As principais leis de e-mail marketing divergem em uma grande questão: é preciso ter permissão antes de enviar, ou basta oferecer às pessoas uma forma de interromper o envio depois? Este guia apresenta aos remetentes um mapa em linguagem simples da CAN-SPAM dos EUA, da CASL do Canadá, da PECR do Reino Unido com o UK GDPR, da ePrivacy e do GDPR da UE, da Spam Act da Austrália e uma nota de alto nível sobre a Índia, e depois os transforma em uma política prática única que você pode aplicar a todas as listas.
Informação geral, não aconselhamento jurídico. Escrevemos esta visão geral com base em pontos gerais conhecidos e amplamente publicados, para que os remetentes entendam o panorama. As leis mudam, os detalhes dependem dos seus fatos e os reguladores as interpretam. Sempre confira o texto atual da lei e as orientações dos reguladores indicadas no final, ou consulte um advogado qualificado, antes de confiar em qualquer ponto aqui.
Opt-in ou opt-out: o modelo por trás de cada lei
Todos os regimes tentam proteger as pessoas de mensagens comerciais indesejadas, mas seguem dois caminhos diferentes. Um modelo de opt-out permite que você envie e-mail comercial sem permissão prévia, desde que siga as regras de conteúdo e pare quando alguém pedir. Um modelo de opt-in exige permissão antes da primeira mensagem de marketing, e o remetente precisa conseguir demonstrá-la.
| Região e lei | Modelo em resumo | Quem protege principalmente |
|---|---|---|
| Estados Unidos: CAN-SPAM Act | Opt-out: não exige consentimento prévio, mas impõe regras de conteúdo rígidas e o dever de respeitar os opt-outs | Qualquer destinatário de e-mail comercial, inclusive endereços corporativos |
| Canadá: CASL | Opt-in: exige consentimento expresso ou implícito, com exceções definidas | Destinatários no Canadá, com regras que também alcançam mensagens enviadas a partir do Canadá |
| Reino Unido: PECR com UK GDPR | Opt-in para pessoas físicas, com um soft opt-in limitado para clientes existentes; mais flexível para assinantes corporativos | Primeiro as pessoas físicas; as empresas em menor grau |
| UE: Diretiva ePrivacy com GDPR | Opt-in para pessoas físicas, com um soft opt-in limitado semelhante, implementado por meio da legislação nacional | Pessoas físicas; as regras nacionais sobre endereços corporativos variam |
| Austrália: Spam Act 2003 | Opt-in: consentimento (expresso ou inferido), além de deveres de identificação e de descadastramento | Destinatários de mensagens eletrônicas comerciais na Austrália |
| Índia | Não há aqui uma lei única sobre spam de e-mail a citar; regras de proteção de dados e de telecomunicações se aplicam a canais diferentes | Verifique as regras atuais para o seu canal |
Como as leis de opt-in são mais rigorosas, a abordagem segura para uma lista mista é agir como se o opt-in valesse em todos os lugares. Essa escolha também corresponde ao que os provedores de caixa de entrada esperam; nosso guia de requisitos para remetentes em massa explica o lado técnico dessa expectativa, e o hábito de obter consentimento também ajuda a sua taxa de reclamações.
Estados Unidos: a CAN-SPAM Act
A CAN-SPAM abrange o e-mail comercial, ou seja, mensagens cuja finalidade principal é anunciar ou promover um produto ou serviço. Ela não proíbe o envio sem consentimento, mas define regras que a FTC explica em um guia de conformidade para empresas. Os pontos de que a maioria dos remetentes precisa são estes.
- Nenhuma informação de cabeçalho falsa ou enganosa. O nome no campo From, o endereço de resposta e os dados de roteamento devem identificar o remetente real.
- Nenhum assunto enganoso. O assunto deve refletir o conteúdo da mensagem.
- Informe que se trata de um anúncio quando a mensagem for publicitária, de forma clara e visível.
- Inclua um endereço postal físico válido da sua empresa na mensagem.
