Dados pessoais na LGPD: o que são e por que o cookie também entra na conta

Este artigo é sobre dados pessoais do ponto de vista de quem os coleta: a empresa, o time de marketing, a agência. Se você chegou aqui procurando o que fazer depois de um vazamento dos seus próprios dados, o caminho é outro. Aqui a pergunta é a que todo projeto de LGPD precisa responder antes de qualquer outra: o que, na nossa operação, a lei considera dado pessoal?

A resposta curta das cartilhas costuma ser “nome, CPF, RG, endereço”. Ela está certa e é insuficiente. A maior parte dos dados pessoais que o marketing trata não tem cara de cadastro: é o cookie que o pixel grava no navegador, o identificador de clique que chega com o lead, o histórico de páginas que alimenta a pontuação. A lei e a ANPD têm uma posição clara sobre eles, e é isso que este texto organiza. É conteúdo informativo, não parecer jurídico: cada caso concreto pede análise própria.

O que são dados pessoais segundo a LGPD?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, no texto do Planalto) define dado pessoal no art. 5º, I, em uma frase só: informação relacionada a pessoa natural identificada ou identificável. Cada pedaço dessa frase faz um trabalho diferente, e vale ler devagar.

“Informação” não tem formato. Pode ser texto, número, imagem, áudio, uma linha de log ou um identificador alfanumérico sem sentido para um humano. “Relacionada a” é amplo de propósito: não precisa ser um atributo da pessoa, basta dizer algo sobre ela, como o que ela comprou, onde clicou ou a que horas abriu o e-mail.

“Pessoa natural” é o ser humano, vivo, o titular. Empresa não é titular de dado pessoal. E “identificada ou identificável” é o trecho que mais pesa no marketing: a lei não exige que você saiba quem a pessoa é, basta que seja possível chegar a ela. É aqui que entram os cookies, os IDs e os perfis.

Com dado pessoal definido, o resto da lei se encaixa. Titular é a pessoa a quem os dados se referem. Tratamento é praticamente qualquer coisa que se faça com eles: coletar, armazenar, consultar, cruzar, enviar, apagar. Se a informação é dado pessoal e a empresa faz qualquer uma dessas operações, precisa de base legal, finalidade definida e respeito aos direitos do titular.

Qual a diferença entre pessoa identificada e identificável?

Pessoa identificada é aquela que a informação aponta sem ajuda: o nome completo na ficha, o CPF, a foto do rosto, o e-mail joao.silva@empresa.com.br. Você olha o dado e sabe de quem se trata.

Pessoa identificável é aquela que ainda não está nomeada, mas pode ser encontrada combinando a informação com outra. O número de pedido 88213 não diz nada sozinho; no sistema de vendas, ele leva a um nome e um endereço. O cargo “diretora financeira” não identifica ninguém em um banco; somado ao nome de uma empresa de 40 funcionários, identifica uma pessoa só.

A consequência prática é que tirar o nome não tira o dado da lei. Uma planilha de leads em que a coluna de nome foi apagada, mas que mantém e-mail, telefone, código de cliente ou uma combinação de cidade, cargo e empresa, continua cheia de dados pessoais. O teste não é “tem nome?”, é “dá para chegar à pessoa com o que temos ou podemos obter?”.

Quais exemplos de dados pessoais aparecem no marketing?

A lista abaixo junta o que uma operação típica de marketing B2B ou B2C trata no dia a dia. A coluna da direita explica o motivo, que é o que permite aplicar o mesmo raciocínio a dados que não estão na tabela.

Duas linhas da tabela costumam surpreender. A do e-mail corporativo, porque muita gente acha que contato profissional é “dado da empresa”. E a do cookie, porque ele parece técnico demais para ser pessoal. As duas seções seguintes tratam exatamente desses pontos.

Cookie é dado pessoal? O que diz a ANPD

Cookie é um pequeno arquivo que o site grava no navegador para lembrar algo: o idioma escolhido, o carrinho, o login, ou o identificador que permite a uma ferramenta de anúncios reconhecer o mesmo navegador em visitas diferentes. Ele, sozinho, raramente contém o nome de alguém. Ainda assim, a autoridade brasileira entende que o que ele coleta pode ser dado pessoal.

Repare nos três caminhos que o guia descreve: o cookie pode se referir diretamente a alguém (quando guarda o login, por exemplo), pode permitir a identificação indireta por cruzamento ou inferência, ou pode servir para formar um perfil. São exatamente os três degraus do teste que aparece mais adiante neste artigo.

