A legislação de email marketing em Portugal assenta em dois textos que se aplicam em simultâneo: o artigo 13.º-A da Lei n.º 41/2004, que diz quando se pode enviar publicidade por correio eletrónico, e o RGPD, que rege o tratamento do endereço como dado pessoal. A CNPD fiscaliza ambos. Este guia reúne as regras em vigor, as coimas previstas nos textos e uma lista para validar antes de cada envio. Os factos jurídicos vêm da Lei n.º 41/2004 consolidada, da Lei n.º 58/2019, da Lei n.º 16/2022 e da Diretriz 1/2022 da CNPD.
Que leis se aplicam ao email marketing em Portugal?
Aplicam-se em simultâneo a Lei n.º 41/2004 e o RGPD, com a Lei n.º 58/2019 a fixar as coimas nacionais, e a primeira prevalece sobre o RGPD na prospeção por email. A própria CNPD explica, na Diretriz 1/2022 aprovada a 25 de janeiro de 2022, que a Lei da Privacidade nas Comunicações Eletrónicas é lei especial e que o RGPD cobre tudo o que ela não regula.
- Lei n.º 41/2004: transpõe a Diretiva 2002/58/CE. Os artigos 13.º-A e 13.º-B, sobre comunicações não solicitadas, foram aditados pela Lei n.º 46/2012 e mantêm-se em vigor. A Lei n.º 16/2022 alterou depois só os artigos 7.º e 10.º.
- RGPD: regula o consentimento, a informação ao titular e a oposição.
- Lei n.º 58/2019: fixa as contraordenações nacionais por violação do RGPD.
O texto consolidado da lei está no Diário da República. O detalhe do consentimento, da prova e da anulação da subscrição fica no guia sobre RGPD e email marketing.
Particulares ou empresas: que regime vale para cada destinatário?
Para pessoas singulares, o envio exige consentimento prévio e expresso. Para pessoas coletivas, a lei permite o envio até que o destinatário recuse ou se inscreva na lista nacional da Direção-Geral do Consumidor (DGC). O quadro resume os dois regimes.
| Destinatário | Base legal | O que é preciso | Exceção |
|---|---|---|---|
| Pessoa singular (B2C) | Artigo 13.º-A, n.º 1 | Consentimento prévio e expresso, livre, específico e informado | Cliente, produtos ou serviços análogos, com recusa gratuita na recolha e em cada mensagem (n.º 3) |
| Pessoa coletiva (B2B) | Artigo 13.º-A, n.º 2 e artigo 13.º-B | Envio permitido até à recusa; consulta obrigatória da lista da DGC, atualizada todos os meses | Empresa inscrita na lista: nenhum envio |
| Endereço nominal de um profissional | RGPD, artigos 13.º e 21.º | Informação na recolha e oposição simples e gratuita | A Diretriz 1/2022 exclui o regime das pessoas coletivas (nota 2) e trata o endereço de email como dado pessoal (ponto 44) |
B2C: o consentimento tem de ser prévio e expresso
O artigo 13.º-A, n.º 1, sujeita ao consentimento prévio e expresso do assinante pessoa singular ou do utilizador o envio de correio eletrónico para marketing direto, SMS e MMS incluídos. A CNPD exige que esse consentimento seja livre, específico, informado e inequívoco, na aceção do artigo 4.º, ponto 11, do RGPD.
Uma caixa pré-assinalada não vale: o Tribunal de Justiça decidiu-o no acórdão Planet49 (C-673/17, de 1 de outubro de 2019), que a Diretriz 1/2022 cita. O consentimento também não pode ser condição de acesso a um site ou a um passatempo.
A exceção do n.º 3 cobre o cliente que já comprou: o fornecedor pode usar o contacto recolhido na venda para promover produtos ou serviços análogos. Para produtos diferentes, volta o consentimento. O duplo opt-in é a forma mais simples de provar quando e como o consentimento foi dado.
B2B: a lista da DGC e os endereços nominais
Quando o assinante é uma pessoa coletiva, o artigo 13.º-A, n.º 2, permite as comunicações até à recusa. O artigo 13.º-B manda a DGC manter uma lista nacional de empresas que se opõem e obriga quem faz marketing direto a consultá-la. A inscrição é gratuita.
A Diretriz 1/2022 exclui expressamente este regime do seu âmbito. Fica por isso uma zona cinzenta: o endereço nome.apelido@empresa.pt identifica uma pessoa singular, logo é um dado pessoal (ponto 44 da Diretriz). Informar na recolha e respeitar qualquer oposição é o mínimo defensável. Para montar uma base B2B limpa, veja como criar uma lista de emails B2B sem comprar contactos.
O que tem de constar em cada email enviado?
Cada mensagem tem de identificar quem a envia e indicar um meio de contacto válido para pedir o fim dos envios. O artigo 13.º-A, n.º 4, proíbe esconder a identidade de quem envia. Também proíbe enviar sem esse contacto.
Para o cliente abrangido pela exceção, a recusa tem de ser possível de forma fácil e gratuita em cada mensagem. A lei obriga também o responsável a manter uma lista atualizada de quem consentiu e dos clientes que não se opuseram (artigo 13.º-B, n.º 1). O ónus da prova do consentimento recai sobre o responsável pelo tratamento (ponto 85 da Diretriz).
