Identificar Empresas que Visitam o Site é Legal? O que a LGPD e a ANPD Dizem

Por que o IP é dado pessoal e o CNPJ não, como o legítimo interesse sustenta a identificação em nível de empresa e o que muda quando a identificação desce ao nível de pessoa.

7 de setembro de 2026 · Por Lindolfo Alves

Identificar Empresas que Visitam o Site é Legal? O que a LGPD e a ANPD Dizem

Identificar as empresas que visitam o seu site é defensável sob a LGPD quando três coisas estão no lugar: uma base legal registrada — normalmente o legítimo interesse do artigo 7º, IX —, transparência real sobre a coleta de dados de navegação e um canal de oposição que funcione. Não é uma prática automaticamente permitida nem automaticamente proibida. A confusão vem de uma premissa errada: a de que, por identificar uma empresa, nenhum dado pessoal estaria envolvido. O endereço IP, matéria-prima da técnica, é tratado como dado pessoal. Abaixo, o que a lei estabelece, o que os guias da ANPD orientam e onde a linha realmente passa.

O ponto de partida: IP é dado pessoal, CNPJ não é

Duas afirmações precisam conviver, e é a tensão entre elas que organiza todo o resto.

O endereço IP é tratado como dado pessoal. O artigo 5º, I, da LGPD define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. É a palavra “identificável” que puxa o IP para dentro do escopo: sozinho ele não nomeia ninguém, mas combinado com outros elementos permite chegar a uma pessoa. Essa é a leitura predominante no Brasil, presente em materiais orientativos de órgãos públicos e na prática de mercado.

Dados da pessoa jurídica não são dados pessoais. Razão social, CNPJ, CNAE, endereço da sede, porte e situação cadastral dizem respeito à empresa, não a uma pessoa natural, e ficam fora do escopo da LGPD.

A consequência prática é menos óbvia do que parece: mesmo que o resultado final seja apenas o nome de uma empresa, o caminho até ele passa por tratamento de dado pessoal. Coletar o IP de um visitante, cruzá-lo com uma base e devolver “acesso vindo da Construtora X” envolve tratar dado pessoal na etapa intermediária. É por isso que a resposta correta nunca é “não se aplica a LGPD, porque é B2B”.

Nível empresa e nível pessoa: a linha que muda tudo

Duas coisas muito diferentes são vendidas com o mesmo nome, e a análise jurídica de cada uma é distinta.

Identificação em nível de empresa

O sistema registra o acesso, identifica que o IP pertence a uma organização e informa qual. O que chega ao time comercial é: uma empresa daquele porte, daquele segmento, visitou tais páginas em tal dia.

Nenhuma pessoa é nomeada. Há tratamento de dado pessoal na etapa do IP, mas o resultado é uma informação corporativa. É o cenário mais defensável — é também o que a maior parte das ferramentas internacionais do gênero faz.

Identificação em nível de pessoa

O sistema associa o acesso a um indivíduo determinado: nome, e-mail, telefone, perfil. O resultado deixa de ser corporativo e passa a ser um dado pessoal completo, muitas vezes obtido de fontes que o titular não relaciona com aquela visita.

Aqui as exigências sobem em todos os eixos: a expectativa razoável do titular é bem mais difícil de sustentar, a origem de cada dado precisa estar documentada, a informação prestada precisa ser mais específica e, em muitos cenários, o consentimento passa a ser o caminho mais seguro do que o legítimo interesse.

A distinção importa na hora de contratar. Uma ferramenta que promete “identificar a pessoa que visitou” está oferecendo algo com exigência de conformidade substancialmente maior do que uma que identifica a empresa — e a responsabilidade pelo tratamento no site é de quem opera o site.

Legítimo interesse: o que a base exige de verdade

O artigo 7º, IX, da LGPD permite o tratamento quando necessário para atender aos interesses legítimos do controlador ou de terceiro, desde que não prevaleçam direitos e liberdades fundamentais do titular. O artigo 10 detalha os contornos dessa hipótese, e a ANPD publicou guia orientativo específico sobre ela.

Legítimo interesse não é uma autorização genérica. Invocá-lo obriga a demonstrar, por escrito, quatro coisas:

Finalidade concreta e legítima. “Melhorar a operação comercial” não é finalidade; “identificar organizações com interesse demonstrado no produto para abordagem comercial qualificada” é.
Necessidade. O tratamento precisa se limitar ao mínimo necessário. Coletar mais dados do que a finalidade exige derruba a base.
Expectativa razoável do titular. A pergunta é se uma pessoa que visita o site de um fornecedor esperaria aquele tratamento. Para dado de navegação em contexto corporativo, a resposta é defensável; para reconstrução do perfil pessoal do visitante, muito menos.
Balanceamento documentado. É o chamado teste de balanceamento, ou LIA: um registro que compara o interesse do controlador com os direitos do titular e conclui, com fundamento, que o primeiro não os suprime. Precisa existir antes do tratamento começar, e precisa poder ser apresentado se a ANPD solicitar.

Somam-se a isso as salvaguardas: transparência sobre o tratamento, prazo de retenção definido, segurança adequada e o direito de oposição em funcionamento.