- Ofereça uma forma clara de opt-out e mantenha-a funcionando por pelo menos trinta dias após o envio. Atenda aos pedidos em até dez dias úteis. Você não pode cobrar uma taxa nem exigir mais do que um endereço de e-mail, uma resposta simples ou a visita a uma página web.
- Você continua responsável quando outra empresa envia em seu nome, portanto os contratos com agências e plataformas devem dizer quem faz o quê.
Dois detalhes costumam causar tropeços. Primeiro, a lei se aplica também ao e-mail entre empresas (B2B), então um endereço corporativo não isenta você. Segundo, mensagens transacionais ou de relacionamento, como a confirmação de um pedido, recebem tratamento mais leve, mas uma mensagem que mistura promoção com conteúdo de serviço pode ser julgada pela sua finalidade geral. Manter os dois fluxos separados evita esse problema.
Canadá: a CASL
A Canada Anti-Spam Legislation é construída sobre o consentimento. Uma mensagem eletrônica comercial geralmente precisa do consentimento do destinatário, e cabe ao remetente provar que ele existe. A CASL também abrange mais do que e-mail, já que alcança mensagens de texto e algumas mensagens de redes sociais, e pode se aplicar a mensagens enviadas para ou a partir de computadores no Canadá.
- Consentimento expresso é um acordo ativo para uma finalidade declarada. Um pedido de consentimento deve dizer quem está pedindo, o que você vai enviar e como retirar o consentimento, e não deve ficar escondido em termos gerais nem vir pré-marcado.
- Consentimento implícito se aplica apenas nas situações listadas em lei, por exemplo certas relações comerciais existentes ou um destinatário que publicou publicamente um endereço comercial sem aviso de não envio de spam e que recebe uma mensagem relevante. Muitas dessas situações expiram após um período determinado, então acompanhe as datas.
- Identificação significa nomear o remetente e quem quer que seja em nome de quem você envia, com dados de contato como um endereço de correspondência e outro meio de contato.
- O descadastramento deve ser claro, gratuito e efetivo em até dez dias úteis. O mecanismo deve permanecer válido por sessenta dias após a mensagem.
A lição prática da CASL diz respeito à comprovação. Uma lista que você não consegue explicar, como uma importação antiga sem campo de origem, é um risco. Mantenha o registro de consentimento descrito mais adiante neste guia e prefira o consentimento expresso ao implícito sempre que puder obtê-lo.
Reino Unido: PECR com UK GDPR
No Reino Unido, duas camadas funcionam em conjunto. As Privacy and Electronic Communications Regulations (PECR) definem as regras de marketing eletrônico, e o UK GDPR rege os dados pessoais que você usa para isso, incluindo base legal, transparência e direitos individuais. O regulador é o ICO, que publica orientações sobre marketing direto.
- Assinantes pessoas físicas, como consumidores, empresários individuais e algumas sociedades de pessoas: em geral, você precisa de consentimento para enviar e-mail de marketing.
- O soft opt-in é uma exceção limitada para clientes existentes. Em linhas gerais, exige que você tenha coletado o endereço durante uma venda ou negociação, que divulgue apenas produtos ou serviços semelhantes seus e que tenha oferecido um opt-out no momento da coleta do endereço e o ofereça em todas as mensagens.
- Assinantes corporativos, como sociedades limitadas, recebem tratamento mais flexível pela PECR, embora você ainda deva se identificar e fornecer um endereço de contato válido e um opt-out. O UK GDPR ainda pode se aplicar a pessoas identificadas nessas empresas.
- Identificação: nunca disfarce nem oculte quem está enviando, e informe um endereço válido para o qual os destinatários possam enviar um pedido de opt-out.
As regras de proteção de dados e privacidade do Reino Unido foram atualizadas nos últimos anos, então consulte as páginas do ICO para saber a posição atual antes de confiar neste resumo.
União Europeia: ePrivacy e GDPR
As regras da UE também funcionam em duas partes. A Diretiva ePrivacy define o marco para o marketing eletrônico não solicitado, incluindo a exigência de consentimento e uma exceção limitada para clientes existentes, e cada Estado-membro a implementa em sua legislação nacional. O GDPR então se aplica aos dados pessoais envolvidos, com seus requisitos de base legal, informação clara, registros e respeito aos direitos individuais.