Os pixels de rastreio exigem consentimento?
A lei portuguesa não menciona pixels de abertura. O artigo 5.º da Lei n.º 41/2004 exige consentimento prévio para armazenar ou aceder a informação no equipamento terminal do utilizador, e a CNIL entende em França que o pixel é um acesso desse tipo. Admite apenas duas exceções técnicas: transmitir a comunicação e prestar um serviço pedido expressamente.
A CNPD não publicou orientação específica sobre pixels em nenhuma das cinco diretrizes disponíveis no seu portal a 28 de outubro de 2026. O endereço de email é um dado pessoal (ponto 44 da Diretriz), pelo que, em leitura corrente, associar-lhe a abertura de uma mensagem cai no RGPD.
Em França, a CNIL adotou a 12 de março de 2026 a deliberação n.º 2026-042 e publicou a recomendação sobre pixels de rastreio nos emails a 14 de abril de 2026. A recomendação distingue os pixels que exigem consentimento dos isentos, entre eles a medição individual da entregabilidade de emails transacionais. É direito francês, sem força em Portugal, mas indica o caminho que uma autoridade europeia seguiu.
Quanto custa o incumprimento? As coimas, artigo a artigo
Enviar marketing direto sem consentimento pode custar entre 5 000 € e 5 000 000 € a uma pessoa coletiva e entre 1 500 € e 25 000 € a uma pessoa singular. Estes valores constam do artigo 14.º, n.º 1, alíneas f) a i), da Lei n.º 41/2004, e a CNPD é a autoridade competente (artigo 15.º, n.º 1). Se houver apenas negligência, os limites descem para metade (artigo 14.º, n.º 5).
| Infração | Pessoa singular | Pessoa coletiva | Texto |
|---|---|---|---|
| Envio sem consentimento ou ignorando a recusa | 1 500 € a 25 000 € | 5 000 € a 5 000 000 € | Lei n.º 41/2004, art. 14.º, n.º 1, f) |
| Exceção do cliente aplicada sem direito de recusa | 1 500 € a 25 000 € | 5 000 € a 5 000 000 € | Idem, alínea g) |
| Email sem identidade ou sem contacto válido | 1 500 € a 25 000 € | 5 000 € a 5 000 000 € | Idem, alínea h) |
| Ausência da lista de consentimentos | 1 500 € a 25 000 € | 5 000 € a 5 000 000 € | Idem, alínea i) |
| Incumprimento das regras de consentimento do RGPD | 1 000 € a 500 000 € | Grande empresa: 5 000 € a 20 000 000 € ou 4 % do volume de negócios mundial. PME: 2 000 € a 2 000 000 € ou 4 % | Lei n.º 58/2019, art. 37.º |
O teto do RGPD é de 20 milhões de euros ou 4 % do volume de negócios anual mundial, consoante o valor mais elevado (artigo 83.º, n.º 5). Os valores são limites máximos: a coima concreta depende de cada caso. Em 2021 a CNPD recebeu 2 075 participações sobre comunicações não solicitadas, contra 528 entre maio e dezembro de 2019 (Diretriz 1/2022, nota 1).
Que erros expõem uma campanha a uma queixa?
Estes são erros que a CNPD aponta como ilícitos na Diretriz 1/2022, publicada depois de uma subida das participações (528 entre maio e dezembro de 2019, 1 256 em 2020, 2 075 em 2021).
- Usar uma base comprada: mesmo com a transferência lícita, esses dados só servem para correio postal e não para email (pontos 62 e 63).
- Recolher consentimentos genéricos para “parceiros” ou “patrocinadores” num passatempo: não são válidos, porque a entidade tem de ser identificada (pontos 68 e 69).
- Atribuir a culpa ao fornecedor de envio: o subcontratante age por conta do responsável, que não se desresponsabiliza (pontos 48 a 50).
- Não guardar a prova: sem registo do que o titular leu e aceitou, o consentimento não se demonstra (ponto 80).
Evite também as listas de emails compradas ou alugadas.
Lista de verificação antes de cada envio
- Cada destinatário particular tem um consentimento registado, com data e texto aceite.
- O formulário não tem caixas pré-assinaladas nem agrupa vários fins numa só aceitação.
- Os clientes contactados ao abrigo da exceção compraram produtos análogos e puderam recusar na recolha.
- A lista da DGC foi consultada para os destinatários que são empresas.
- A mensagem identifica o remetente e inclui um contacto válido para cancelar.
- O tratamento consta do registo de atividades (artigo 30.º do RGPD) e o contrato com a ferramenta de envio está assinado.
- Se a ferramenta estiver fora da União Europeia, as regras de transferência do capítulo V do RGPD foram verificadas.
A checklist antes de enviar um email completa o lado técnico deste controlo.
Cumprir a lei basta para chegar à caixa de entrada?
Não: a lei define a quem se pode escrever, e a entregabilidade depende de os endereços existirem. Uma lista consentida pode conter endereços errados, e os hard bounces prejudicam a reputação do remetente. Uma ferramenta de verificação de listas, como a do CaptainVerify, identifica os endereços inválidos antes do envio, sem substituir o consentimento. A relação entre validação e caixa de entrada está explicada à parte.
