Nome.apelido@, n.apelido@, apelido.nome@: quantas variantes tenta uma ferramenta de prospeção antes de um endereço responder? A pessoa visada sabe alguma coisa sobre isso? Do lado do remetente, o sintoma é conhecido: campanhas que vão parar ao spam sem que ninguém perceba porquê, com uma taxa de hard bounce a subir nos contactos “encontrados” em vez de recolhidos.
O consentimento prévio não é exigido à partida. Na sua ficha de 16 de outubro de 2026, a CNIL admite o interesse legítimo para reconstituir um endereço profissional, caso a caso: a pessoa deve poder esperá-lo e o endereço só é conservado se houver um primeiro contacto efetivo num prazo razoável. Uma oposição fecha a porta definitivamente. Sem estas condições, resta o consentimento ou a abstenção.
A reconstituição de endereços segundo a CNIL
Dois endereços públicos de uma mesma empresa seguem o esquema “nome.apelido@empresa.com”; o terceiro colaborador da equipa não publicou nenhum. Aplicar o esquema ao nome dele é a reconstituição de endereços. A CNIL descreve-a como a dedução de um endereço a partir do nome de uma pessoa e do seu empregador.
A ficha, intitulada “Reconstitution d’adresses électroniques professionnelles : dans quel cadre est-ce autorisé ?”, cita dois usos: uma base de prospeção ou um contacto pontual em relações institucionais. Um nome associado a um empregador identifica alguém, pelo que o RGPD (aplicável desde 25 de maio de 2018) se aplica.
Porque é que o consentimento não se impõe à partida?
A base legal mais natural é o interesse legítimo, artigo 6.º, n.º 1, alínea f), do regulamento (UE) 2016/679, o RGPD. A reconstituição serve um tratamento principal, muitas vezes a prospeção B2B, e pode apoiar-se na mesma base. A CNIL fixa um limite numa fórmula:
“nem automática nem sistemática” (CNIL, ficha de 16 de outubro de 2026)
A análise pesa o interesse real da organização e a ingerência nos direitos da pessoa, e acrescenta depois a questão do que esta pode razoavelmente esperar. O raciocínio faz-se caso a caso e a organização deve poder justificá-lo.
A ficha oferece um método de análise, sem tabela de valores. A análise da prospeção B2B do Growth Hacker trata as chamadas a frio e os emails adivinhados vistos do lado da prospeção; este artigo fica-se pela reconstituição em si.
Quando a pessoa não espera ser contactada desta forma
Um formulário de contacto colocado no lugar de um endereço. Um perfil cujas definições de privacidade foram reforçadas.
A CNIL vê nisso sinais de recusa. Uma pessoa sem presença online identificável, ou que protegeu os seus contactos e remete para um formulário, não pode razoavelmente esperar que o seu endereço seja reconstituído. À partida, fica fora do perímetro. Estes sinais verificam-se antes de produzir o endereço, ou seja, antes de qualquer envio.
Resta uma zona cinzenta: um perfil a meio preenchido, um endereço publicado em 2019 e nunca atualizado. Nenhum limiar mecânico resolve estes casos.
Conservação, informação e oposição
O endereço só se conserva se houver um “primeiro contacto efetivo” num prazo razoável. A ficha de 16 de outubro de 2026 não quantifica esse prazo. A organização que prospeta define, portanto, a sua própria duração de eliminação para os endereços que ficaram sem resposta e documenta-a.
Quanto à informação, o endereço não foi obtido junto da pessoa: segundo o RGPD, o artigo 14.º, n.º 3, alínea b), obriga a dizer-lhe de onde vem o dado e como se opor, o mais tardar na primeira comunicação. O primeiro email da sequência é o último momento possível; o artigo 14.º, n.º 3, alínea a), fixa de qualquer forma um limite de um mês. Uma frase como “o seu endereço foi deduzido do formato dos endereços da sua empresa” basta para nomear a origem, desde que traga junto o meio de recusar.
A oposição, direito aberto pelo artigo 21.º do RGPD para a prospeção, exclui a pessoa de qualquer reconstituição futura, sem que tenha de se justificar. Apagar o endereço não chega, já que o mesmo esquema o voltaria a gerar na importação seguinte. Uma ficha irmã da CNIL, “Reconstitution d’adresses électroniques professionnelles : quels sont vos droits ?”, dirige-se às pessoas visadas, e os dois textos leem-se em conjunto. Na prática, a garantia exige uma lista de oposição permanente, reduzida ao estritamente necessário para reconhecer a pessoa. As administrações públicas dispõem de uma base própria, a “missão de interesse público” (artigo 6.º, n.º 1, alínea e), com as mesmas garantias.