Como os Estados-membros implementam a Diretiva por conta própria, detalhes como o tratamento de endereços corporativos podem variar de país para país. Para os remetentes, a regra de trabalho é semelhante à do Reino Unido: consentimento para marketing dirigido a pessoas físicas, um soft opt-in restrito para clientes existentes, identificação e um opt-out fácil em todas as mensagens. Explicamos em profundidade a comprovação do consentimento, a retirada e os registros em nosso guia sobre GDPR e e-mail, por isso não repetimos esse detalhe aqui.
Austrália: a Spam Act 2003
A Spam Act se aplica a mensagens eletrônicas comerciais, incluindo e-mail e SMS, e o regulador é a ACMA. Ela se apoia em três ideias fáceis de lembrar.
- Consentimento: você precisa do consentimento do destinatário, que pode ser expresso ou inferido das circunstâncias de maneiras limitadas, como uma relação existente ou a publicação visível de um endereço de trabalho junto com uma mensagem relevante.
- Identificação: a mensagem deve identificar claramente o remetente e incluir dados de contato precisos que permaneçam válidos por um período razoável após o envio.
- Descadastramento: toda mensagem precisa de um recurso de descadastramento funcional, e o pedido deve ser atendido em até cinco dias úteis.
Assim como no Canadá, não há isenção ampla para destinatários corporativos, então uma lista B2B ainda precisa de uma base de consentimento.
Índia: mantenha em alto nível e confira as regras atuais
Mantemos esta seção deliberadamente curta, porque os requisitos indianos são organizados em camadas por canal e continuam em evolução. Para e-mail, a Digital Personal Data Protection Act, 2023 e suas regras moldam como os dados pessoais podem ser coletados e usados, com consentimento e aviso como ideias centrais. Para marketing por SMS e voz, aplica-se a regulamentação de telecomunicações da TRAI, incluindo o registro de remetentes e de templates de mensagem por meio dos sistemas DLT das operadoras e regras de preferência para mensagens comerciais.
Antes de enviar na Índia: Não presuma que uma prática de e-mail se aplique ao SMS. Leia o texto e as regras atuais da DPDP Act, os regulamentos atuais da TRAI sobre comunicações comerciais e os requisitos de DLT da sua operadora, e consulte um consultor qualificado sobre qualquer ponto que não esteja claro.
Como as regras se comparam nos pontos que definem o seu rodapé
| Ponto | CAN-SPAM (EUA) | CASL (Canadá) | PECR e UK GDPR (Reino Unido) | ePrivacy e GDPR (UE) | Spam Act (Austrália) |
|---|---|---|---|---|---|
| Permissão antes do primeiro envio | Não exigida | Exigida (expressa ou implícita) | Exigida para pessoas físicas; soft opt-in para clientes | Exigida para pessoas físicas; soft opt-in na maioria dos Estados | Exigida (expressa ou inferida) |
| Identificação do remetente | Cabeçalhos precisos e identidade do remetente | Nome e dados de contato, incluindo endereço de correspondência | Não ocultar a identidade; endereço de contato válido | Não ocultar a identidade; o detalhe nacional varia | Identidade clara e dados de contato precisos |
| Endereço postal na mensagem | Exigido | Exigido como parte dos dados de contato | Endereço válido para pedidos de opt-out | Varia conforme a legislação nacional | Dados de contato precisos |
| Prazo de descadastramento | Em até 10 dias úteis | Em até 10 dias úteis | Sem demora injustificada | Sem demora injustificada | Em até 5 dias úteis |
| Endereços corporativos | Abrangidos | Abrangidos | Mais flexível para assinantes corporativos | Varia conforme o Estado-membro | Abrangidos |
Leia a tabela como um piso, não como uma meta. Atender a um descadastramento no dia em que ele chega é fácil para um software e elimina a dúvida sobre qual prazo se aplica. Se você trabalha com cabeçalhos de opt-out com um clique, nosso guia de descadastramento com um clique cobre o lado dos cabeçalhos.
