis exigem um endereço físico.
3. Uma saída. Todo e-mail de marketing precisa de um link de descadastro que funcione, e você deve atender o pedido dentro de um prazo.

As regras que se aplicam costumam depender de onde está quem recebe o e-mail, não de onde fica a sua loja. Uma marca no Brasil que envia e-mails a clientes no Canadá precisa cumprir as regras canadenses para esses clientes.

CAN-SPAM vs. GDPR: opt-out ou opt-in#

As duas leis mais comparadas partem de pontos opostos, e muitas leis latino-americanas, como a LGPD, se parecem mais com a europeia.

Estados Unidos, [CAN-SPAM](/glossary#can-spam). Você pode enviar e-mails a uma pessoa sem consentimento prévio, desde que cada mensagem tenha cabeçalhos corretos, um assunto que não engane, uma indicação clara de que é publicidade, um endereço postal válido e uma forma de descadastro que funcione. Você deve atender os descadastros em até 10 dias úteis, e a lei não faz exceção para e-mails entre empresas. Cada e-mail em desacordo pode custar até US$ 53.088 ^S1.

União Europeia, GDPR (RGPD) e Diretiva ePrivacy. A Diretiva ePrivacy estabelece um regime de opt-in para o e-mail de marketing: você precisa do consentimento da pessoa, a não ser que ela já seja sua cliente; cada mensagem deve oferecer a opção de descadastro; e você não pode esconder sua identidade ^S2. O GDPR regula, além disso, os dados pessoais em si. Um consentimento válido é uma escolha clara e ativa, nunca uma caixa já marcada, e você precisa conseguir comprovar que ele foi dado ^S5. As autoridades de proteção de dados podem aplicar multas de até 20 milhões de euros ou 4% do faturamento anual mundial ^S3.

Reino Unido, PECR e UK GDPR. O Reino Unido mantém o mesmo modelo. A ICO diz que você não deve enviar e-mails de marketing a pessoas sem consentimento específico, exceto pelo “soft opt-in”: clientes existentes que compraram ou negociaram a compra de um produto semelhante com você, e a quem você ofereceu a opção de recusar ao coletar os dados e em cada mensagem desde então ^S4.

Na prática, se você coleta um consentimento claro e o registra, cumpre o modelo mais rígido e o americano ao mesmo tempo.

Leis de e-mail marketing por país e região#

Brasil: LGPD

No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018) admite dez bases legais para tratar dados pessoais, entre elas o consentimento e o legítimo interesse. O consentimento pode ser revogado a qualquer momento, por um procedimento gratuito e facilitado, e a Autoridade Nacional de Proteção de Dados (ANPD) fiscaliza o cumprimento da lei e pode aplicar multas de até 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração ^S19.

México e Colômbia

No México, valem duas leis. A Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada no Diário Oficial da Federação em 20 de março de 2025 e em vigor desde o dia seguinte, admite como regra geral o consentimento tácito: basta que você tenha disponibilizado o aviso de privacidade e que a pessoa não tenha se oposto. Esse consentimento pode ser revogado a qualquer momento, e o aviso deve distinguir as finalidades que exigem consentimento e oferecer meios para limitar o uso dos dados ^S16. A autoridade é a Secretaría Anticorrupción y Buen Gobierno ^S16.

A Ley Federal de Protección al Consumidor acrescenta regras sobre publicidade. Cada mensagem publicitária deve indicar o nome, o endereço, o telefone ou, na falta deste, o endereço eletrônico do fornecedor e da Procuraduría Federal del Consumidor (PROFECO). Qualquer consumidor pode exigir que não enviem publicidade ao seu endereço eletrônico, e é proibido enviar publicidade a quem pediu isso expressamente ou está inscrito no cadastro público mantido pela PROFECO ^S17. Esse cadastro se chama Registro Público para Evitar Publicidad (REPEP) ^S20. No comércio eletrônico, o fornecedor também deve respeitar a decisão do consumidor de não receber avisos comerciais ^S17.

Na Colômbia, a Ley 1581 de 2012 exige a autorização prévia e informada do titular para tratar seus dados, e a define como um consentimento prévio, expresso e informado. O titular pode revogar a autorização e pedir a exclusão dos seus dados quando o tratamento não respeita os princípios da lei, e a Superintendencia de Industria y Comercio (SIC) fiscaliza o cumprimento ^S18.

Notas sobre outras regiões

No Japão, o remetente deve manter um registro que comprove que a pessoa pediu ou aceitou receber o e-mail ^S9. Em Taiwan, a Comissão Nacional de Comunicações aprovou em 2008 um projeto de lei sobre e-mail comercial ^S11, mas, em outubro de 2026, não encontramos uma lei antispam promulgada na base legislativa nacional, então a norma a seguir é a Lei de Proteção de Dados Pessoais: quando uma pessoa se opõe ao marketing, você deve parar de usar os dados dela para esse fim ^S10. A orientação de marketing da Tailândia foi publicada como rascunho para consulta em julho de 2026 e pode mudar ^S12.