A mensagem enviada a seguir
O envio rege-se pelas regras de prospeção: para um profissional, o artigo L.34-5 do Código dos correios e das comunicações eletrónicas enquadra o envio e a CNIL não exige consentimento prévio se a mensagem tiver relação com a sua função, desde que seja informado e lhe seja deixada uma forma simples de cancelar a subscrição. O nosso artigo sobre o RGPD em email marketing detalha a prova e o cancelamento da subscrição.
Em Portugal, o artigo 13.º-A da Lei n.º 41/2004 exige consentimento prévio para o marketing eletrónico dirigido a pessoas singulares e aplica às pessoas coletivas um regime de oposição, a conjugar com a lista nacional do artigo 13.º-B. Um endereço nominal de um trabalhador pode ser um dado pessoal, pelo que o contacto profissional não dispensa o RGPD. As diretrizes da CNPD de janeiro de 2022 incidem sobretudo nas pessoas singulares. A ficha da CNIL não altera a regra portuguesa.
Uma menção de origem cabe numa linha, por exemplo “O seu endereço foi deduzido do formato dos endereços públicos da sua empresa; responda STOP para deixar de ser contactado”. Se a sequência mede também as aberturas por pixel, a recomendação da CNIL sobre os pixels de rastreamento de abertura impõe as suas próprias condições, distintas das da reconstituição.
O caso do LinkedIn Sales Navigator
O Sales Navigator mostra o nome de uma pessoa e o seu cargo numa empresa, sem endereço de email. A ferramenta, por si só, não reconstitui nada. Já as extensões ligadas a ele extraem os perfis e adivinham o endereço.
Enfrentam dois obstáculos. O contrato de utilização do LinkedIn proíbe a extração automatizada. E os critérios da ficha aplicam-se a cada pessoa extraída. A CNIL sancionou a empresa Kaspr a 5 de dezembro de 2024 (240.000 euros, decisão tornada pública a 19 de dezembro) por ter recolhido os contactos de membros do LinkedIn que tinham restringido a sua visibilidade. Segundo a CNIL, esta recolha excedia o que os membros de uma rede profissional podem razoavelmente esperar, a mesma lógica de expectativa razoável da ficha. O enquadramento jurídico do scraping de dados sociais é tratado num artigo à parte.
A responsabilidade é partilhada. O editor de uma extensão ou de um serviço de pesquisa de endereços decide por si próprio recolher e conservar os contactos das pessoas visadas. Na decisão Kaspr, a CNIL trata-o como responsável por esse ficheiro e retém contra ele a ausência de base legal válida, uma informação tardia das pessoas e uma conservação dos dados considerada excessiva. A equipa comercial que usa a ferramenta continua responsável pelos seus próprios envios: justifica o seu interesse legítimo e informa a pessoa logo na primeira mensagem. O contrato assinado com a ferramenta não desloca nenhuma destas obrigações. A decisão Kaspr é a única sanção da CNIL citada aqui e visa o editor da ferramenta. O risco contratual vem de outro lado: o LinkedIn processou judicialmente prestadores de extração. A Proxycurl teve de apagar os dados obtidos e deixar de lhes aceder por injunção permanente; a ProAPIs foi acusada em outubro de 2025 de ter criado milhões de contas falsas para aspirar perfis.
As ferramentas que reconstituem ou extraem endereços não são todas iguais. A tabela retoma o que cada editor diz sobre o seu método nas suas próprias páginas (consultadas a 21 de outubro de 2026), exceto para a Kaspr, a Proxycurl e a ProAPIs, documentadas acima. Nenhuma é ilegal por natureza: a fragilidade depende da origem do dado e do uso que lhe dá quem envia. A ficha da CNIL não cita nenhuma destas ferramentas.
