Newsletter e RGPD em Portugal: consentimento, clientes, B2B e dupla confirmação

O essencial

• Pessoas singulares: o envio de comunicações não solicitadas de marketing direto por correio eletrónico exige consentimento prévio e expresso (art. 13.º-A, n.º 1, da Lei n.º 41/2004).
• Exceção para clientes: pode usar o e-mail obtido de um cliente no contexto de uma venda para promover produtos ou serviços próprios análogos, desde que lhe dê a possibilidade de recusar, de forma gratuita e fácil, no momento da recolha e em cada mensagem (art. 13.º-A, n.º 3).
• Pessoas coletivas: o consentimento prévio não é exigido aos assinantes que sejam pessoas coletivas, que podem recusar e inscrever-se na lista nacional de oposição mantida pela Direção-Geral do Consumidor (art. 13.º-A, n.º 2, e art. 13.º-B, n.º 2).
• Cada mensagem: não pode ocultar a identidade do remetente e tem de indicar um meio de contacto válido para pedir o fim das comunicações (art. 13.º-A, n.º 4).
• Prova: cabe ao responsável demonstrar o consentimento (art. 7.º, n.º 1, do RGPD) e manter uma lista atualizada de quem consentiu e dos clientes que não se opuseram (art. 13.º-B, n.º 1). A dupla confirmação não está prevista na lei, mas é a forma mais segura de fazer essa prova.

Pessoas singulares: consentimento prévio e expresso

O artigo 13.º-A, n.º 1, da Lei n.º 41/2004 sujeita a consentimento prévio e expresso do assinante que seja pessoa singular, ou do utilizador, o envio de comunicações não solicitadas para fins de marketing direto, nomeadamente por correio eletrónico e SMS. A lei define «utilizador» como qualquer pessoa singular que utilize um serviço de comunicações eletrónicas para fins privados ou comerciais.

A CNPD sublinha que o consentimento tem de cumprir o RGPD: uma manifestação de vontade livre, específica, informada e inequívoca, através de um ato positivo claro (art. 4.º, ponto 11, e considerando 32 do RGPD). Não bastam o silêncio ou a inação, nem formulários com a caixa de consentimento já assinalada. E tem de ser obtido antes do envio da primeira comunicação.

O consentimento tem de identificar a entidade que vai enviar as comunicações. Segundo a CNPD, não são válidos “consentimentos” ambíguos recolhidos, por exemplo, a reboque de passatempos ou concursos online para ceder dados a terceiros.

A exceção para clientes

Segundo o artigo 13.º-A, n.º 3, e as conclusões da Diretriz/2022/1 da CNPD, não é necessário consentimento quando se verificam todas estas condições:

• Obteve o endereço eletrónico do próprio cliente, no contexto da venda de um produto ou serviço.
• Usa-o para promover os seus próprios produtos ou serviços, análogos aos que o cliente adquiriu.
• Deu ao cliente, de forma clara e explícita, a possibilidade de recusar essa utilização, gratuitamente e com facilidade, no momento da recolha.
• Repete essa possibilidade em cada mensagem enviada, enquanto o cliente não recusar.

Empresas (B2B): pessoas coletivas

O artigo 13.º-A, n.º 2, afasta a exigência de consentimento para os assinantes que sejam pessoas coletivas: as comunicações são permitidas até que recusem futuras comunicações e se inscrevam na lista nacional de pessoas coletivas que se opõem ao marketing direto, mantida pela Direção-Geral do Consumidor (DGC). Quem envia marketing direto é obrigado a consultar essa lista, atualizada mensalmente (art. 13.º-B, n.os 2 e 5).

Atenção aos endereços nominativos de colaboradores (p. ex. ana.silva@empresa.pt): a pessoa por trás do endereço é uma pessoa singular que usa o serviço para fins comerciais, o que se enquadra na definição de «utilizador». A interpretação prudente é tratar estes endereços como de pessoas singulares e obter consentimento. A Diretriz/2022/1 da CNPD não aborda o regime das pessoas coletivas.

O que cada newsletter deve conter

• A identidade de quem envia, sem a ocultar nem dissimular (art. 13.º-A, n.º 4).
• Um meio de contacto válido para o qual o destinatário possa pedir o fim das comunicações. Na prática, um link de cancelamento em cada edição.
• Para os clientes abrangidos pela exceção, a possibilidade de recusar, gratuitamente e com facilidade, em cada mensagem (art. 13.º-A, n.º 3, alínea b)).
• Retirar o consentimento tem de ser tão fácil como dá-lo (art. 7.º, n.º 3, do RGPD).

Prova do consentimento e dupla confirmação

O ónus da prova de que o consentimento foi prestado, e em que condições, recai sobre o responsável pelo tratamento. A CNPD indica que é preciso provar também o contexto em que foi obtido (por exemplo, a informação dada no momento da recolha) e as condições disponíveis para o revogar. Além disso, o artigo 13.º-B, n.º 1, obriga a manter uma lista atualizada das pessoas que consentiram e dos clientes que não se opuseram.

A dupla confirmação (double opt-in), em que o subscritor confirma a inscrição clicando num link recebido por e-mail, não é imposta pela Lei n.º 41/2004 nem pelo RGPD. Mas é a forma mais fiável de demonstrar que foi o titular do endereço quem pediu para se inscrever. O e-mail de confirmação deve servir apenas para confirmar, sem conteúdo promocional.

Coimas

O envio de comunicações de marketing direto em violação dos n.os 1 e 2 do artigo 13.º-A, bem como a violação das obrigações do n.º 3 e do n.º 4, constitui contraordenação punível com coima de 1500 € a 25 000 € para pessoas singulares e de 5000 € a 5 000 000 € para pessoas coletivas (art. 14.º, n.º 1, alíneas f) a h), da Lei n.º 41/2004). A negligência e a tentativa são puníveis, com os limites reduzidos a metade. Compete à CNPD instaurar e decidir estes processos (art. 15.º, n.º 1).

As violações das condições do consentimento previstas no RGPD podem ainda dar lugar a coimas até 20 milhões de euros ou 4 % do volume de negócios anual a nível mundial, consoante o montante mais elevado (art. 83.º, n.º 5, do RGPD).

Perguntas frequentes