Leis de privacidade de e-mail explicadas: GDPR, CAN-SPAM, CCPA, CASL e os seus direitos

O mesmo e-mail de marketing, enviado no mesmo instante pela mesma empresa, pode ser legal ao chegar a um leitor em Ohio e ilegal ao chegar a um leitor em Berlim ou Toronto. Nada na mensagem precisa mudar. O que muda é o local do destinatário e se essa pessoa concordou antes. Uma loja americana em geral pode enviar e-mail a um desconhecido sem pedir permissão antes, desde que seja honesta e permita que a pessoa saia da lista, enquanto na UE e no Canadá a mesma mensagem normalmente exigiria consentimento antes do envio.

Essa divisão é o núcleo das leis de privacidade de e-mail. O GDPR e as regras de ePrivacy da Europa e a CASL do Canadá funcionam por opt-in, enquanto a lei americana CAN-SPAM funciona por opt-out. Ao lado delas ficam leis gerais de privacidade, como o GDPR e o CCPA da Califórnia, que dão a você direitos sobre os dados que as empresas guardam a seu respeito. Este artigo traz informações gerais e não é aconselhamento jurídico. As leis mudam e variam de país para país, e sua aplicação depende dos fatos, então consulte a orientação do órgão regulador competente ou fale com um advogado qualificado sobre uma situação específica.

Um e-mail promocional, quatro resultados

Vamos a um exemplo prático. Uma pequena loja virtual do Texas compra uma lista de endereços e envia a todos um e-mail de “20% de desconto neste fim de semana”. A mensagem tem um assunto honesto, um endereço postal e um link para cancelar a inscrição. Veja mais ou menos como isso se desenrola para destinatários de lugares diferentes, supondo que cada lei se aplique à atividade da loja ali.

Destinatário em	Regra principal	Provável situação neste exemplo
Estados Unidos	Lei CAN-SPAM	Não é exigido consentimento prévio. A mensagem pode estar em conformidade se cumprir as regras de conteúdo e de opt-out, embora endereços obtidos por coleta automática gerem problemas à parte
Alemanha (UE)	GDPR mais as regras nacionais de ePrivacy, na Alemanha a seção 7 da Lei contra a Concorrência Desleal (UWG)	Em geral exige consentimento prévio. Endereços comprados, sem relação de cliente, não se enquadram na exceção do soft opt-in
Reino Unido	UK GDPR e regulamento 22 do PECR	Em geral exige consentimento prévio para assinantes individuais, ou um soft opt-in que a loja não pode alegar aqui
Canadá	CASL	Exige consentimento expresso ou implícito. Uma lista comprada normalmente não dá nenhum dos dois, e a loja precisa conseguir provar o consentimento

Isso também mostra por que o país de origem do remetente resolve pouco. Uma empresa do Texas que mira clientes na UE pode ficar sujeita à lei europeia, e a CASL abrange mensagens acessadas em computadores no Canadá. O lugar onde a empresa vende e onde estão os destinatários tende a pesar mais do que o lugar onde ela mantém o escritório.

As leis em resumo

Lei	Onde	Modelo de marketing	Fiscalizada por	Multa máxima de referência
GDPR	UE e EEE; também organizações de outros lugares que visem ou monitorem pessoas ali	Exige uma base legal; lido junto com as regras de ePrivacy	Autoridades nacionais de proteção de dados e tribunais	Até € 20 milhões ou 4% do faturamento anual mundial, o que for maior
Diretiva ePrivacy	UE, por meio da lei nacional de cada Estado-membro	Opt-in para indivíduos, com um soft opt-in para clientes existentes	Órgãos reguladores nacionais, que variam conforme o país	Definida pela lei nacional
UK GDPR e PECR	Reino Unido	Opt-in com soft opt-in, próximo do modelo da UE	O órgão regulador britânico de proteção de dados	£ 17,5 milhões ou 4% do faturamento mundial, o que for maior
Lei CAN-SPAM	Estados Unidos	Opt-out	FTC, outras agências federais, procuradores-gerais estaduais, provedores de acesso à internet	Mais de US$ 50.000 por e-mail infrator, corrigido pela inflação a cada ano
CCPA, conforme alterado pelo CPRA	Residentes da Califórnia e empresas com fins lucrativos abrangidas	Sem regra de consentimento para e-mail; regula coleta, venda e compartilhamento	Agência de Proteção à Privacidade da Califórnia e o procurador-geral	Multas por infração, maiores para infrações intencionais e as que envolvem menores
CASL	Canadá, incluindo mensagens enviadas do exterior e acessadas lá	Consentimento expresso ou implícito antes do envio	CRTC, Bureau da Concorrência, Gabinete do Comissário de Privacidade	Até C$ 10 milhões por infração para organizações, C$ 1 milhão para pessoas físicas

Um endereço de e-mail é um dado pessoal?

