RGPD e Email Marketing: o Essencial para Quem Envia Newsletters (2026)

O essencial em 30 segundos

Se envias uma newsletter em Portugal, a lei exige quatro coisas: consentimento válido antes do primeiro email, prova desse consentimento, cancelamento fácil e gratuito em todas as mensagens, e atenção a onde os dados vivem (ferramentas com servidores na UE simplificam tudo). As regras vêm de dois diplomas — o RGPD e a Lei n.º 41/2004 — e quem fiscaliza é a CNPD. O resto deste guia é o detalhe prático, com as fontes primárias e uma checklist para imprimir.

Nota honesta antes de começar: isto é um guia prático de criador para criador, não substitui aconselhamento jurídico. Para situações específicas (dados sensíveis, listas grandes, setores regulados), fala com quem perceba de direito da proteção de dados.

As duas leis que regem a tua newsletter

1. O RGPD — o Regulamento (UE) 2016/679 aplica-se desde 2018 a qualquer pessoa, incluindo criadores individuais, que trate dados pessoais de residentes na UE. Um endereço de email é um dado pessoal. Para email marketing, os artigos que interessam são três: o artigo 4.º, que define consentimento como "manifestação de vontade, livre, específica, informada e inequívoca"; o artigo 6.º, que faz do consentimento o fundamento de licitude típico do marketing; e o artigo 7.º, que te obriga a conseguir demonstrar que o consentimento existiu e a torná-lo tão fácil de retirar como foi de dar.

2. A Lei n.º 41/2004 — a lei portuguesa da privacidade nas comunicações eletrónicas (Lei n.º 41/2004, de 18 de agosto, no texto consolidado da PGD Lisboa, alterada pela Lei n.º 46/2012) é a que trata especificamente das comunicações não solicitadas. O artigo 13.º-A diz que enviar email de marketing direto a pessoas singulares exige consentimento prévio e expresso — e traz a exceção dos clientes existentes, que vemos já a seguir.

Quem fiscaliza é a CNPD, que em 2022 publicou a Diretriz/2022/1 sobre comunicações eletrónicas de marketing direto: o consentimento é a base regra, as caixas pré-marcadas não valem, o consentimento tem de ficar documentado e a recusa tem de ser possível, fácil e gratuita em cada mensagem.

Consentimento válido: os quatro testes

Pega em qualquer formulário de subscrição e passa-o pelos quatro adjetivos do artigo 4.º do RGPD:

Livre — a pessoa pode dizer que não sem perder nada a que tinha direito. Obrigar a subscrever a newsletter para aceder a algo sem relação é consentimento forçado.

Específico — consentir "receber a newsletter semanal" é específico; "aceitar os termos, a newsletter e comunicações de parceiros" num só clique é consentimento empacotado, e não vale.

Informado — a pessoa sabe quem envia, o quê e com que frequência aproximada, antes de submeter.

Inequívoco — exige uma ação afirmativa: marcar uma caixa desmarcada, submeter um formulário que diz claramente ao que vai. A Diretriz da CNPD rejeita expressamente as caixas pré-marcadas. Inscrever alguém porque te deu o cartão ou te mandou uma DM também não passa no teste.

A isto soma-se a prova: o artigo 7.º do RGPD põe o ónus do teu lado — se um subscritor ou a CNPD questionar, tens de mostrar quando e como aquela pessoa consentiu. As ferramentas de email sérias registam data, hora e origem de cada subscrição; uma folha de Excel alimentada à mão não regista nada. E a saída tem de ser tão fácil como a entrada: link de cancelamento funcional em todos os emails, sem "responde a este email para sair".

Última regra de ouro: minimização. Para uma newsletter, o email chega (o primeiro nome ajuda na personalização); pedir telefone e morada "para o caso de" é risco desnecessário.

Single ou double opt-in?

Single opt-in: a pessoa submete o formulário e entra logo na lista. Double opt-in: recebe primeiro um email de confirmação e só entra depois de clicar.

