LGPD na base de leads: o checklist da incorporadora

• A ANPD virou agência reguladora pela Lei 15.352, de 25 de fevereiro de 2026, e reescreve até 26 de outubro o regulamento que define como fiscaliza e como pune.
• Direitos dos titulares é o primeiro dos quatro temas prioritários de fiscalização do biênio 2026-2027, e o mapa cita o uso secundário de dados para publicidade direcionada. É a descrição literal do que uma incorporadora faz com a base de leads de um lançamento.
• O passivo não está no contrato de compra e venda, que o jurídico revisa. Está na planilha de leads que circula entre agência, CRM, portal e imobiliária, sem dono, sem prazo de descarte e sem registro de quem acessou.

O regulador mudou de categoria, e ninguém no setor comentou

Em 25 de fevereiro de 2026 a Lei 15.352 transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, no mesmo grupo das agências reguladoras federais. A própria agência cita a nova lei entre os motivos da revisão em curso.

Essa revisão é o ponto que merece atenção de quem lança. A consulta pública está aberta até 26 de outubro de 2026 e trata da Resolução CD/ANPD nº 1/2021, o regulamento que define como a agência instaura fiscalização, conduz o processo sancionador e dosa a pena (ANPD, 09/09/2026). Nenhuma entidade do setor imobiliário aparece no debate público sobre a minuta.

E a dosimetria saiu do simbólico. Em 25 de agosto de 2026 a ANPD multou a ByteDance, do TikTok, em R$ 153,7 milhões, por cinco violações aos artigos 6º, incisos VIII e X, e 7º da LGPD. Vale ler quais artigos são esses antes de respirar aliviado por não ser uma rede social. O artigo 7º trata de base legal. O artigo 6º, incisos VIII e X, trata de prestação de contas e responsabilização. Em português de operação: a empresa não provou com qual fundamento tratava os dados nem demonstrou controle sobre o que fazia com eles. É o buraco de uma base de leads de lançamento, descrito por uma decisão de agosto.

Onde o passivo mora de verdade

Peça ao seu time o caminho completo de um lead que entrou ontem num formulário de empreendimento. A resposta honesta, na maioria das incorporadoras de alto padrão, é uma lista parecida com esta: grava no site, dispara para a automação da agência, entra no CRM, segue por integração ou planilha para a imobiliária que vende o produto, vai para a central de atendimento, e alguma versão dele sobe no gerenciador de anúncios como público para espelhar em campanha nova.

São seis destinos e, com frequência, cinco contratos. A LGPD não pergunta quantos fornecedores você tem. Ela pergunta quem é o controlador, quem é o operador, qual a base legal de cada tratamento e por quanto tempo o dado fica. Numa operação de lançamento, essas respostas raramente existem por escrito, e falta a pior delas: quando o lead pede exclusão, quem é que apaga em seis lugares ao mesmo tempo. O artigo 19, inciso II, dá até 15 dias para a declaração completa ao titular, menos que o tempo médio para a agência e a imobiliária responderem o mesmo e-mail.

A tese: o consentimento do formulário é a sua base legal mais frágil

O mercado resolveu a LGPD com um checkbox. Quase todo formulário de lançamento traz a frase sobre aceitar receber comunicações, e o setor acredita que isso encerra o assunto. Encerra o assunto errado.

Consentimento é a base legal mais instável das dez que a lei oferece: ele se revoga, e a revogação é direito do titular que não depende de justificativa. No dia em que um lead revoga, todo tratamento apoiado naquele consentimento perde fundamento, inclusive o que já virou público semelhante numa plataforma de anúncios, de onde não existe botão para extrair uma pessoa de volta. Pior: consentimento colhido em checkbox genérico, sem finalidade específica e destacada, tende a ser inválido, e base legal inválida é a infração do artigo 7º que custou a multa de agosto.

A saída é assumir o tratamento pelo que ele é. Quem preencheu um formulário tem expectativa legítima de ser contatado sobre aquele empreendimento, e esse contato se sustenta em legítimo interesse, documentado num teste de balanceamento, com canal de oposição visível. O que não se sustenta é o resto: repassar o lead para três imobiliárias, subir a base num gerenciador de anúncios de outro produto, manter a pessoa em cadência por dois anos sem reconfirmar. Nosso playbook de nutrição de 24 meses parte de um ciclo de decisão longo, e é por ser longo que o prazo de retenção precisa estar escrito.

O checklist, em sete verificações

Nenhuma é jurídica. Todas são de marketing e de operação comercial.

1. Mapeie o caminho do lead em uma página

Formulário, automação, CRM, imobiliária, central de atendimento, anúncios. Para cada destino: qual empresa, qual contrato cobre, quem tem login. Se o inventário não cabe numa página, o problema não é o documento.

2. Declare a base legal de cada finalidade, separadamente

Contato sobre o empreendimento em que o lead se inscreveu é uma finalidade. Oferta de outro é a segunda. Repasse para parceiro, a terceira. Público semelhante, a quarta. Uma base legal cada, por escrito, com teste de balanceamento onde entrar legítimo interesse.

3. Defina prazo de descarte por fase do funil

Lead que nunca respondeu em 18 meses virou passivo guardado. Escolha o prazo, escreva e programe a execução no sistema. Prazo sem rotina automática é intenção.

4. Monte o caminho da exclusão antes do primeiro pedido

Teste com um registro real: um pedido de eliminação entra, e em quantos dias o dado sai dos seis destinos. Sem responsável nomeado que faça isso em 15 dias, o prazo legal não é cumprível.

5. Revise a cláusula de dados do contrato da agência e da imobiliária

Quem é controlador, quem é operador, o que o operador pode fazer com a base ao fim do contrato e em quanto tempo devolve ou elimina. Agência que sai do lançamento levando a base é o caso mais comum de perda de controle, e costuma ser tratado como briga comercial em vez de incidente. O CRM escolhido decide boa parte disso: base que vive no sistema da incorporadora não vai embora com o fornecedor.

6. Feche o acesso por pessoa, e deixe rastro

Corretor que exporta a planilha inteira para o computador de casa é transferência não autorizada esperando acontecer. Acesso por função, exportação restrita e registro de quem baixou o quê são controles de sistema, não de treinamento.

7. Escreva o plano de incidente em meia página

Quem avisa quem, em quanto tempo, e quem assina a comunicação à ANPD e aos titulares. Precisa existir antes, porque depois do vazamento ninguém escreve procedimento.

Por que fazer isso agora, e não no ano que vem

Duas razões de calendário e uma de conta. A consulta pública fecha em 26 de outubro, e o texto que sair dali define o rito das fiscalizações seguintes. O mapa de temas prioritários da ANPD, de 24 de dezembro de 2025, pôs direitos dos titulares como primeiro dos quatro eixos do biênio e citou o monitoramento de uso secundário de dados para publicidade direcionada. E a multa simples chega a 2% do faturamento do último exercício, excluídos tributos, limitada a R$ 50 milhões por infração (artigo 52, inciso II).

Para uma incorporadora de porte médio, 2% do faturamento de um exercício bom custa mais que a mídia de um lançamento inteiro. O argumento de que a fiscalização nunca olhou para o setor imobiliário tem prazo de validade, e ele encurtou quando o regulador ganhou estrutura de agência.

Perguntas frequentes

Preciso de consentimento para falar com um lead que se inscreveu no meu empreendimento

Para falar sobre aquele empreendimento, o caminho mais sólido é legítimo interesse com teste de balanceamento documentado e canal de oposição visível, porque a pessoa se inscreveu esperando esse contato. Consentimento vira necessário quando a finalidade sai do que ela esperava, como oferta de outro produto ou repasse para parceiros.

Posso subir minha base de leads como público semelhante no gerenciador de anúncios

É finalidade distinta da que trouxe o lead, e precisa de base legal própria, informada ao titular antes. O mapa da ANPD de dezembro de 2025 cita o uso secundário de dados para publicidade direcionada entre as atividades de monitoramento do biênio. Há ainda o problema prático: dado que entrou na plataforma de anúncios não volta, e a revogação fica sem resposta.

De quem é a culpa quando a imobiliária parceira usa mal a base

Depende de quem decidiu a finalidade, e por isso controlador e operador precisam estar definidos no contrato antes do lançamento. Sem isso escrito, a incorporadora tende a responder junto, porque originou a coleta e se beneficia dela. A multa de agosto saiu em parte por falha de prestação de contas, nome técnico de não provar quem controlava o quê.