Pelo artigo 4(1) do GDPR, dado pessoal é qualquer informação relativa a uma pessoa natural identificada ou identificável. Um endereço como maria.lopez@example.com claramente se enquadra. Um menos óbvio, como ml1987@example.com, em geral também, porque pertence a uma pessoa e pode ser ligado a outras informações para identificá-la. Um endereço compartilhado, como info@company.example, pode nem ser dado pessoal, a menos que possa ser associado a um indivíduo.

O e-mail carrega muito mais dados pessoais do que o endereço em si. Há o conteúdo da mensagem e seus anexos. Há os metadados, ou seja, remetente, destinatários, horários, assuntos e endereços IP nos cabeçalhos. Há os dados de engajamento, como quando você abriu uma mensagem e em quais links clicou. E há perfis derivados, como segmentos de interesse e previsões do que você pode comprar em seguida.

Os termos americanos são diferentes. O CCPA fala em “informações pessoais”, definidas de forma ampla para incluir identificadores como endereços de e-mail e inferências tiradas para montar um perfil. O CAN-SPAM não usa esse conceito, pois não é uma lei geral de privacidade. Ele regula como o e-mail comercial é enviado e não dá a você nenhum direito de ver ou apagar o que uma empresa guarda.

Europa: duas leis trabalhando juntas

Muitos artigos descrevem o marketing por opt-in como uma regra do GDPR. A exigência de consentimento para e-mail de marketing, na verdade, vem de outra lei, a Diretiva ePrivacy (Diretiva 2002/58/CE), enquanto o GDPR define o que é consentimento válido e rege o que acontece com os dados. Como uma diretiva é implementada separadamente em cada Estado-membro, os detalhes variam dentro da UE. França e Alemanha, por exemplo, têm disposições nacionais próprias e entendimentos próprios de seus reguladores.

Artigo 13 da Diretiva ePrivacy

O artigo 13 estabelece o quadro básico. O e-mail de marketing direto a indivíduos exige consentimento prévio. Uma exceção estreita, normalmente chamada de soft opt-in, permite que uma empresa que obteve seu endereço no contexto da venda de um produto ou serviço faça marketing de produtos ou serviços semelhantes seus, desde que você tenha tido uma chance clara e fácil de se opor quando seus dados foram coletados e em cada mensagem posterior. Os remetentes não podem ocultar nem disfarçar sua identidade e devem informar um endereço válido para cancelar o recebimento.

As regras para e-mails a empresas variam. O artigo 13(5) deixa margem para que os Estados-membros tratem pessoas jurídicas de forma diferente, então alguns estendem o opt-in a endereços de empresas e outros não. Endereços de trabalho nominais, como firstname.lastname@company.example, continuam sendo dados pessoais pelo GDPR mesmo quando a regra de marketing é mais frouxa.

Pixels de rastreamento

O artigo 5(3) da mesma diretiva exige consentimento para armazenar ou acessar informações no dispositivo de um usuário, a menos que isso seja estritamente necessário para um serviço que o usuário pediu. Ele é mais conhecido pelos avisos de cookies. As Diretrizes 2/2023 do Comitê Europeu para a Proteção de Dados, sobre o alcance técnico do artigo 5(3), entendem que pixels de rastreamento em e-mails podem se enquadrar nele. O regulador francês, a CNIL, foi além e publicou em abril de 2026 uma recomendação que define o consentimento como regra para pixels de rastreamento em e-mails, com exceções limitadas para finalidades como segurança. Espere diferenças entre os países e confira a posição do seu regulador. O funcionamento da tecnologia em si está explicado no nosso artigo sobre pixels de rastreamento em e-mails.

O que o GDPR acrescenta

O Regulamento Geral sobre a Proteção de Dados se aplica desde 25 de maio de 2018. Ele abrange organizações estabelecidas na UE e, pelo artigo 3(2), também organizações de outros lugares que ofereçam bens ou serviços a pessoas na UE ou monitorem o comportamento delas ali. O considerando 23 dá pistas sobre o direcionamento: ter apenas um site acessível a partir da Europa não basta, enquanto usar o idioma ou a moeda de um Estado-membro para oferecer bens ali pode bastar. Islândia, Liechtenstein e Noruega aplicam o GDPR por meio do EEE.

Princípios e bases legais

O artigo 5 estabelece os princípios. Um endereço coletado para enviar a confirmação de um pedido não pode simplesmente ser reutilizado para fins não relacionados (limitação de finalidade). Só devem ser coletados os dados necessários (minimização de dados), guardados por não mais que o necessário (limitação de armazenamento) e mantidos em segurança. A organização também precisa conseguir demonstrar que cumpriu as regras (responsabilização).

O artigo 6 exige uma base legal para cada uso. Para e-mail, estas são as mais comuns:

• Contrato: enviar a confirmação do seu pedido ou avisos da conta.
• Obrigação legal: guardar notas fiscais para fins tributários.
• Consentimento: assinar uma newsletter.
• Legítimo interesse: alguma segurança e prevenção de fraudes e, em casos limitados, o marketing direto, mas só quando as regras de ePrivacy permitirem a própria mensagem.