Nem o RGPD nem a lei portuguesa exigem double opt-in — a própria MailerLite escreve na documentação que "não é exigido pelo RGPD", e ainda assim recomenda ativá-lo em todos os formulários. A Brevo recomenda o mesmo processo, precisamente porque serve de prova de consentimento. Eu recomendo-o sem hesitar, por duas razões práticas:

• É a tua prova em versão blindada: um clique de confirmação, com data e hora registadas pela ferramenta, encerra qualquer discussão sobre se a subscrição existiu.
• Filtra lixo à entrada: typos, emails falsos e inscrições feitas por terceiros nunca chegam à lista — e a tua taxa de abertura agradece.

O custo é perder os subscritores que não confirmam. Aceita-o: quem não clica num email de confirmação nunca ia abrir os teus emails de qualquer forma.

Clientes, lead magnets e as zonas cinzentas

Clientes que te compram são o caso especial com nome próprio: o soft opt-in. O artigo 13.º-A da Lei n.º 41/2004 permite que uses o email obtido numa venda para marketing de produtos ou serviços análogos aos transacionados, desde que o cliente possa recusar, de forma gratuita e fácil, no momento da recolha e em cada mensagem. Vendeste um ebook de nutrição e queres anunciar o curso de nutrição que vem aí? Coberto. Meter esses compradores na tua newsletter editorial de todas as semanas? Aí já saíste do "análogo" — o caminho limpo é uma caixa de consentimento no checkout.

Lead magnet em troca do email é legítimo, desde que digas claramente que, além do PDF, a pessoa fica a receber a tua newsletter. A fórmula limpa no formulário: "Recebe o guia + a minha newsletter semanal. Sais quando quiseres." Não perdes nada com a transparência — quem só queria o PDF e se sentisse enganado nunca ia comprar nada. Os lead magnets continuam a ser a forma mais rápida de construir uma lista de emails que cumpre as regras desde o primeiro subscritor.

Listas compradas ou "emprestadas": proibido, sem zona cinzenta. Ninguém naquela lista te deu consentimento, e a entregabilidade afunda de caminho.

Reconfirmar listas antigas tem uma armadilha pouco falada: se tens subscritores com consentimento real mas mal documentado (single opt-in de há anos), uma campanha de re-permissão ("confirma que queres continuar a receber") é uma boa limpeza. Mas se um contacto nunca te deu consentimento nenhum, na leitura das autoridades de proteção de dados o próprio email de reconfirmação já é, ele mesmo, uma comunicação de marketing — e essa não tem base legal que a suporte. Nesses casos o caminho prudente não é reconfirmar: é apagar e recomeçar.

E se envias para empresas (B2B)?

O regime muda quando o destinatário é uma pessoa coletiva. Para empresas, a Lei n.º 41/2004 prevê opt-out em vez de opt-in: o artigo 13.º-A, n.º 2, permite comunicações de marketing a pessoas coletivas "até que os assinantes recusem futuras comunicações" — e o artigo 13.º-B, n.º 2, cria uma lista nacional, mantida pela Direção-Geral do Consumidor, de pessoas coletivas que se opõem a receber estas comunicações, que as entidades que enviam marketing "são obrigadas a consultar" (n.º 5).

Dois cuidados antes de festejar: primeiro, um endereço nominativo de um trabalhador (nome.apelido@empresa.pt) identifica uma pessoa singular, por isso a prudência manda tratá-lo com a regra do consentimento e não com a exceção B2B. Segundo, o opt-out dispensa o consentimento prévio, não dispensa o resto — identificação clara do remetente e forma fácil de recusar em cada mensagem continuam obrigatórias.

Onde vivem os dados: UE vs EUA

O RGPD não proíbe ferramentas americanas, mas as transferências de dados para fora da UE precisam de base legal — hoje, tipicamente, o Data Privacy Framework e as cláusulas contratuais-tipo (SCCs). O problema: mecanismos anteriores (como o Privacy Shield) já foram invalidados, e nada garante que não volte a acontecer. Ferramentas com dados na UE eliminam essa dependência.

O panorama à data de agosto de 2026, com o que cada página oficial diz: