Prospeção B2B por e-mail: o que é permitido em França, na Alemanha, em Espanha e em Itália

Em França, um e-mail de prospeção pode ser enviado a um profissional sem o seu consentimento prévio, desde que diga respeito à sua atividade, o informe e lhe permita opor-se de forma simples. A Alemanha e a Itália exigem, pelo contrário, um consentimento prévio, mesmo entre empresas; a Espanha também, segundo a sua autoridade de proteção de dados, ainda que esta leitura seja discutida para os endereços genéricos. Fora da UE, o Reino Unido e os Estados Unidos são mais abertos, o Canadá mais restritivo.

Este artigo constitui informação geral, atualizada a 13 de outubro de 2026. Não constitui aconselhamento jurídico.

Que lei se aplica quando se escreve a uma empresa estrangeira?

O reflexo «envio a partir de França, logo aplica-se o direito francês» é arriscado. A diretiva europeia sobre o comércio eletrónico exclui a admissibilidade das comunicações comerciais não solicitadas por e-mail do princípio do país de origem (diretiva 2000/31/CE, anexo). A hipótese prudente consiste, portanto, em aplicar a regra do país do destinatário. O Canadá prevê-o expressamente: a sua lei aplica-se às mensagens consultadas a partir do Canadá (Mystrika).

Há duas noções recorrentes. O regime de oposição (opt-out) autoriza o envio enquanto o destinatário não se tiver oposto. O regime de consentimento (opt-in) exige um acordo prévio, livre e verificável.

O que permite a França?

A CNIL admite a prospeção B2B com base no interesse legítimo quando a mensagem está relacionada com a profissão do destinatário, este foi informado e pode opor-se; cada mensagem deve identificar o remetente e oferecer um meio simples de recusar os envios seguintes. Os endereços genéricos de pessoas coletivas, como contact@ ou info@, não estão sujeitos a estas regras (CNIL, 10 de junho de 2026).

Quando os endereços provêm de fontes públicas, a origem deve ser indicada, o mais tardar, na primeira comunicação (CNIL, 30 de abril de 2020). A própria recolha é controlada: a 5 de dezembro de 2024, a CNIL aplicou uma coima de 240 000 € à KASPR, que recolhia os contactos de membros do LinkedIn que tinham restringido a sua visibilidade e os conservava durante cinco anos, numa base de cerca de 160 milhões de contactos (CNIL, 19 de dezembro de 2024). Para a recolha automatizada de páginas web, a CNIL pede, nomeadamente, que se respeitem os ficheiros robots.txt e os CAPTCHA (CNIL, 19 de junho de 2025).

Porque é que a Alemanha é a mais restritiva?

O artigo 7.º da lei contra a concorrência desleal (UWG) qualifica como publicidade importuna toda a publicidade por e-mail enviada sem consentimento prévio, expresso e demonstrável, tanto entre empresas como para consumidores; um consentimento presumido não basta (IHK). A única exceção diz respeito aos clientes existentes, para produtos semelhantes (IT-Recht Kanzlei).

Dois canais continuam abertos. A chamada telefónica B2B é admitida com base em consentimento presumido se existir uma ligação concreta com a atividade da empresa contactada, não bastando a simples presença numa lista telefónica. O correio postal nominativo é, em princípio, autorizado (IHK). O principal risco é civil: concorrentes ou associações podem intentar ações inibitórias (IT-Recht Kanzlei).

O que dizem a Itália e a Espanha?

Em Itália, o artigo 130.º do código da privacidade exige o consentimento prévio do destinatário. O Garante precisou que esta obrigação se aplica qualquer que seja a sua natureza jurídica, pessoa singular ou coletiva (Garante, 7 de maio de 2015): um endereço info@ não constitui exceção.