O que torna o consentimento válido

O artigo 4(11) define consentimento como livre, específico, informado e inequívoco, demonstrado por um ato afirmativo claro. O considerando 32 diz que silêncio, caixas pré-marcadas e inatividade não contam, e o Tribunal de Justiça da União Europeia confirmou o ponto sobre caixas pré-marcadas no caso Planet49, de 2019 (C-673/17). O artigo 7(3) diz que retirar o consentimento deve ser tão fácil quanto dá-lo, então uma assinatura com um clique não deveria exigir login e cinco páginas para ser desfeita. O artigo 7(1) exige que a organização consiga demonstrar o consentimento, um dos motivos pelos quais remetentes sérios usam e-mails de confirmação com double opt-in, embora o GDPR não cite esse método.

O condicionamento é um ponto fraco comum. O artigo 7(4) pergunta se um serviço foi condicionado a um consentimento de que ele não precisa. “Dê seu consentimento de marketing ou não poderá ler esta página” é o tipo de arranjo que os reguladores examinam de perto, e a resposta pode variar conforme o contexto.

Seus direitos

Direito	Artigo	O que dá a você	Exemplo com e-mail
Informação	13, 14	Quem trata seus dados, por quê, por quanto tempo e quem os recebe	Um aviso de privacidade com link na assinatura da newsletter
Acesso	15	Uma cópia dos seus dados e detalhes do uso, normalmente de graça	Perguntar a uma loja o que ela guarda ligado ao seu endereço, inclusive segmentos
Retificação	16	Correção de dados incorretos	Corrigir um nome com erro de grafia
Apagamento	17	Exclusão nos casos listados, como dados que já não são necessários ou consentimento retirado	Remover seu perfil de um serviço que você deixou
Limitação	18	Uma pausa no uso durante uma disputa	Interromper o tratamento enquanto a exatidão é verificada
Portabilidade	20	Os dados que você forneceu, em formato legível por máquina, quando o tratamento se baseia em consentimento ou contrato	Exportar contatos de um provedor de e-mail
Oposição	21	Interromper o tratamento baseado em legítimo interesse; absoluto para marketing direto	Dizer a uma empresa que pare todo o marketing
Reclamação e indenização	77, 82	Reclamar a uma autoridade e pedir indenização por danos	Denunciar um remetente que ignora sua oposição

O artigo 12(3) dá às organizações um mês para responder, prorrogável por mais dois meses em pedidos complexos ou numerosos, caso em que devem avisar você dentro do primeiro mês. Elas podem pedir uma prova razoável de identidade. Pelo artigo 12(5), só podem cobrar uma taxa razoável ou recusar quando o pedido for manifestamente infundado ou excessivo.

O direito de se opor ao marketing é o mais forte deles e é fácil de esquecer. O artigo 21(2) e (3) diz que, depois que você se opõe ao marketing direto, seus dados não podem mais ser tratados para essa finalidade. Ao contrário de outras oposições, não há teste de ponderação. A empresa pode manter seu endereço em uma lista de supressão para não escrever a você de novo, mas não pode continuar fazendo marketing para você.

O apagamento, ao contrário, tem limites. O artigo 17(3) lista exceções, incluindo obrigações legais. Uma loja pode guardar suas notas fiscais depois de excluir seu perfil, e deve avisar disso quando você perguntar.

Notificação de violação

O artigo 33 exige que uma organização notifique a autoridade de supervisão sobre uma violação de dados pessoais em até 72 horas depois de tomar conhecimento dela, a menos que seja improvável que a violação cause risco para as pessoas. O artigo 34 exige que ela avise as pessoas afetadas sem demora injustificada quando o risco for elevado. É por isso que às vezes você recebe notícias de serviços que deixou anos atrás. Se você receber um aviso, nosso guia sobre o que fazer após um vazamento de dados de e-mail explica os passos práticos.

Pode haver uma mudança a caminho. A proposta Digital Omnibus da Comissão Europeia, publicada em novembro de 2025, entre outras coisas ampliaria as 72 horas para 96 e limitaria a notificação ao regulador às violações de alto risco. No final de 2026 ela continua sendo uma proposta em tramitação legislativa, então as regras atuais ainda valem. Confira o texto final se precisar se apoiar nisso.

Reino Unido: parecido, com atualizações próprias

Depois do Brexit, o Reino Unido manteve o GDPR no direito interno como UK GDPR, ao lado da Lei de Proteção de Dados de 2018. O Regulamento de Privacidade e Comunicações Eletrônicas de 2003 (PECR) traz as regras de ePrivacy, e o regulamento 22 espelha o modelo de opt-in e soft opt-in da UE para assinantes individuais.