Não incluímos outros países da América Latina, como Argentina, Chile ou Peru, porque não conseguimos confirmar as regras em uma fonte oficial. Se você vende para lá, consulte a legislação local antes de enviar.

Regras práticas para uma pequena loja virtual#

Você não precisa de doze programas de conformidade. Um único conjunto de hábitos cobre as regras mais rígidas da tabela:

• Peça permissão antes de enviar. Use uma caixa de seleção desmarcada no checkout e no formulário de inscrição, com um texto que cite o nome da sua loja e diga o que você vai enviar. Na Colômbia, esse consentimento prévio e expresso é a regra ^S18.
• Separe comprar de se inscrever. Na maioria dos países com opt-in, uma compra por si só não é consentimento. A via de clientes existentes do Reino Unido e da União Europeia exige oferecer o descadastro no checkout e em cada e-mail ^S4.
• Nunca compre nem pegue listas emprestadas. O consentimento dado a outra empresa não passa para você, a não ser que a pessoa tenha aceitado isso.
• Coloque sua identidade e seu endereço em todo rodapé. A CAN-SPAM exige um endereço postal ^S1, e no México a publicidade também deve trazer seus dados de contato e os da PROFECO ^S17. O verificador de rodapé de e-mail aponta o que está faltando.
• Faça o descadastro em um passo e atenda rápido. O prazo mais curto da tabela é de cinco dias úteis, na Austrália ^S15. Processar os descadastros na hora cobre todas as regiões.
• Mantenha uma [lista de supressão](/glossary#suppression-list). Quem se descadastra, reclama ou revoga o consentimento nunca deve ser importado de novo por engano.

Registros de consentimento e double opt-in#

Várias dessas leis colocam o ônus da prova em você. A ICO diz que você precisa conseguir demonstrar o consentimento ^S5, e a lei japonesa exige um registro de cada solicitação ou consentimento ^S9. Um registro de consentimento útil guarda:

• O endereço de e-mail e a data e hora do consentimento
• Onde ele aconteceu: checkout, pop-up, formulário na loja física ou evento
• O texto exato que a pessoa aceitou, incluindo o aviso de privacidade vigente naquele momento
• Qualquer mudança posterior: descadastro, reclamação ou consentimento renovado

O double opt-in acrescenta um e-mail de confirmação em que o novo assinante precisa clicar. A maioria dessas leis não o menciona, mas ele dá a você o registro mais sólido, pega erros de digitação e endereços falsos e reduz as reclamações. O opt-in simples faz a lista crescer mais rápido, com uma prova mais fraca. Para uma pequena loja que vende para a União Europeia, o Reino Unido, o Canadá, o Japão ou a Colômbia, o double opt-in é o padrão mais seguro.

Crescer assim é mais lento, mas se sustenta. Veja como montar uma lista de e-mails para sua loja virtual para ideias de captação que mantêm o consentimento em ordem.

Como o Tellnod lida com consentimento, descadastro e seu endereço#

O Tellnod é um conector MCP que permite a uma loja escrever, pré-visualizar e enviar e-mails de marketing pelo Claude ou pelo ChatGPT. O básico da conformidade faz parte de cada envio:

• Registros de consentimento. O Tellnod guarda um registro de consentimento para cada contato. Quando você importa uma lista, o status de consentimento e os descadastros são mantidos, e os contatos sem informação de consentimento não são marcados como inscritos até você confirmar que aceitaram.
• Descadastro e endereço. Um link de descadastro e o seu endereço postal são adicionados a cada campanha. Se você vende para o México, confira se o rodapé também traz o telefone e os dados da PROFECO que a lei exige ^S17.
• Exclusões antes do envio. Os contatos descadastrados ficam fora da contagem, e o card de confirmação mostra os destinatários e as exclusões. Só você pode clicar em Confirm. Você aprova cada envio.

Um começo típico no chat: “Importe meus clientes deste CSV. Marque como inscritas só as pessoas que, segundo o arquivo, aceitaram receber e-mails.” Depois: “Envie um e-mail para os assinantes do Brasil sobre as novas malhas de merino.” Você revisa a pré-visualização e o card antes de qualquer coisa sair.

O Tellnod cuida da parte operacional, mas decidir para quem você pode enviar e-mails continua sendo responsabilidade sua, então importe só pessoas que aceitaram receber suas mensagens. Os planos começam grátis; veja os preços ou adicione o Tellnod pela página de conexão. Para a parte técnica de chegar à caixa de entrada, leia os requisitos do Gmail e do Yahoo para remetentes.

Perguntas frequentes#