Em Espanha, o artigo 21.º da LSSI proíbe os e-mails comerciais que não tenham sido solicitados ou expressamente autorizados pelos seus destinatários, salvo relação contratual anterior relativa a produtos semelhantes (BOE). A AEPD aplica esta regra às pessoas coletivas (AEPD, E/01415/2017). Um guia de um editor de software publicado em maio de 2026 defende o contrário para os endereços genéricos ou associados à função (Overloop): esta posição não vincula a autoridade. Um envio não conforme é uma infração leve, até 30 000 €; um envio massivo, ou mais de três mensagens ao mesmo destinatário num ano, passa a ser uma infração grave, de 30 001 a 150 000 € (LSSI, art. 38.º e 39.º).

E fora da UE: Reino Unido, Estados Unidos, Canadá?

No Reino Unido, o regulamento PECR permite escrever sem consentimento aos «assinantes pessoas coletivas»: sociedades, sociedades de pessoas escocesas, LLP e administrações públicas. Os empresários em nome individual e certas sociedades de pessoas são tratados como particulares. O remetente deve identificar-se e fornecer um endereço válido para cancelar a subscrição (ICO). Desde a lei Data (Use and Access) Act 2025, cuja maior parte entrou em vigor a 5 de fevereiro de 2026, as coimas PECR podem atingir 17,5 M£ ou 4 % do volume de negócios mundial (Harper James, março de 2026).

Nos Estados Unidos, a lei CAN-SPAM não prevê qualquer exceção B2B. Impõe um cabeçalho exato, a identificação como publicidade, um endereço postal válido e o tratamento dos cancelamentos de subscrição no prazo de 10 dias úteis, com uma penalização que pode atingir 53 088 $ por e-mail não conforme (FTC).

No Canadá, a lei anti-spam (CASL) exige um consentimento expresso ou tácito. O consentimento tácito pode resultar de um endereço publicado de forma bem visível, sem menção de recusa, se a mensagem disser respeito à função do destinatário (CRTC). As sanções administrativas vão até 10 milhões de dólares canadianos por infração para uma empresa (Mystrika).

Que regime se aplica, país a país?

Que regras de entregabilidade se somam ao direito?

Um envio legal pode permanecer invisível. A Google pede a todos os remetentes que mantenham uma taxa de spam inferior a 0,3 % no Postmaster Tools e recomenda ficar abaixo de 0,1 %. Acima de 5000 mensagens por dia para o Gmail, exige também SPF, DKIM, DMARC e um cancelamento da subscrição com um clique (Google).

Desde 5 de maio de 2025, a Microsoft impõe aos domínios que enviam mais de 5000 mensagens por dia para Outlook.com, Hotmail e Live a publicação de SPF, DKIM e DMARC; as mensagens não conformes vão primeiro para a pasta de lixo eletrónico (Microsoft, 2 de abril de 2025). Uma mensagem direcionada, curta e útil limita as denúncias, que afetam todo o domínio de envio.

Como constituir uma base de prospeção sem risco?

Os dados de empresa (denominação social, atividade, sítio web) não são dados pessoais; os nomes e os endereços nominativos são. Três regras reduzem o risco:

1. Escolher fontes reutilizáveis. As condições de utilização de um sítio podem proibir a extração, mesmo de uma base de dados não protegida (TJUE, 15 de janeiro de 2015). O LinkedIn proíbe as ferramentas automatizadas de extração e de envio (LinkedIn).
2. Informar e limitar a conservação. Em Espanha, a AEPD aplicou em 2025 uma coima de 1,8 M€ à Informa D&B por ter tratado, sem base legal nem informação, os dados de 1,6 milhões de empresários em nome individual retirados de um recenseamento público (PPC Land).
3. Manter uma lista de oposição comum a todas as campanhas, aplicada em cada país.

A França continua a ser o único dos quatro países onde o envio B2B sem consentimento prévio é claramente admitido. Na Alemanha, em Itália e em Espanha, o primeiro contacto passa por outros canais: feiras, correio postal, conteúdos que levam o potencial cliente a dar o seu acordo.