A Lei de Dados (Uso e Acesso) de 2025 mudou partes desse quadro. Ela elevou a multa máxima do PECR de £ 500.000 para o nível do UK GDPR, o maior valor entre £ 17,5 milhões e 4% do faturamento mundial, com a mudança noticiada como em vigor no início de 2026. Também criou uma versão do soft opt-in para instituições de caridade, que permite a elas enviar e-mails a pessoas que apoiaram ou perguntaram sobre o seu trabalho, sujeita a condições que incluem um opt-out no momento da coleta. O próprio regulador está sendo reformulado, com o Gabinete do Comissário de Informação (ICO) prestes a ser substituído por uma Comissão de Informação, então você pode ver qualquer um dos nomes. O site dele continua sendo o lugar para conferir a orientação atual, e oferece uma ferramenta para denunciar marketing indesejado.

CAN-SPAM: o que a lei federal americana realmente exige

A Lei CAN-SPAM de 2003 é a principal lei federal dos EUA sobre e-mail comercial. Apesar do nome, ela não proíbe o marketing não solicitado. Ela estabelece regras de como esse e-mail deve ser enviado e dá aos destinatários o direito de fazê-lo parar. A regra de aplicação da FTC está em 16 CFR Parte 316, e a agência publica um guia de conformidade para empresas que vale a pena ler inteiro se você envia e-mails de marketing.

Quais mensagens contam

O que importa é a finalidade principal da mensagem. As mensagens comerciais anunciam ou promovem um produto ou serviço e são totalmente abrangidas. As mensagens transacionais ou de relacionamento confirmam uma transação, dão informações de garantia ou segurança, informam mudanças em uma conta ou assinatura, prestam informações de emprego ou entregam bens já comprados. Elas são isentas da maior parte das exigências, mas não podem conter informações de roteamento falsas ou enganosas. Correspondência puramente pessoal fica fora da Lei.

Não há exceção para e-mail entre empresas. Uma mensagem promocional para um endereço corporativo também precisa estar em conformidade, o que surpreende quem está acostumado ao tratamento mais brando que o B2B recebe em alguns países.

As exigências

1. As informações do cabeçalho devem ser exatas. De, Para, Responder para e os dados de roteamento devem identificar corretamente quem iniciou a mensagem.
2. Os assuntos não devem enganar quanto ao conteúdo.
3. A mensagem deve ser claramente identificada como anúncio, a menos que o destinatário tenha dado consentimento afirmativo prévio.
4. Deve incluir um endereço postal físico válido, que pode ser um endereço de rua, uma caixa postal registrada ou uma caixa privada registrada.
5. Deve explicar com clareza como cancelar o recebimento e oferecer um meio que funcione, como um endereço de resposta ou um link.
6. Os opt-outs devem ser atendidos em até 10 dias úteis, e o mecanismo deve continuar funcionando por pelo menos 30 dias após o envio. O remetente não pode cobrar taxa, pedir informações pessoais além de um endereço de e-mail e preferências de opt-out, nem exigir qualquer etapa além de uma resposta ou da visita a uma única página da web.
7. Os endereços que pediram opt-out não podem ser vendidos nem transferidos, exceto a uma empresa contratada para ajudar na conformidade.
8. A empresa continua responsável por quem envia em seu nome, então contratar uma agência não transfere o dever para outro lugar.

O e-mail comercial sexualmente explícito precisa trazer o rótulo de aviso “SEXUALLY-EXPLICIT:” no assunto, por uma regra separada da FTC.

Práticas agravantes e fiscalização

A Lei trata certas práticas como fatores agravantes, incluindo coletar endereços de sites, gerar endereços por “ataques de dicionário” que combinam nomes e letras e usar scripts para registrar contas em massa para enviar spam. Algumas práticas enganosas são crimes.

Destinatários individuais não têm direito de ação próprio, um dos pontos mais mal compreendidos dessa lei. A fiscalização cabe à FTC, a outras agências federais em setores regulados, aos procuradores-gerais estaduais e aos provedores de acesso à internet. Você pode denunciar violações em ReportFraud.ftc.gov. A FTC de fato move processos: em 2024 ela anunciou uma penalidade de US$ 2,95 milhões contra a empresa de câmeras de segurança Verkada, em um caso que incluiu acusações do CAN-SPAM. A Lei também se sobrepõe à maioria das leis estaduais que regulam especificamente o e-mail comercial, exceto onde elas proíbem falsidade ou engano.

Mensagens de texto são outro assunto

Os SMS de marketing nos EUA são regidos principalmente pela Lei de Proteção ao Consumidor de Telefonia (TCPA), que em geral exige consentimento expresso prévio para mensagens de marketing automatizadas. Assim, a lógica de opt-out do e-mail não se transfere para o seu número de telefone, e um formulário de compra que pede seu número está pedindo um consentimento separado.

Califórnia e os outros estados americanos

A Lei de Privacidade do Consumidor da Califórnia (CCPA) entrou em vigor em 2020 e foi substancialmente alterada pela Lei de Direitos de Privacidade da Califórnia (CPRA) a partir de 2023. É uma lei geral de privacidade, relevante para o e-mail porque seu endereço é uma informação pessoal e as empresas muitas vezes o compartilham para publicidade.

Ela se aplica a empresas com fins lucrativos que fazem negócios na Califórnia e atendem a pelo menos um de três critérios: receita bruta anual acima de um limite corrigido pela inflação (começou em US$ 25 milhões, e o ajuste de 2025 do regulador o fixou em US$ 26.625.000); comprar, vender ou compartilhar as informações pessoais de 100.000 ou mais consumidores ou domicílios da Califórnia por ano; ou obter pelo menos metade da receita anual da venda ou do compartilhamento de informações pessoais.

As empresas abrangidas precisam respeitar estes direitos:

• Saber o que é coletado, de onde, por quê e com quais categorias de terceiros é compartilhado.
• Excluir as informações pessoais coletadas de você, com exceções como concluir uma transação ou cumprir deveres legais.
• Corrigir informações pessoais incorretas.
• Optar por sair da venda ou do compartilhamento. “Compartilhamento” abrange especificamente a divulgação para publicidade comportamental entre contextos, o que pode incluir enviar listas de e-mails de clientes a plataformas de anúncios.
• Limitar o uso de informações pessoais sensíveis, categoria que inclui o conteúdo de correspondência, e-mails e mensagens de texto, a menos que a empresa seja a destinatária pretendida.
• Não sofrer discriminação por exercer esses direitos, embora as empresas possam oferecer incentivos financeiros divulgados, como programas de fidelidade.

Os pedidos de saber, excluir e corrigir devem ser respondidos em até 45 dias corridos, prorrogáveis por outros 45 mediante aviso. Os opt-outs têm um prazo menor pelos regulamentos, de no máximo 15 dias úteis. As empresas também devem tratar um sinal de preferência de opt-out, como o Global Privacy Control, enviado pelo seu navegador ou por uma extensão, como um opt-out válido de venda e compartilhamento.

A Agência de Proteção à Privacidade da Califórnia, que também atende por CalPrivacy, e o procurador-geral fiscalizam a lei. Os indivíduos só podem processar por certos vazamentos de dados causados pela falta de segurança razoável, com indenizações legais por consumidor e por incidente. Os californianos também têm uma ferramenta separada pela Lei de Exclusão (Delete Act): a plataforma de pedidos de exclusão e opt-out (DROP) permite enviar um único pedido de exclusão aos corretores de dados registrados, e os corretores deveriam começar a processar esses pedidos em agosto de 2026.

Muitos outros estados, incluindo Virgínia, Colorado, Connecticut, Texas e Oregon, aprovaram leis abrangentes de privacidade com direitos em geral semelhantes. Os detalhes e os limites variam, e a maioria não oferece direito de ação individual, então consulte a página do procurador-geral do seu estado.

CASL: o regime rigoroso do Canadá

A Lei Antispam do Canadá está em vigor em grande parte desde 1º de julho de 2014 e é uma das mais rigorosas leis de e-mail marketing do mundo. Ela abrange mensagens eletrônicas comerciais, incluindo e-mail e mensagens de texto, enviadas a computadores no Canadá ou acessadas neles.

O remetente precisa de consentimento expresso ou, em situações específicas, de consentimento implícito. O exemplo mais conhecido de consentimento implícito é uma relação comercial existente, como uma compra nos dois anos anteriores ou uma consulta nos seis meses anteriores. Toda mensagem deve identificar o remetente e informar seus dados de contato. Toda mensagem também precisa de um mecanismo de cancelamento que continue válido por pelo menos 60 dias após o envio, e os pedidos devem ser processados em até 10 dias úteis.

As penalidades podem chegar a C$ 10 milhões por infração para organizações e C$ 1 milhão para pessoas físicas. O direito de ação privado previsto na lei, que permitiria a indivíduos processar, foi suspenso pelo governo em 2017, antes de entrar em vigor. Os canadenses podem denunciar spam pelo Centro de Denúncia de Spam, parte do programa federal antispam.

Outros lugares, em resumo

A Lei Spam de 2003 da Austrália exige consentimento, identificação do remetente e um meio funcional de cancelamento, e os pedidos devem ser atendidos em cinco dias úteis. A Autoridade Australiana de Comunicações e Mídia a fiscaliza. A LGPD do Brasil é uma lei geral nos moldes do GDPR, fiscalizada pela autoridade nacional, a ANPD, com direitos de acesso, correção, exclusão e informação sobre compartilhamento. A Lei de Proteção de Dados Pessoais Digitais de 2023 da Índia introduz o tratamento baseado em consentimento, e suas regras, notificadas em novembro de 2025, entram em vigor de forma escalonada ao longo de 18 meses, então a maior parte dos deveres operacionais ainda não vale. A Lei Federal de Proteção de Dados revisada da Suíça se aplica desde setembro de 2023 e está bem alinhada aos princípios do GDPR.

Se o seu país não está listado aqui, ele ainda pode ter uma lei relevante. A autoridade nacional de proteção de dados ou de defesa do consumidor é o lugar para conferir.

Por que cancelar a inscrição não interrompe seus recibos

As pessoas costumam perguntar por que sair do marketing de uma loja não faz os e-mails de pedido pararem. As leis separam as duas coisas de propósito, e é também por isso que um remetente não escapa das regras de marketing só chamando algo de mensagem de serviço.

Tipo	Exemplos	GDPR e ePrivacy	CAN-SPAM	CASL
Transacional	Recibos, atualizações de entrega, redefinições de senha, alertas de segurança	Exige uma base legal, geralmente contrato ou legítimo interesse, e não consentimento de marketing	Isento da maior parte das regras; sem informações de roteamento falsas	As categorias listadas são isentas de consentimento, mas ainda exigem o conteúdo de identificação do remetente e de cancelamento
Marketing	Promoções, newsletters promocionais, recomendações de produtos	Consentimento ou soft opt-in; direito absoluto de oposição	Permitido sem consentimento; todas as exigências se aplicam	Exige consentimento expresso ou implícito
Misto	Uma confirmação de pedido com um grande banner promocional	A parte promocional pode exigir consentimento de marketing	Julgado pela finalidade principal, olhando o assunto e como o conteúdo está disposto	Pode ser tratado como comercial se promover produtos

Nem toda regra que você encontra vem de um legislativo, aliás. Desde 2024, Google e Yahoo exigem que remetentes em massa ofereçam cancelamento com um clique pelo mecanismo da RFC 8058 e atendam aos pedidos em dois dias. Essa é uma condição de boa entrega imposta pelos provedores de caixa de entrada, sem força de lei, mas na prática faz alguns remetentes pararem mais rápido do que os 10 dias úteis da lei.

Usando seus direitos, passo a passo

1. Pare o marketing

Use o botão de cancelar inscrição que seu app de e-mail mostra ao lado do remetente, que se baseia no cabeçalho List-Unsubscribe. Se não houver, use o link do rodapé de uma mensagem legítima. Faça isso apenas com remetentes que você reconhece, porque um link em spam óbvio pode levar a qualquer lugar, e denunciar é a melhor resposta nesse caso. Anote a data. Pelo CAN-SPAM e pela CASL, os e-mails devem parar em até 10 dias úteis. Na UE e no Reino Unido, uma oposição deve ter efeito sem demora, embora os reguladores em geral aceitem um curto prazo de processamento.

2. Descubra o que uma empresa guarda

Envie uma solicitação de acesso do titular dos dados pelo GDPR ou um pedido de saber pelo CCPA. Muitas empresas oferecem um formulário ou portal de privacidade, e usá-lo pode acelerar as coisas. Do contrário, uma mensagem curta como este modelo basta:

Assunto: Solicitação de acesso a dados pessoais
Solicito acesso aos dados pessoais que vocês mantêm sobre mim, nos termos do artigo 15 do GDPR [ou: nos termos da Lei de Privacidade do Consumidor da Califórnia]. Meu endereço de e-mail nos seus registros é [endereço]. Peço que forneçam uma cópia dos dados, as finalidades do tratamento, as categorias de destinatários com quem os compartilharam, por quanto tempo os manterão e a origem dos dados, caso não tenham sido coletados de mim. Aguardo a resposta dentro do prazo legal.

Envie do endereço que a empresa tem registrado, para o contato de privacidade indicado na política de privacidade dela, e guarde uma cópia com a data. Espere uma verificação de identidade. Ela é legítima, embora deva ser proporcional. Uma loja que pede o escaneamento de um passaporte para responder a um pedido sobre o endereço de uma newsletter merece ser questionada.

3. Peça a exclusão

Se você deixou de usar um serviço, peça o apagamento pelo artigo 17 do GDPR ou a exclusão pelo CCPA. A empresa pode guardar registros que deve manter, como notas fiscais, e um endereço em uma lista de supressão para não escrever a você por engano. É razoável perguntar o que ela está guardando e por quê.

4. Saia da venda e do compartilhamento nos estados americanos

Procure um link como “Do Not Sell or Share My Personal Information” ou “Your Privacy Choices”, ou ative o Global Privacy Control em um navegador ou extensão que o ofereça. Os californianos podem usar o DROP para os corretores de dados registrados.

5. Escale se não chegar a lugar nenhum

• UE e EEE: reclame à autoridade nacional de proteção de dados do seu país. O Comitê Europeu para a Proteção de Dados lista todas elas.
• Reino Unido: reclame ao órgão regulador britânico de proteção de dados depois de levar o assunto primeiro à organização, ou denuncie marketing indesejado pela ferramenta on-line dele.
• EUA: denuncie e-mail comercial enganoso ou em desacordo em ReportFraud.ftc.gov. Para problemas com o CCPA, registre uma reclamação na Agência de Proteção à Privacidade da Califórnia ou no procurador-geral.
• Canadá: denuncie ao Centro de Denúncia de Spam.

