Cold email é legal pelo GDPR?

O GDPR pode permiti-lo com base no legítimo interesse, mas a regra de envio decide antes. No Reino Unido, a PECR permite e-mails não solicitados para assinantes corporativos sem consentimento e exige consentimento ou soft opt-in para pessoas físicas e empresários individuais. Na UE, as regras para destinatários empresariais variam por país.

Posso enviar e-mail para clientes sem consentimento?

Com o soft opt-in, sim, se você obteve o endereço numa venda ou consulta, divulga seus próprios produtos semelhantes e a pessoa pôde recusar naquele momento e em todo e-mail. Divulgar produtos sem relação exige consentimento.

Posso usar uma lista de e-mails comprada pelo GDPR?

Só quando o consentimento que cada pessoa deu citou a sua organização e você consegue ver o texto e a data. Um consentimento genérico para «parceiros» não cobre você, e para pessoas físicas a PECR e o ePrivacy então não permitem o envio.

Uma caixa pré-marcada é consentimento válido?

Não. O consentimento do GDPR precisa ser um ato afirmativo claro, e o considerando 32 diz que silêncio, caixas pré-marcadas ou inatividade não contam. Você também precisa conseguir demonstrar cada consentimento (artigo 7).

O GDPR se aplica a endereços de e-mail corporativos?

Sim, quando o endereço identifica uma pessoa, como jane.doe@company.com. Um endereço genérico como info@ muitas vezes não identifica ninguém. A regra de assinante corporativo da PECR trata do consentimento para envio, não do GDPR.

Isto é aconselhamento jurídico?

Não, isto não é aconselhamento jurídico. É uma leitura das orientações publicadas pelo ICO e pelo EDPB, com link em cada resposta. Para uma lista grande ou fora do comum, busque orientação para os países para onde você envia.

Verificador de consentimento GDPR: você pode enviar e-mail marketing para este contato?

Em resumo: O teste em duas camadas do e-mail marketing no Reino Unido e na UE: a regra de envio (PECR ou ePrivacy) para o tipo de destinatário e a origem do endereço, depois a base legal do GDPR, depois as obrigações de cada e-mail. Limite: É uma leitura das orientações publicadas pelas autoridades, não é aconselhamento jurídico, e ele não vê seus formulários nem seus registros.

Um verificador de consentimento GDPR aplica os dois testes que o e-mail marketing no Reino Unido e na UE precisa passar. A regra de envio (a PECR no Reino Unido, a lei de ePrivacy na UE) depende de quem é o destinatário e de onde veio o endereço; o GDPR então exige uma base legal, consentimento ou legítimo interesse. Escolha região, destinatário e origem para ver as duas respostas com as orientações da autoridade.

Where the recipient is

Who they are

Where the address came from

Runs in your browser as you choose. A reading of regulator guidance, not legal advice.

1. May you send it? (PECR)

Allowed. PECR allows it without consent: a company is a corporate subscriber.

The ICO says you can send unsolicited marketing email to corporate subscribers (limited companies, LLPs, Scottish partnerships) without consent or a soft opt-in. You must still say who you are and give a working opt-out. Check the business is really a company: a sole trader's or ordinary partnership's address is an individual subscriber.

ICO: How do we comply with the PECR email marketing rules?

2. May you process the address? (UK GDPR)

Lawful basis: legitimate interests (Article 6(1)(f)), with a written test.

Write down the purpose, necessity and balancing tests before you send: what you offer and why it's relevant to them, the minimum data you keep, and why they'd reasonably expect the email. Recital 47 says direct marketing 'may' be a legitimate interest, not that it always is.

ICO: What is the legitimate interests basis?

3. What every email needs

Yours to confirm: Say who you are in every email
Don't disguise or hide the sender's identity, whatever the recipient type.
ICO: How do we comply with the PECR email marketing rules?
Yours to confirm: Give a working opt-out in every email, and honour it for good
An objection to direct marketing is absolute: once they say stop, their data can't be used for marketing again. Keep them on a suppression list so a re-import can't bring them back.
GDPR Article 21: Right to object
Check: Tell them where you got their address, by the first email
You didn't collect it from them, so Article 14 applies: who you are, why you have it, the source and their rights, at the latest in your first message. A short line or a link in the first email does it.
GDPR Article 14: Information where data were not obtained from the person
Yours to confirm: Write the legitimate interests assessment before the send
PECR doesn't need consent for the company, but jane.doe@ still identifies Jane, so UK GDPR applies to her address.
ICO: What is the legitimate interests basis?

Next step

Allowed to send isn't the same as safe to send.

Consent doesn't keep an address alive. People leave jobs and close inboxes, and every bounce counts against the sender. Drop the list here to see which addresses still exist before the campaign goes out.

Drop your list hereChoose a file or drag it here. CSV or TXT. Read in your browser, nothing is uploaded yet.

No list right now? This tool stays free, no account, so bookmark it for next time. Ctrl+D (⌘+D on a Mac)

Ready to verify now? Verify the list

Roda no seu navegador: nada do que você colar ou enviar chega aos nossos servidores. A ferramenta é a mesma da versão em inglês: os botões e os motivos de cada resultado aparecem em inglês. Atualizado em 6 de novembro de 2026 · Equipe SimpleVerifier

Como saber se preciso de consentimento para enviar um e-mail marketing?

Escolha onde está o destinatário (Reino Unido, ou um país da UE ou do EEE) e quem ele é: um consumidor, um empresário individual, uma pessoa nomeada numa empresa ou um endereço genérico.
Escolha de onde veio o endereço: seu formulário de inscrição, uma venda ou consulta, uma lista comprada, um site ou um evento.
Marque as condições verdadeiras, como um opt-in registrado ou uma opção de recusa oferecida na venda. A resposta é atualizada conforme você marca.
Leia a resposta sobre o envio, a base legal e as obrigações de cada e-mail, cada uma com link para a página da autoridade.

