Há uns dias, chegou um mail com uma pergunta que qualquer pessoa que trabalhe com alojamento web, comércio electrónico ou marketing digital já terá ouvido de um cliente. Um empresário tem uma base de dados com vários anos. A maioria dos contactos ainda são clientes. Quer enviar uma newsletter para promover os seus serviços, mas sabe que a forma como os dados foram recolhidos não cumpre as regras atuais. Pode avançar?
Nota: este artigo é uma opinião e não substitui aconselhamento jurídico profissional.
A resposta curta é não, pelo menos não sem perceber primeiro o que tem naquela base de dados e em que condições foi construída. O facto de alguém ser cliente não dá, por si só, autorização para lhe enviar publicidade por correio electrónico. E o facto de uma base de dados ter sobrevivido durante dez ou quinze anos não significa que tenha adquirido direitos por antiguidade. Não estamos a falar de um servidor antigo que continua a funcionar apesar de já ninguém encontrar o manual. Estamos a falar de dados pessoais e de regras que têm de ser cumpridas.
A dúvida merece alguma atenção porque mistura duas questões diferentes. Uma é saber se o empresário pode tratar aqueles dados pessoais ao abrigo do Regulamento Geral sobre a Proteção de Dados, o RGPD. Outra é saber se pode utilizar o correio electrónico para enviar comunicações comerciais, matéria que tem regras próprias na legislação portuguesa.
O RGPD, aplicável desde 2018, estabelece as condições gerais para o tratamento de dados pessoais. Em Portugal, a Lei n.º 58/2019 assegura a sua execução na ordem jurídica nacional. Já a Lei n.º 41/2004, relativa à privacidade nas comunicações electrónicas, contém regras específicas para comunicações não solicitadas destinadas a fins de marketing directo.
É precisamente nesta última que encontramos uma das distinções mais relevantes para responder à pergunta do leitor.
Em regra, o envio de mensagens electrónicas para fins de marketing directo a pessoas singulares exige consentimento prévio e expresso. Existem, contudo, situações em que a lei permite utilizar o chamado soft opt-in, uma excepção pensada para determinadas relações comerciais já existentes.
Imagine-se uma loja online que vende material informático. Um cliente compra um teclado, fornece o endereço de correio electrónico para concluir a encomenda e, durante o processo, é informado de que poderá receber comunicações comerciais sobre produtos semelhantes. Se estiverem cumpridas as condições legais, a empresa poderá enviar-lhe mensagens comerciais sem ter de recolher um consentimento separado para cada campanha.
Mas há condições. E é aqui que muitas empresas começam a descobrir que a sua base de dados não está tão organizada como julgavam.
O soft opt-in não é uma autorização geral para enviar publicidade a qualquer pessoa cujo endereço electrónico esteja guardado no sistema. Aplica-se, em determinadas circunstâncias, quando uma empresa obtém os dados de contacto directamente de um cliente no contexto de uma venda de um produto ou serviço, utiliza esses dados para promover produtos ou serviços próprios semelhantes aos que o cliente adquiriu e lhe permite opor-se, de forma simples e gratuita, à utilização dos dados tanto no momento da recolha como em cada mensagem enviada.
A distinção entre produtos semelhantes e produtos diferentes também interessa. Uma empresa que vende computadores não pode presumir que um cliente que comprou um portátil está automaticamente interessado em receber publicidade sobre qualquer negócio que o proprietário decida lançar. A relação comercial tem limites. O marketing também.
E há outro pormenor que costuma ficar esquecido. O cliente tem de ter tido a possibilidade de recusar a utilização dos seus dados para marketing directo quando estes foram recolhidos. Se a empresa nunca lhe deu essa possibilidade, não basta acrescentar agora uma ligação para cancelar a subscrição no rodapé da newsletter e considerar o assunto resolvido.
A questão torna-se mais delicada quando o empresário admite que a base de dados foi construída à margem da lei. Pode ter comprado uma lista de endereços electrónicos, importado contactos de outra empresa, recolhido endereços na Internet ou acumulado dados ao longo dos anos sem qualquer registo da sua origem.
Nestas situações, não basta que os endereços sejam verdadeiros. Também não basta que os destinatários sejam clientes actuais. A empresa tem de conseguir demonstrar que dispõe de fundamento jurídico para tratar os dados e que pode utilizá-los para aquela finalidade específica.
Se os contactos foram recolhidos sem uma base legal adequada, a antiguidade da relação comercial não corrige automaticamente o problema. O mesmo se aplica a uma lista comprada a terceiros. O vendedor pode garantir que os endereços são legítimos, mas essa garantia comercial não substitui a prova de que os dados foram recolhidos e transmitidos legalmente, nem demonstra que existe autorização para enviar publicidade.
Há uma diferença entre ter um endereço electrónico e ter o direito de o utilizar para marketing. No departamento de informática, conhecemos bem o problema das permissões. O facto de uma conta ter acesso a uma pasta não significa que deva ter acesso a todas as outras. Com os dados pessoais, a lógica é semelhante.
Também convém não confundir o consentimento exigido para determinadas comunicações comerciais com a base jurídica necessária para tratar dados pessoais ao abrigo do RGPD. São questões relacionadas, mas não equivalentes. Uma empresa pode ter um fundamento legítimo para conservar determinados dados de clientes para gerir contratos ou cumprir obrigações legais e, ainda assim, não estar autorizada a enviar-lhes uma newsletter promocional.