Mantenha suas provas simples: a data do seu pedido, uma cópia dele, uma cópia da resposta, se houver, e exemplos de mensagens que continuaram chegando, com os cabeçalhos completos. Os reguladores não conseguem acompanhar todas as reclamações, então uma reclamação individual pode não trazer um resultado rápido, mas ela soma ao histórico contra quem reincide.

O que essas leis não cobrem

O spam criminoso é a lacuna mais evidente. Quem vende remédio falso a partir de um servidor sequestrado ignora todas as regras acima, e é por isso que um filtro de spam e o botão de denúncia do seu provedor fazem mais contra esse tipo de e-mail do que qualquer lei. Identificar e denunciar esse tipo de fraude é uma habilidade prática, e nenhum regulador pode fazer isso por você.

Sua própria correspondência também fica, em grande parte, fora dessas regras. Um bilhete pessoal a amigos não é e-mail comercial, e o GDPR tem uma isenção para atividades puramente pessoais ou domésticas no artigo 2(2)(c). O acesso de autoridades policiais a caixas de e-mail cai em leis separadas, como a Lei de Comunicações Armazenadas dos EUA e as leis nacionais de vigilância, e elas merecem sua própria explicação.

Por fim, a maioria dessas leis obriga organizações de certo tipo ou acima de certo tamanho. Uma pequena loja da Califórnia abaixo dos limites do CCPA ainda precisa seguir o CAN-SPAM, mas não tem deveres pelo CCPA. Uma organização sem fins lucrativos pode escapar do CCPA e continuar sujeita ao GDPR quando envia e-mails a pessoas na Europa. Veja sempre quem é o remetente antes de presumir quais regras se aplicam.

Onde entra um endereço descartável?

Um endereço de e-mail descartável é uma caixa de entrada temporária que dispensa cadastro e exclui suas mensagens depois de pouco tempo. Não temos conhecimento de nenhuma lei dos regimes acima que proíba alguém de usar um para a própria privacidade, e fazer isso segue o mesmo raciocínio do dever de minimização de dados que o GDPR impõe às organizações. Se um site não precisa de uma relação duradoura com você, você pode decidir não oferecer uma, desde que os termos dele permitam. As regras e os termos variam, então esta é uma observação geral, e não uma garantia para um caso específico.

Os usos comuns incluem receber um download pontual ou testar o cadastro e os e-mails de confirmação do seu próprio site. O VookMail é um desses serviços. Um endereço fica pronto quando a página carrega, você pode tocar em Novo para digitar um nome de usuário em um de mais de 30 domínios ou usar o botão amarelo «Aleatório» para um aleatório, e mensagens, anexos e endereços são excluídos depois de cerca de um dia. Como ele trata os dados está descrito na política de privacidade, e a página de metodologia explica como o e-mail dos domínios chega a um provedor de entrega por registros MX e é encaminhado por HTTPS.

Há vários limites:

• Os serviços podem recusar endereços descartáveis, e muitos têm bons motivos. Nosso artigo sobre por que sites bloqueiam e-mail descartável os explica. Quando um site recusa um, respeite isso e use um endereço permanente ou um alias.
• Qualquer pessoa que conheça ou adivinhe um endereço temporário pode abrir aquela caixa de entrada, então ele dá privacidade em relação à lista de e-mails de uma empresa, mas nenhuma confidencialidade para as mensagens. Um endereço aleatório é a escolha mais segura.
• Banco, governo, saúde e redes sociais principais precisam de um endereço que você controle sempre, porque enviam avisos com valor legal e mensagens de recuperação.
• O mau uso não tem proteção. Fraude, assédio, falsa identidade ou fuga de um banimento podem trazer consequências legais, seja qual for o endereço usado, e nossos termos e condições os proíbem.
• Pedidos de direitos precisam de um endereço estável. A empresa normalmente verificará você pelo endereço registrado, então, se você pode querer usar seus direitos do GDPR ou do CCPA mais tarde, um endereço permanente serve melhor.

Se você mesmo envia e-mails

Uma newsletter ou uma pequena loja virtual coloca você do outro lado de tudo isso. Se seus leitores são de vários países, a abordagem prática é construir com base na regra mais rigorosa que se aplica ao seu público. A lista abaixo é um ponto de partida, e uma revisão de conformidade de verdade depende do seu país e dos seus clientes.