| Ferramenta | Como o endereço é obtido | Ponto de fragilidade |
|---|---|---|
| Hunter | Deduz o endereço a partir do formato da empresa e de endereços encontrados na web pública; afirma não utilizar nenhuma base de terceiros. | Declara uma lista de supressão: um endereço retirado não volta nem por recolha nem por dedução. O utilizador continua responsável pelo seu uso. |
| Dropcontact | Gera e testa os endereços com os seus próprios algoritmos, sem base de terceiros segundo o editor. | Argumento de conformidade do editor, não verificado. Os critérios da ficha aplicam-se a quem a utiliza. |
| lemlist | Procura o endereço em cascata junto de vários fornecedores. A sua extensão Chrome envia para uma campanha os perfis de uma pesquisa do Sales Navigator. | A origem do dado perde-se na cascata. A extensão toca no contrato do LinkedIn. |
| Snov.io | Extensão Chrome sobre os perfis e as pesquisas do Sales Navigator, dedução pelo formato do endereço e depois verificação, base anunciada com 500 milhões de endereços. | Extração a partir do LinkedIn: contrato do LinkedIn e critério de expectativa razoável. |
| Evaboot | Exporta com um clique as pesquisas do Sales Navigator e depois procura o endereço. Diz não utilizar base de dados e limitar as exportações por dia. | Extração automatizada do Sales Navigator, o caso visado pelo contrato do LinkedIn. |
| PhantomBuster | Automatiza ações e extrações no LinkedIn com a sessão do utilizador. | O seu próprio blogue fala de zona cinzenta e deixa a responsabilidade do uso ao utilizador. |
| Waalaxy | Cascata de fornecedores (BetterContact, FullEnrich e depois Dropcontact segundo o seu artigo de janeiro de 2026). | É preciso poder dizer à pessoa de onde vem o endereço (art. 14.º), o que a cascata complica. |
| Lusha | Comunidade de utilizadores que partilham as suas assinaturas de email, diretórios licenciados, fontes públicas. Diz não extrair as redes sociais. | Apoia-se no interesse legítimo, com formulário de remoção e lista de supressão. |
| Apollo | Rede de contribuidores, exploração da web pública e fornecedores terceiros. | Apoia-se no interesse legítimo. Os dados já exportados permanecem, segundo o editor, sob a responsabilidade do cliente. |
| Kaspr | Extensão que mostra os contactos dos perfis do LinkedIn. | Coima de 240.000 euros da CNIL (5 de dezembro de 2024) pela recolha de perfis com visibilidade restrita. |
| Proxycurl, ProAPIs | Serviços de extração de perfis do LinkedIn. | Processados pelo LinkedIn no plano contratual (Proxycurl em janeiro de 2025, ProAPIs em outubro de 2025). |
Na prática, alguns perfis públicos visados, contactados rapidamente com uma menção de origem, continuam defensáveis face à ficha de 2026, a apreciar caso a caso. Listas inteiras extraídas e depois enviadas em sequência automática são frágeis: nada ali verifica os sinais de recusa, e a conservação sem primeiro contacto torna-se a norma.
A verificação de endereços resolve a questão?
Não. Um teste SMTP não envia nenhum email. O endereço, porém, já foi produzido a partir de dados pessoais, pelo que a base legal e a informação da pessoa continuam por estabelecer antes. A verificação limita os rebotes e não diz nada sobre a conformidade.
No plano técnico, um endereço adivinhado num domínio que não tem essa caixa volta com o erro 550 5.1.1 (destinatário desconhecido, código definido pela RFC 3463), notificado por um relatório de não entrega: é um hard bounce. As tentativas multiplicadas por variantes produzem-nos em cadeia. O Gmail e o Outlook, como os outros fornecedores de correio eletrónico, integram estes rebotes na sender reputation do domínio remetente, e os efeitos leem-se depois no Google Postmaster Tools. A objeção habitual, “não podemos simplesmente filtrar depois?”, não colhe: o rebote já foi contabilizado quando o constatamos.
Outra armadilha são os domínios catch-all, que aceitam qualquer mensagem dirigida ao domínio. Um endereço adivinhado parece aí válido no teste, sem garantia de que um humano o leia. O funcionamento dos catch-all explica porque é que estes endereços ficam à parte numa list hygiene séria. Email Finder vs Email Verifier detalha a diferença entre encontrar um endereço e verificá-lo.
Antes da próxima campanha sobre uma base reconstituída, passe uma amostra de 200 endereços pela verificação e compare a sua taxa de hard bounce com a dos endereços recolhidos junto das pessoas.
Um endereço adivinhado continua a ser o nome de alguém.