Para quem faz mídia, o trecho decisivo é o dos cookies de publicidade. O próprio guia os descreve como ferramentas que identificam o usuário e constroem perfil a partir dos hábitos de navegação. Ou seja: o cookie que faz remarketing funcionar é, pela leitura da ANPD, um caso típico de dado pessoal. Por isso o guia trata consentimento e transparência para essa categoria, assunto que está no nosso artigo sobre o banner de cookies que a ANPD desaconselha.

O que o art. 12, § 2º, muda para o perfil de navegação?

O guia de cookies não inventou a ideia de perfil como dado pessoal. Ela está na lei, no artigo que trata dos dados anonimizados.

O lugar do parágrafo explica a intenção. O artigo acabou de dizer que dado anonimizado sai da lei; o § 2º fecha a brecha de quem quisesse alegar que o perfil não é pessoal porque é feito de pedaços soltos, sem nome. Se o conjunto de comportamentos serve para formar o perfil de alguém identificado, o conjunto entra na conta.

No marketing, isso alcança coisas que muita gente trata como “dado de navegação” genérico: as páginas que o lead visitou antes de pedir orçamento, os e-mails que abriu, o segmento de interesse atribuído a ele, a nota de lead scoring calculada a partir do comportamento. Isoladas, parecem métricas. Ligadas ao cadastro de uma pessoa, formam o perfil dela.

Para a LGPD, não importa se a informação tem nome. Importa se ela leva a alguém, ou se descreve alguém que você já sabe quem é.

Um cuidado de leitura: o parágrafo usa “poderão”, não “serão”. A lei abre a possibilidade e a condiciona à identificação. Isso não é salvo-conduto; é um convite a avaliar o caso. Na dúvida, o tratamento mais seguro é o de dado pessoal, com finalidade clara e base legal registrada.

Como saber se uma informação é dado pessoal na prática?

O raciocínio da lei e do guia cabe em três perguntas, feitas nesta ordem. Basta um “sim” para a informação ser tratada como dado pessoal.

1. A informação identifica a pessoa diretamente?

Nome, CPF, e-mail nominal, número de telefone, foto do rosto, voz gravada em um depoimento, assinatura. Se a resposta é sim, o caso está resolvido: é dado de pessoa identificada, art. 5º, I.

2. Ela identifica cruzando com outra informação?

Aqui entram os códigos e as combinações: o número do pedido, o código de cliente, o ID de clique que a plataforma de anúncios acrescenta ao link e que o formulário grava junto com o lead, o endereço IP de quem fez login, a combinação de cargo com empresa pequena. Conta o cruzamento que a sua empresa consegue fazer e o que consegue obter com esforço razoável.

3. Ela forma o perfil de alguém identificado?

Cookie de publicidade, histórico de navegação ligado ao lead, segmento de interesse, pontuação comportamental. Se a informação descreve o comportamento de uma pessoa que você consegue identificar, o art. 12, § 2º, e o guia da ANPD apontam para dado pessoal.

O que são dados pessoais sensíveis?

Dado sensível é uma subcategoria do dado pessoal, com proteção reforçada. O art. 5º, II, lista quais são: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Para o marketing, o risco está menos na coleta direta e mais na inferência: o histórico de navegação em páginas de um tratamento, ou o segmento “interessado em produtos para diabéticos”, pode revelar saúde. O assunto tem um artigo próprio, sobre dados sensíveis na LGPD e o histórico que vira dado de saúde.

O que são dados anonimizados e pseudonimizados?

Dado anonimizado é o que não permite mais identificar a pessoa com meios técnicos razoáveis (art. 5º, III) e, por isso, deixa de ser dado pessoal (art. 12), salvo se a anonimização puder ser revertida. Dado pseudonimizado é aquele em que o identificador foi trocado por um código, mas a empresa guarda a chave para voltar à pessoa; ele continua sendo dado pessoal.

A distinção importa porque muita lista “anônima” do marketing é só pseudonimizada, como o e-mail com hash enviado a plataformas de anúncio. O detalhe está no artigo sobre dados anonimizados e por que o e-mail com hash não é anônimo.

Quais são os dados pessoais de uma empresa?

A pergunta tem duas leituras, e as duas aparecem na busca. Na primeira, “dados da empresa” são os da pessoa jurídica: CNPJ, razão social, endereço da sede, faturamento, número de funcionários, setor. Esses não são dados pessoais, porque a LGPD protege a pessoa natural. Uma base de prospecção só com dados de empresas fica, em regra, fora da lei.

