Há uns tempos, um amigo mostrou-me a caixa de entrada da sua conta de email. Tinha mensagens de lojas onde comprara uma coisa qualquer anos antes, newsletters que não se lembrava de ter pedido e promoções de empresas cujo nome mal reconhecia. ” – Como é que esta gente toda tem a minha conta de email?”, perguntou.
A pergunta é legítima. O nosso endereço de email parece uma coisa banal, quase tão inofensiva como o número de telefone escrito num cartão. Mas não é bem assim. É um dado pessoal e a lei estabelece regras sobre a forma como pode ser utilizado. É aqui que entra o RGPD. Vamos perceber o que significa, sem complicar o que já é suficientemente complicado.
O que é o RGPD?
RGPD significa Regulamento Geral sobre a Proteção de Dados. É uma lei europeia, aplicável desde 25 de maio de 2018, que estabelece regras para proteger a informação pessoal das pessoas.
O princípio é simples, cada um de nós deve ter algum controlo sobre os seus dados e sobre aquilo que as empresas fazem com eles.
O endereço de email também pode ser um dado pessoal, sobretudo quando permite identificar uma pessoa. Por isso, uma empresa não pode recolher endereços, criar listas de contactos e utilizá-las como bem entender.
Pense nisto como a chave de casa. Entregar uma cópia a alguém para um fim específico não significa que essa pessoa possa fazer quantas cópias quiser e distribuí-las pela vizinhança.
Pode consultar a informação oficial na Comissão Europeia.
O que a lei exige quando envia emails
Imagine que tem uma pequena empresa e quer enviar uma newsletter aos seus clientes. Tem 300 endereços numa folha de cálculo. Pode começar a enviar promoções a todos? Não necessariamente.
Consentimento significa uma autorização livre, informada e explícita para uma finalidade específica. Em regra, precisa de consentimento prévio para enviar mensagens de marketing por email a particulares, respeitando também a legislação portuguesa sobre comunicações eletrónicas.
Existe, no entanto, uma exceção conhecida como soft opt-in. Se alguém já comprou um produto ou serviço à sua empresa, pode, em determinadas condições, receber mensagens sobre produtos ou serviços semelhantes. Para isso, o endereço tem de ter sido recolhido no contexto da venda e o cliente deve ter tido a possibilidade de recusar os envios, tanto quando forneceu o endereço como em cada mensagem.
Uma decisão do Tribunal de Justiça da União Europeia, de novembro de 2025, esclareceu que esta exceção pode abranger determinadas situações envolvendo serviços digitais gratuitos. Mas atenção, não significa que oferecer um serviço gratuito permita enviar publicidade a toda a gente. As condições legais continuam a aplicar-se.
Há ainda regras que não convém esquecer. Identifique claramente quem envia a mensagem e disponibilize uma forma simples e gratuita de cancelar a subscrição. Se o envio depender de consentimento, guarde provas da autorização, quando foi dada, como e para que finalidade.
Afinal, se alguém lhe pergunta como conseguiu o seu endereço, deve conseguir dar uma resposta concreta.
Consulte as orientações da Comissão Europeia sobre a utilização de dados para marketing.
Que direitos tem sobre o seu email?
Voltemos àquela caixa de entrada cheia de mensagens indesejadas. O que pode fazer?
O direito de acesso permite-lhe perguntar a uma empresa que dados pessoais guarda sobre si e como os utiliza. O direito ao apagamento permite pedir que elimine os seus dados quando estão reunidas as condições legais.
Também pode exercer o direito de oposição para deixar de receber mensagens de marketing direto. Neste caso, a organização deve deixar de utilizar os seus dados para essa finalidade.
Existe ainda o direito à portabilidade. Em determinadas circunstâncias, pode receber os dados que forneceu num formato estruturado e legível por máquina, ou pedir que sejam transmitidos para outra organização.
Há uma ressalva, pedir que retirem o seu endereço de uma lista de marketing não significa que a empresa tenha de apagar todos os registos que possui. Pode ter obrigações legais que justifiquem conservar alguns dados.
O que não pode acontecer é uma empresa continuar a utilizar os seus dados para marketing direto depois de se ter oposto a esse tratamento.
A Comissão Europeia explica estes direitos.
O que acontece se a lei for violada?
Em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) fiscaliza o cumprimento das regras de proteção de dados.
As infrações podem dar origem a coimass, com valores que variam consoante a gravidade da infração e a dimensão da entidade.
No caso das pessoas singulares, as coimas previstas vão de 500 € a 250.000 € para infrações graves e de 1.000 € a 500.000 € para infrações muito graves.
Para as empresas, os valores podem ser bastante superiores. Nas contraordenações muito graves, por exemplo, uma PME pode ser sancionada com uma coima entre 2.000 € e 2 milhões de euros, ou até 4% do seu volume de negócios anual mundial, aplicando-se o valor mais elevado previsto.
Estes são limites legais, não multas automáticas. A coima concreta depende da infração e das circunstâncias do caso.
E há outra consequência, menos fácil de medir, a perda de confiança. Uma empresa que insiste em enviar mensagens a quem não as quer receber acaba por transformar a sua marca numa visita indesejada.
E os emails de trabalho?
Imagine que um funcionário sai da empresa. O que acontece à sua conta de email?
O acesso deve ser revisto e, em regra, desativado quando deixa de ser necessário. Mas isso não significa que a empresa possa ler indiscriminadamente todas as mensagens que ficaram para trás. A privacidade continua a contar, mesmo quando o endereço pertence ao domínio da organização.
Também não faz sentido guardar todos os emails para sempre. Uma empresa deve definir durante quanto tempo conserva as mensagens e porquê.
Algumas terão de ser guardadas por obrigações legais ou para defesa de direitos. Outras podem ser eliminadas quando deixam de ser necessárias.
Lembro-me de professores que guardavam décadas de testes, fichas e apontamentos em armários que já mal fechavam. Havia sempre uma razão para conservar cada papel. Com o email acontece algo parecido, só que o armário parece não ter fundo. A facilidade de guardar não transforma tudo em informação que precisamos de conservar.
Uma política de retenção ajuda a perceber o que deve ficar, durante quanto tempo e com que finalidade.
Tracking pixels · alguém sabe que abriu a newsletter?
Há uma pergunta que raramente fazemos quando abrimos uma newsletter, será que alguém ficou a saber que a lemos?
Por vezes, sim. Uma das tecnologias utilizadas para isso chama-se tracking pixel.
É uma imagem invisível, muitas vezes com apenas um píxel, que comunica com um servidor quando é carregada. Pode permitir ao remetente saber se abriu a mensagem e, dependendo da tecnologia utilizada, associar essa abertura ao seu endereço.
A CNIL, autoridade francesa de proteção de dados, publicou recomendações específicas sobre esta tecnologia em 14 de abril de 2026. O documento esclarece em que situações é necessário consentimento e identifica algumas utilizações limitadas que podem estar isentas.
A distinção interessa. Medir o desempenho de uma campanha para perceber quantas pessoas a abriram não é necessariamente o mesmo que acompanhar o comportamento de cada destinatário ao longo do tempo.
Se utiliza píxeis nas suas newsletters, informe os destinatários e obtenha consentimento quando a lei o exigir. Não assuma que a autorização para receber uma newsletter permite automaticamente acompanhar todas as aberturas.
O essencial em 5 pontos
Se chegou até aqui, vale a pena guardar estas cinco ideias:
O endereço de email pode ser um dado pessoal protegido pelo RGPD.
As newsletters comerciais estão sujeitas a regras de consentimento, com exceções limitadas.
Os emails de marketing devem permitir cancelar a subscrição de forma simples.
Pode opor-se ao marketing direto e pedir o apagamento dos seus dados, nos termos da lei.
Os emails não devem ser guardados indefinidamente sem uma justificação válida.
Cumprir o RGPD sem complicações
O RGPD tem fama de ser uma daquelas leis que só os especialistas conseguem ler sem adormecer. Percebo a reputação, mas a ideia de fundo não é assim tão complicada: os nossos dados não são propriedade de quem os recolhe.
Se recebe mensagens que não quer, tem direitos. Se gere um negócio e envia newsletters, tem responsabilidades.
Comece pelo básico. Reveja a forma como recolhe endereços, confirme se tem autorização para os envios e defina durante quanto tempo conserva as mensagens. Não precisa de transformar a gestão do email num exercício de burocracia. Precisa, isso sim, de regras claras e de as cumprir.
Este artigo é informativo e não constitui aconselhamento jurídico.
Perguntas frequentes sobre RGPD e email
Preciso de consentimento para enviar emails a clientes?
Em regra, o marketing por email dirigido a particulares exige consentimento prévio. Existe uma exceção limitada para clientes, desde que sejam cumpridas as condições legais relativas a produtos ou serviços semelhantes e à possibilidade de recusar os envios.
O que é a exceção de soft opt-in?
É uma exceção que pode permitir o envio de mensagens comerciais sobre produtos ou serviços semelhantes aos que um cliente adquiriu, sem pedir um novo consentimento, desde que sejam respeitados todos os requisitos legais.
Posso pedir para apagar o meu email de uma lista?
Sim. Pode pedir que eliminem o seu endereço de uma lista de marketing e pode opor-se ao tratamento dos seus dados para marketing direto. A organização deve respeitar o pedido, sem prejuízo de eventuais obrigações legais de conservação de outros registos.