O interesse legítimo, por exemplo, pode servir de fundamento para algumas operações de tratamento de dados pessoais, desde que sejam respeitados os requisitos do RGPD. Não funciona, porém, como um atalho para contornar as regras específicas aplicáveis ao marketing electrónico. Quando a legislação das comunicações electrónicas exige consentimento ou não permite o envio fora das condições do soft opt-in, invocar genericamente o interesse legítimo não resolve o problema.
E o que pode acontecer a quem decide avançar na mesma?
As consequências dependem da infracção concreta, das circunstâncias e da legislação aplicável. A Comissão Nacional de Proteção de Dados, a CNPD, tem competências de fiscalização e pode aplicar sanções no âmbito do RGPD e da legislação nacional de protecção de dados. A Lei n.º 41/2004 prevê também contra-ordenações relacionadas com o incumprimento das regras sobre comunicações electrónicas, cuja fiscalização e aplicação de sanções depende das competências legalmente atribuídas às autoridades competentes, incluindo a ANACOM nos domínios que lhe cabem.
No caso do RGPD, as coimas podem atingir, nas infracções mais graves, 20 milhões de euros ou 4% do volume de negócios anual mundial da empresa, consoante o valor que for mais elevado. Estes são os limites máximos previstos no regulamento, não uma previsão do que será aplicado a uma pequena empresa portuguesa por enviar uma newsletter irregular. A sanção concreta depende de vários factores e não deve ser confundida com o limite máximo legal.
Podem ainda existir outras consequências, como ordens para interromper o tratamento ou eliminar dados, reclamações dos titulares e, nos casos legalmente previstos, responsabilidade civil ou criminal. Não significa que cada newsletter enviada irregularmente constitua um crime. Significa que a análise não se esgota na possibilidade de receber uma coima.
Perante isto, o que deve fazer quem tem uma base de dados antiga?
O primeiro passo é suspender as campanhas promocionais dirigidas aos contactos cuja situação jurídica não esteja esclarecida. Não é necessário apagar indiscriminadamente todos os registos de clientes, porque alguns podem ter de ser conservados por motivos contratuais, contabilísticos ou legais. É necessário, isso sim, separar a conservação legítima dos dados da sua utilização para marketing.
Depois, convém auditar a base de dados. De onde veio cada conjunto de contactos? Foram recolhidos directamente pela empresa? Existe prova do consentimento? Em que data foi obtido? O cliente foi informado sobre a utilização dos dados? Teve possibilidade de recusar as comunicações comerciais? A empresa consegue demonstrar que se encontram reunidas as condições para aplicar o soft opt-in?
Se os dados tiverem sido recolhidos directamente no contexto de vendas e existirem elementos que permitam demonstrar o cumprimento dos requisitos legais, poderá ser possível utilizar uma parte da base de dados. Os restantes contactos devem ser tratados separadamente, sem presumir que todos beneficiam da mesma autorização.
Quando não existe fundamento adequado para enviar publicidade, uma das soluções poderá passar por obter novo consentimento através de um canal e de um procedimento legalmente admissíveis. Mas há uma ressalva importante. Não se deve utilizar a própria newsletter não autorizada para pedir autorização para continuar a enviar newsletters. A regularização tem de ser feita por uma via que seja, ela própria, lícita.
Também é necessário garantir que todas as mensagens comerciais incluem um mecanismo simples e gratuito para o destinatário se opor a futuros envios. Os pedidos de oposição devem ser respeitados sem demora. Do ponto de vista técnico, isto implica manter registos fiáveis das preferências dos destinatários e impedir que os contactos que recusaram publicidade voltem a entrar numa campanha por causa de uma importação de dados ou de uma falha de sincronização.
Quem gere plataformas de email marketing sabe que estes problemas nem sempre nascem numa decisão deliberada de desrespeitar a lei. Por vezes, uma lista é exportada de um CRM, importada para outra ferramenta e misturada com contactos antigos. Ninguém verifica a origem dos dados. O sistema envia milhares de mensagens e só depois alguém pergunta se existia autorização para o fazer.
É por isso que a documentação conta. A empresa deve guardar provas do consentimento quando este é necessário, registar as oposições e documentar a origem dos contactos e o fundamento jurídico que permite utilizá-los. Se a base de dados for extensa, tiver várias origens ou apresentar dúvidas relevantes, faz sentido pedir uma análise a um advogado com experiência em protecção de dados e direito digital.
No fundo, a resposta ao leitor é simples, embora a aplicação prática nem sempre o seja. Ter clientes actuais pode permitir o envio de determinadas comunicações comerciais, mas não legaliza automaticamente uma base de dados irregular. O soft opt-in é uma excepção com condições concretas, não uma licença para recuperar listas antigas sempre que a empresa precisa de vender mais.
A melhor decisão é perceber primeiro o que se pode fazer com cada conjunto de contactos. Só depois deve ser preparada a campanha.
Uma base de dados pode representar anos de trabalho comercial. Mas, sem origem documentada, permissões claras e mecanismos para respeitar as escolhas dos clientes, também pode representar um problema que ninguém quis assumir até ao dia em que apareceu a primeira reclamação. E, como acontece tantas vezes em informática, o falhanço não deixa rasto mas acrescenta experiência. A diferença é que, neste caso, a experiência pode sair bastante cara.
Nota: este artigo é uma opinião e não substitui aconselhamento jurídico profissional.