Na segunda leitura, “dados pessoais de uma empresa” são os dados das pessoas que a empresa trata: clientes, leads, funcionários, fornecedores pessoa física, sócios, contatos em outras empresas. Esses são dados pessoais, e é aqui que a prospecção B2B costuma errar. O nome do comprador, o e-mail dele, o celular e o perfil profissional são dados pessoais, mesmo coletados em contexto profissional.

A linha do “cuidado comum” tem um ponto fino. Em negócios muito pequenos, principalmente os de uma pessoa só, o dado da empresa e o da pessoa se confundem: o endereço e o telefone da empresa podem ser os da casa e do celular do dono. Nesses casos, vale aplicar o teste do “identificável” e tratar com o cuidado de dado pessoal.

Dado público ou profissional deixa de ser dado pessoal?

Não. O e-mail que está na assinatura do executivo, o perfil público em uma rede profissional e o telefone no site de um consultório continuam sendo dados pessoais. A LGPD trata dos dados de acesso público e dos tornados manifestamente públicos pelo próprio titular no art. 7º, e o faz justamente para dizer em que condições podem ser tratados, sem tirá-los da lei.

Na prática, isso significa que ser público muda a base legal disponível e o tipo de cuidado, mas não dispensa finalidade, boa-fé e respeito aos direitos do titular. Copiar contatos de um site para disparar e-mail de vendas não é o mesmo que estar autorizado a fazê-lo. Quando a ideia é usar legítimo interesse para esse contato, o caminho está no artigo sobre o teste de legítimo interesse antes do e-mail.

Quais os erros mais comuns do marketing com dados pessoais?

• Chamar de dado pessoal só o que tem nome. O inventário que lista nome, e-mail e telefone e para aí deixa de fora cookies, IDs de clique, UTMs ligadas ao lead e pontuação comportamental.
• Tratar o B2B como fora da lei. A empresa não é titular, mas o comprador é. Lista de decisores é lista de pessoas.
• Achar que o cookie é problema só do banner. O banner resolve a transparência e o consentimento na coleta. O dado que o cookie alimenta segue na operação, em ferramentas de anúncio, CRM e BI, e precisa de finalidade e prazo.
• Apagar o nome e chamar de anônimo. Se sobrou e-mail, telefone, código ou combinação que leva à pessoa, o dado continua pessoal.
• Esquecer listas paralelas. Planilha de evento, contatos no celular do vendedor, grupos de WhatsApp, exportações antigas na pasta compartilhada. Tudo isso é dado pessoal tratado pela empresa.
• Juntar bases sem olhar o resultado. Cruzar a base de navegação com a de clientes pode transformar um dado que não identificava em perfil de pessoa identificada. O cruzamento também é tratamento.

Por que essa definição importa para o marketing agora?

Porque tudo o que a LGPD exige depende dela. Base legal, aviso de privacidade, prazo de retenção, atendimento ao titular que pede acesso ou exclusão, contrato com fornecedores, avaliação de risco: cada uma dessas obrigações começa com a pergunta “isto é dado pessoal?”. Se a definição estiver curta, todo o projeto fica curto, e as lacunas aparecem justamente nos dados do marketing.

Há também o lado operacional. Quando um titular pede acesso aos seus dados, a resposta precisa incluir o que a empresa sabe sobre ele, e isso pode envolver o histórico de interações, os segmentos e as notas que o marketing atribuiu, não só o cadastro. Quem não reconhece esses campos como dados pessoais não consegue respondê-lo direito.

Por onde começar a mapear os dados pessoais da sua operação?

1. Liste os pontos de entrada. Formulários do site, landing pages, chat, WhatsApp, eventos, importação de listas, integrações com plataformas de anúncio.
2. Abra cada ponto e anote todos os campos, inclusive os ocultos e os que o sistema preenche sozinho.
3. Aplique as três perguntas (direto, por cruzamento, por perfil) a cada campo e marque o que é dado pessoal.
4. Separe o sensível, inclusive o que pode ser inferido de navegação ou segmento.
5. Registre para que serve cada dado e por quanto tempo fica; o que não tem finalidade é candidato a deixar de ser coletado.
6. Leve o resultado para o inventário, que é a base do resto do projeto, como explicamos no artigo sobre o inventário de dados pessoais que falta nas empresas.

Se o mapeamento mostrar que o marketing trata mais dados pessoais do que o projeto de LGPD previa, o passo seguinte é ajustar bases legais, banner, retenção e contratos. A Alliance faz esse trabalho na adequação à LGPD aplicada ao marketing, partindo dos dados que de fato circulam nas campanhas. E, para enxergar a operação inteira antes de decidir, o diagnóstico de marketing gratuito leva cerca de 30 minutos e mostra onde estão as lacunas de dados, mensuração e tecnologia.