É preciso consentimento para enviar e-mails de marketing pelo GDPR?

Nem sempre pelo próprio GDPR, mas muitas vezes pelas regras de envio que ficam ao lado dele. O GDPR permite tratar um endereço com base no consentimento ou no legítimo interesse; o considerando 47 diz que o marketing direto «pode» ser um legítimo interesse. Se você pode ou não enviar o e-mail é decidido pela PECR no Reino Unido e, na UE, pela lei de cada país que transpõe o artigo 13 da Diretiva ePrivacy; para pessoas físicas, essas regras pedem consentimento ou o soft opt-in.

A ordem importa. As diretrizes do EDPB sobre legítimo interesse dizem que, quando a lei nacional não permite a mensagem, não há legítimo interesse em que se apoiar. Por isso o verificador responde primeiro à pergunta do envio e só depois à da base legal. O raciocínio completo, com citações, está em GDPR e cold email B2B (em inglês). Isto não é aconselhamento jurídico: para uma lista grande ou fora do comum, busque orientação para os países para onde você envia.

Posso enviar e-mail para uma empresa no Reino Unido sem consentimento?

Sim, se ela for um assinante corporativo (corporate subscriber). O ICO diz que você pode enviar e-mail marketing não solicitado para sociedades limitadas (limited companies), LLPs e sociedades escocesas sem consentimento nem soft opt-in, desde que se identifique e ofereça uma forma de sair. Empresários individuais (sole traders) e sociedades comuns são assinantes individuais e têm a mesma proteção dos consumidores.

Um endereço corporativo nominal como [email protected] continua sendo dado pessoal, então o GDPR do Reino Unido (UK GDPR) se aplica mesmo quando a PECR não pede consentimento: escreva a avaliação de legítimo interesse e diga à Jane de onde veio o endereço dela até o seu primeiro e-mail (artigo 14).

O que é o soft opt-in?

A exceção que permite enviar e-mail para clientes existentes sem um novo consentimento: você obteve o endereço numa venda ou na negociação de uma venda, divulga seus próprios produtos ou serviços semelhantes, e a pessoa teve uma forma simples de recusar naquele momento e em toda mensagem desde então. Se faltar qualquer uma dessas condições, a exceção não se aplica.

Ela não se estende a listas compradas. Um consentimento obtido por terceiros só vale para você se citou a sua organização; as orientações do ICO sobre listas de marketing mandam o comprador conferir como, quando e por quem o consentimento foi dado.

Reino Unido: quem precisa consentir com e-mail marketing?

Uma pessoa nomeada numa sociedade limitada: pela PECR, você pode enviar sem consentimento; pelo UK GDPR, vale o legítimo interesse com avaliação por escrito. Um endereço genérico (info@) numa empresa: você pode enviar, normalmente com pouco ou nenhum dado pessoal. Um empresário individual ou uma sociedade comum: consentimento ou soft opt-in; a questão do GDPR só aparece se a PECR permitir o envio. Um consumidor: consentimento ou soft opt-in, e no GDPR consentimento ou legítimo interesse com base num soft opt-in. Isso segue as orientações da PECR do ICO; as regras da UE para destinatários empresariais variam por país, por isso o verificador diz «check the country» nesses casos.

Perguntas frequentes

Cold email é legal pelo GDPR?: O GDPR pode permiti-lo com base no legítimo interesse, mas a regra de envio decide antes. No Reino Unido, a PECR permite e-mails não solicitados para assinantes corporativos sem consentimento e exige consentimento ou soft opt-in para pessoas físicas e empresários individuais. Na UE, as regras para destinatários empresariais variam por país.
Posso enviar e-mail para clientes sem consentimento?: Com o soft opt-in, sim, se você obteve o endereço numa venda ou consulta, divulga seus próprios produtos semelhantes e a pessoa pôde recusar naquele momento e em todo e-mail. Divulgar produtos sem relação exige consentimento.
Posso usar uma lista de e-mails comprada pelo GDPR?: Só quando o consentimento que cada pessoa deu citou a sua organização e você consegue ver o texto e a data. Um consentimento genérico para «parceiros» não cobre você, e para pessoas físicas a PECR e o ePrivacy então não permitem o envio.
Uma caixa pré-marcada é consentimento válido?: Não. O consentimento do GDPR precisa ser um ato afirmativo claro, e o considerando 32 diz que silêncio, caixas pré-marcadas ou inatividade não contam. Você também precisa conseguir demonstrar cada consentimento (artigo 7).
O GDPR se aplica a endereços de e-mail corporativos?: Sim, quando o endereço identifica uma pessoa, como [email protected]. Um endereço genérico como info@ muitas vezes não identifica ninguém. A regra de assinante corporativo da PECR trata do consentimento para envio, não do GDPR.
Isto é aconselhamento jurídico?: Não, isto não é aconselhamento jurídico. É uma leitura das orientações publicadas pelo ICO e pelo EDPB, com link em cada resposta. Para uma lista grande ou fora do comum, busque orientação para os países para onde você envia.

Tem uma lista? Os primeiros 100 endereços são grátis.

Entre com o Google, cole os endereços ou envie um CSV e cada um passa pela checagem SMTP real da caixa postal, com o resultado de cada linha para baixar. 100 verificações grátis, sem cartão.

Domínios catch-all e servidores que não respondem saem como arriscado, nunca como válido.

Ao continuar, você aceita os Termos de Uso e a Política de Privacidade. Terms · Privacy