1. Colete o consentimento com uma caixa desmarcada ou uma ação explícita de inscrição e registre quando e como ele foi dado.
2. Considere o double opt-in, que dá a você prova do consentimento e barra erros de digitação e cadastros falsos.
3. Coloque um aviso de privacidade claro, com link, em todo lugar onde você coletar endereços.
4. Mantenha separados os fluxos transacionais e de marketing e não enfie promoções nos recibos.
5. Coloque a identidade da sua organização e um endereço postal válido em todo e-mail de marketing.
6. Ofereça cancelamento com um clique com os cabeçalhos List-Unsubscribe e List-Unsubscribe-Post e atenda rápido aos opt-outs.
7. Mantenha uma lista de supressão para que endereços que saíram nunca sejam importados de novo.
8. Não compre listas. Uma lista comprada não passa nos testes de consentimento dos países com opt-in e tende a trazer reclamações e devoluções que prejudicam a sua entrega em todo lugar.
9. Informe o rastreamento de aberturas e cliques e verifique se os países dos seus leitores exigem consentimento para isso. A França agora tem uma orientação específica sobre o tema.
10. Defina prazos de retenção e exclua os dados de assinantes inativos de que você não precisa mais.
11. Tenha um processo para responder a pedidos de acesso, exclusão e correção em até um mês (GDPR) ou 45 dias (CCPA).
12. Teste o fluxo de inscrição e de cancelamento com uma caixa de entrada nova antes do lançamento, para ver o que um assinante vê.

Crenças que causam problemas

“Se um endereço é público, posso fazer marketing para ele.” Em sistemas de opt-in, um endereço visível publicamente não dá, por si só, consentimento. Pelo CAN-SPAM, coletar endereços de sites é um fator agravante. A publicação simplesmente não resolve a questão.

“Cancelar a inscrição só confirma meu endereço para spammers.” Isso vale para spam óbvio de remetentes desconhecidos, onde denunciar é a melhor escolha. Com um remetente legítimo, cancelar é o passo certo, e a lei obriga o remetente a atender.

“O GDPR só vale para empresas da UE.” O artigo 3(2) alcança organizações de outros lugares que miram ou monitoram pessoas na UE ou no EEE. Como os reguladores fazem valer isso contra uma empresa sem presença na Europa é outra questão, e na prática pode ser difícil.

“O CAN-SPAM me deixa processar spammers.” Ele não dá esse direito aos indivíduos. Outras leis podem ajudar em situações específicas, e leis estaduais contra o engano podem sobreviver à sobreposição, então um advogado pode dizer se algo se aplica ao seu caso.

“Excluir minha conta apaga todos os meus dados.” As empresas podem guardar legalmente alguns registros, como o histórico de transações para fins fiscais. Elas devem explicar isso quando você perguntar.

“E-mails transacionais não são regulados.” Eles escapam de muitas regras de marketing, mas ainda precisam de uma base legal pelo GDPR e não podem ser enganosos.

Respostas curtas para perguntas comuns

Uma empresa pode me enviar e-mail se eu nunca me cadastrei?

Depende de onde você está. Nos EUA, em geral sim, desde que siga o CAN-SPAM e pare quando você pedir opt-out. Na UE, no Reino Unido e no Canadá, um e-mail de marketing em geral exige seu consentimento ou se encaixa em uma exceção estreita para clientes existentes.

Uma empresa de fora da Europa precisa responder ao meu pedido do GDPR?

Se ela oferece bens ou serviços a pessoas na UE ou no EEE, ou monitora o comportamento delas ali, o GDPR pode se aplicar a ela. O artigo 27 também exige, em geral, que essa empresa nomeie um representante na UE, cujos dados devem constar do aviso de privacidade. Se você consegue fazer valer o pedido na prática é outra questão.

Tenho direitos do CCPA se moro fora da Califórnia?

O CCPA protege residentes da Califórnia. Algumas empresas estendem escolhas semelhantes a todos, e muitos outros estados têm leis próprias, então ainda vale perguntar.

Com que rapidez o cancelamento deve funcionar?

Dez dias úteis no máximo pelo CAN-SPAM e pela CASL, cinco dias úteis na Austrália e, na prática, sem demora injustificada na UE e no Reino Unido. Espera-se também que grandes remetentes que usam Gmail e Yahoo atendam em dois dias, pelas regras desses provedores.

O rastreamento de abertura é legal?

Nos EUA, o CAN-SPAM não trata disso diretamente. Na UE, os reguladores tratam cada vez mais os pixels de rastreamento de e-mail como abrangidos pelo artigo 5(3) da Diretiva ePrivacy, e a CNIL francesa agora considera o consentimento a regra. Em outros lugares, depende da lei nacional.

Onde posso ler as próprias leis?

O GDPR e a Diretiva ePrivacy estão no EUR-Lex. A FTC publica o guia de conformidade do CAN-SPAM, o regulador da Califórnia e o procurador-geral publicam orientações sobre o CCPA, e o Governo do Canadá mantém um site sobre a CASL. Essas fontes oficiais são as que merecem confiança, porque esta visão geral só pode refletir a lei como a entendíamos quando foi escrita.