B2B versus B2C: onde a diferença é real
Muitos remetentes esperam que o e-mail B2B seja uma zona cinzenta. O resumo honesto é que as diferenças são reais em alguns pontos e pequenas em outros. Nos EUA, a CAN-SPAM trata destinatários corporativos e consumidores da mesma forma. No Canadá e na Austrália, a lei também é escrita em torno de mensagens comerciais em geral, com exceções de consentimento que você precisa cumprir caso a caso. O Reino Unido e partes da UE são os principais lugares onde os endereços corporativos recebem tratamento mais leve, e mesmo ali os deveres de identificação e de opt-out permanecem, e a lei de proteção de dados pode se aplicar à pessoa por trás de um endereço de trabalho.
- Marque cada contato como pessoal ou corporativo no momento da coleta.
- Não trate uma pessoa identificada em uma empresa como automaticamente fora da lei de privacidade.
- Lembre-se de que empresários individuais e algumas sociedades de pessoas são pessoas físicas para fins do Reino Unido.
- Tenha a relevância em mente: uma mensagem sobre algo sem relação com a função do destinatário é mais difícil de defender em qualquer regime.
Registros, supressão e um registro de consentimento simples
As leis de opt-in colocam o ônus da prova sobre o remetente, e mesmo nos regimes de opt-out você precisa demonstrar que processou uma remoção. Os registros são o que transforma um programa de boa-fé em um programa defensável. Um registro de consentimento deve ser criado quando a pessoa se inscreve e atualizado sempre que o status mudar. Segue um exemplo inventado dos campos que sugerimos manter.
{
"contact": "reader@example.org",
"consent_type": "express",
"consent_date": "2026-03-04T10:21:07Z",
"source": "newsletter signup form on /blog",
"wording_shown": "Send me product news and offers by email",
"country": "CA",
"contact_kind": "personal",
"confirmed_by_link": true,
"status": "subscribed",
"unsubscribed_at": null
}Combine isso com uma lista de supressão permanente, para que as pessoas descadastradas continuem removidas, mesmo que o mesmo endereço apareça em uma importação posterior. Nosso guia da lista de supressão explica como bounces, reclamações e descadastramentos devem fluir para uma única lista, e nosso guia de formulário de inscrição e double opt-in mostra como capturar um consentimento limpo desde o início.
Um rodapé em conformidade, como modelo
O texto exato depende do seu negócio e da orientação do seu advogado, mas os elementos são os mesmos em toda parte: quem você é, onde você está, por que a pessoa recebeu a mensagem e como interrompê-la. Este exemplo inventado mostra o modelo.
You are receiving this email because you subscribed on our website on 4 March 2026.
Example Studio Ltd, 25 Sample Street, Sampletown, AB1 2CD, Exampleland
Unsubscribe: https://mail.example.org/unsubscribe/abc123
Manage preferences: https://mail.example.org/preferences/abc123Exemplo prático: uma lista, quatro países
Considere uma empresa de treinamento online inventada com 12.000 contatos. Por país, a lista tem 6.000 nos EUA, 2.500 no Canadá, 2.000 no Reino Unido e 1.500 na Austrália. Cerca de 300 contatos vieram da leitura de crachás em uma feira, 800 de uma antiga lista comprada de origem desconhecida e o restante de inscrições no site. A equipe quer enviar uma campanha promocional.
Sob uma visão apenas dos EUA, a lista inteira parece apta a receber e-mails se o rodapé estiver correto. Sob a visão combinada, o quadro muda. Os 800 contatos de origem desconhecida não têm registro de consentimento, o que é um problema no Canadá, no Reino Unido e na Austrália e um risco de entregabilidade em todos os lugares. Os 300 crachás lidos podem ter uma base limitada, dependendo do que os participantes foram informados. Por isso, a equipe toma estas decisões.
| Segmento | Contatos | Decisão |
|---|---|---|
| Inscrições no site com consentimento registrado | 10.900 | Enviar; verificar se o registro de consentimento tem origem, data e texto |
| Leituras de crachá na feira | 300 | Enviar uma mensagem de confirmação pedindo consentimento; enviar promoções somente após um sim |
| Antiga lista comprada de origem desconhecida | 800 | Não enviar; excluir ou arquivar após revisão jurídica |
| Dos 10.900: endereços corporativos do Reino Unido | marcados dentro da contagem | Ainda enviar identificação e opt-out; ter em mente as regras de dados pessoais |
O resultado: 10.900 contatos recebem a primeira campanha, 300 recebem um pedido de consentimento e 800 são removidos do envio. O rodapé traz o nome da empresa, o endereço postal, o motivo do recebimento do e-mail e um descadastramento funcional. Um descadastramento recebido no primeiro dia é adicionado à lista de supressão em minutos, de modo que todos os prazos são cumpridos com larga folga. Nada disso exigiu um e-mail diferente para cada país, apenas uma política mais rigorosa aplicada de forma consistente.
Um checklist de conformidade para remetentes
- Os países dos destinatários são conhecidos e contados, e o padrão aplicável mais rigoroso é adotado como base.
- Todo contato de marketing tem um registro de consentimento com data, origem, texto e identificador.
- Nenhuma lista comprada, alugada ou obtida por scraping recebe e-mails sem uma base legal clara e documentada.
- O nome no campo From, o assunto e os cabeçalhos são verdadeiros e não enganosos.
- Toda mensagem de marketing inclui o nome da sua empresa, um endereço postal e dados de contato.
- Toda mensagem de marketing tem um link de descadastramento fácil e um cabeçalho list-unsubscribe.
- Os descadastramentos entram em vigor de forma automática e imediata, e as entradas de supressão são mantidas permanentemente.
- Mensagens de marketing e transacionais são separadas, e as promoções não ficam escondidas em e-mails de serviço.
- Endereços corporativos e pessoais são marcados, e as regras específicas de cada país são aplicadas a cada um.
- Os contratos com agências, parceiros e plataformas dizem quem cuida do consentimento, dos descadastramentos e dos registros.
- Uma pessoa designada é dona da política e a revisa pelo menos a cada trimestre e sempre que você entrar em um novo país.
- Qualquer ponto incerto vai a um advogado qualificado antes do envio.
Uma observação sobre a MigoSMTP: nossa plataforma ajuda você a enviar e gerenciar e-mails, mas a conformidade é responsabilidade do remetente. Consulte sua conta MigoSMTP ou a documentação da API para saber os detalhes exatos sobre tratamento de descadastramentos, supressão e política de uso aceitável antes de planejar o seu programa.
Precisa de ajuda para planejar um programa de envio em conformidade? Conte-nos para quais países você envia e como suas listas são coletadas, e nós ajudaremos a planejar o lado técnico, como tratamento de descadastramentos, supressão e separação de fluxos.
Leituras complementares e fontes
Estas são fontes primárias públicas e páginas de reguladores. Use-as para confirmar a lei vigente, pois este guia é um resumo e não aconselhamento jurídico.
- FTC: CAN-SPAM Act, um guia de conformidade para empresas
- CRTC: informações sobre a legislação antispam do Canadá
- Justice Laws Website: texto da legislação antispam do Canadá
- ICO: marketing direto e privacidade e comunicações eletrônicas
- EUR-Lex: Diretiva 2002/58/CE (Diretiva ePrivacy)
- EUR-Lex: Regulamento (UE) 2016/679 (GDPR)
- ACMA: como evitar o envio de spam (orientações sobre a Spam Act 2003)
- TRAI: Autoridade Reguladora de Telecomunicações da Índia (regras de comunicações comerciais)
- MeitY: Ministério de Eletrônica e Tecnologia da Informação (lei e regras de proteção de dados)
Perguntas frequentes
Qual lei de e-mail se aplica a mim se eu enviar para vários países?
Em geral, podem valer as leis do local onde o destinatário está, e não apenas as do país em que você está sediado. Se a sua lista inclui pessoas no Canadá, no Reino Unido, na UE ou na Austrália, é de se esperar que as regras desses locais sejam relevantes. A maioria dos remetentes resolve isso aplicando uma única base rigorosa a toda a lista: consentimento antes do e-mail de marketing e um descadastramento fácil.
A CAN-SPAM exige consentimento opt-in?
Não. A CAN-SPAM, nos Estados Unidos, costuma ser descrita como um regime de opt-out: você pode enviar e-mail comercial sem permissão prévia, desde que siga as regras da lei, como cabeçalhos verdadeiros, endereço postal e um opt-out funcional, e pare de enviar quando for solicitado. Isso não torna uma boa ideia usar uma lista comprada ou obtida por scraping, porque os provedores de caixa de entrada e as leis de outros países julgam você de outra forma.
Qual é a diferença entre consentimento expresso e implícito na CASL?
Consentimento expresso significa que a pessoa concordou de forma ativa, por exemplo ao marcar uma caixa desmarcada ou ao enviar um formulário que diz com clareza o que ela vai receber. O consentimento implícito abrange situações limitadas definidas em lei, como certas relações comerciais existentes, e pode expirar. O consentimento expresso é mais fácil de comprovar e não expira da mesma forma, por isso recomendamos coletá-lo.
Posso enviar e-mail para endereços corporativos sem consentimento?
Depende do país. Nos EUA, a CAN-SPAM também se aplica a e-mails comerciais enviados a endereços corporativos. No Reino Unido, a PECR costuma ser mais flexível com assinantes corporativos do que com pessoas físicas, embora os deveres de identificação e de opt-out continuem valendo, e empresários individuais e algumas sociedades de pessoas sejam tratados como pessoas físicas. O Canadá e a Austrália não preveem uma isenção geral para empresas. Verifique a regra de cada país.
Com que rapidez devo atender a um pedido de descadastramento?
A melhor resposta é imediatamente e de forma automática. Os prazos escritos variam: a CAN-SPAM e a CASL falam em dez dias úteis, e a Spam Act australiana fala em cinco dias úteis. A legislação do Reino Unido e da UE espera que você aja sem demora injustificada. Confira o texto vigente e não use o prazo máximo como meta.
Preciso de um endereço físico em todo e-mail de marketing?
A CAN-SPAM exige um endereço postal físico válido do remetente, e a CASL exige endereço de correspondência e dados de contato. A Austrália exige identificação precisa do remetente e informações de contato. Colocar o endereço postal registrado da sua empresa no rodapé de todos os e-mails de marketing atende ao requisito comum. Uma caixa postal registrada conforme as regras adequadas pode ser aceita em alguns regimes, então confirme esse ponto.
O double opt-in é exigido por lei?
Normalmente não como regra legal, embora algumas normas nacionais e reguladores na Europa o tratem como forte evidência de consentimento. Mesmo assim, recomendamos o double opt-in para a maioria das listas, porque ele confirma que o endereço pertence ao assinante e gera um registro de consentimento limpo. Veja nosso guia de formulários de inscrição para a configuração prática.
Quais registros devo manter?
Guarde a data e a hora do consentimento, a origem (como a URL do formulário ou o evento), o texto exato exibido, o endereço ou identificador e as alterações posteriores, como um descadastramento. Mantenha as entradas de supressão de forma permanente, para que uma pessoa removida não receba e-mails por engano. Armazene os registros com segurança e exclua o que não for mais necessário, de acordo com a sua política de retenção.
As regras são as mesmas para SMS na Índia?
Não. O marketing por SMS na Índia é regido pela regulamentação de telecomunicações, que inclui o registro de remetentes e templates por meio do sistema das operadoras conhecido como DLT, e é separado das regras de e-mail. Não presuma que uma prática de e-mail se aplique ao SMS. Consulte os requisitos atuais da TRAI e a Digital Personal Data Protection Act antes de enviar, e procure um consultor qualificado para qualquer ponto que não esteja claro.