O que a ANPD orienta sobre cookies

O Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, publicado pela ANPD em outubro de 2022, é a referência mais direta para quem coleta dados de navegação. Ele trata das condições de uso de cookies e das bases legais aplicáveis, e admite legítimo interesse para medição de audiência com dados agregados — que é um cenário diferente da identificação individualizada de visitantes.

A ANPD também publicou guia orientativo sobre legítimo interesse, com a metodologia esperada para a análise dessa base legal.

Dois cuidados na leitura desses documentos:

Guia orientativo não é norma vinculante, mas indica o entendimento da autoridade e é o parâmetro razoável de conformidade.
Medição de audiência agregada e identificação de visitante são coisas distintas. Usar a orientação sobre a primeira para justificar a segunda é um salto que a análise jurídica precisa enfrentar, não presumir.

Ambos os guias estão publicados no site oficial da ANPD, em gov.br/anpd, e a leitura direta é recomendada — inclusive porque documentos como esses são atualizados.

O que colocar na política de privacidade

Transparência é princípio da LGPD e é o que torna a operação verificável. Se o seu site identifica visitantes, a política precisa dizer isso em linguagem clara — não escondido em cláusula genérica sobre “dados de navegação”.

Os itens que costumam ser cobrados:

Que dados são coletados, com o IP nomeado explicitamente, junto de identificadores de dispositivo, páginas visitadas, origem do acesso e horários.
Para qual finalidade — descrita de forma concreta, incluindo o uso comercial, se houver.
Qual a base legal de cada finalidade, dizendo quando é legítimo interesse e quando é consentimento.
Com quem os dados são compartilhados, nomeando a categoria de fornecedores (plataformas de identificação, CRM, ferramentas de automação) e se há transferência internacional.
Por quanto tempo os dados ficam armazenados e qual o critério do prazo.
Como exercer os direitos do titular, incluindo o direito de oposição ao tratamento baseado em legítimo interesse, com canal e prazo de resposta.
Quem é o encarregado (DPO) e como contatá-lo.

Junto disso, o aviso de cookies precisa ser coerente com o que a política afirma. Banner que diz “usamos cookies para melhorar sua experiência” enquanto a operação identifica visitantes para prospecção é uma inconsistência que enfraquece toda a defesa.

Opt-out: o canal que precisa funcionar

Quando o tratamento se apoia em legítimo interesse, o titular tem direito de se opor a ele. O artigo 18 lista os direitos de confirmação, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento.

Na prática, isso significa três obrigações operacionais:

Um canal publicado e acessível, normalmente o contato do encarregado, com resposta em prazo razoável.
Capacidade técnica de interromper a identificação daquele visitante — não apenas registrar o pedido numa planilha.
Registro do atendimento, porque a demonstração de conformidade é do controlador.

Um canal que existe na política e não funciona na prática é pior do que não ter: documenta a promessa e evidencia o descumprimento.

Checklist antes de ligar a ferramenta

O que costuma separar uma operação defensável de uma exposta:

O que este artigo não afirma

Vale ser explícito sobre os limites.

Não se afirma aqui que identificar visitantes é “100% legal”, porque essa não é uma pergunta que se responda no abstrato: a licitude depende do nível de identificação, da finalidade, da origem dos dados, das salvaguardas adotadas e da qualidade do registro que sustenta tudo isso.

O que se afirma é mais modesto e mais útil: a identificação em nível de empresa é defensável quando há base legal documentada, transparência real e direito de oposição em funcionamento — e fica progressivamente mais difícil de sustentar conforme desce ao nível da pessoa, sem que essas condições subam junto.

A avaliação de um caso concreto é trabalho de advogado ou encarregado, com acesso à operação real. Este texto serve para chegar a essa conversa com as perguntas certas.

Fontes

Lei nº 13.709/2018 (LGPD), em especial os artigos 5º, 6º, 7º, 9º, 10 e 18
ANPD — Guia Orientativo sobre Cookies e Proteção de Dados Pessoais (outubro de 2022)
ANPD — Guia Orientativo sobre Legítimo Interesse
Publicações oficiais disponíveis em gov.br/anpd

Para aprofundar

Perguntas frequentes

Identificar empresas que visitam meu site fere a LGPD?

Não necessariamente, mas também não é automaticamente permitido. A identificação em nível de empresa — saber que um acesso partiu de determinada pessoa jurídica — é defensável quando há base legal registrada, aviso na política de privacidade, informação sobre cookies e um canal de oposição funcionando. O que não se sustenta é tratar o assunto como se nenhum dado pessoal estivesse envolvido: o endereço IP, que é a matéria-prima da identificação, é tratado como dado pessoal na leitura predominante da LGPD.

O endereço IP é considerado dado pessoal?

Na leitura predominante no Brasil, sim. O artigo 5º, I, da LGPD define dado pessoal como informação relacionada a pessoa natural identificada ou identificável, e o IP costuma se enquadrar nessa definição porque, combinado com outros elementos, permite chegar a uma pessoa. Materiais orientativos da ANPD e a prática de mercado adotam esse entendimento. Consequência direta: o tratamento de IP exige base legal, ainda que a finalidade seja identificar a empresa.

Dados de CNPJ são protegidos pela LGPD?

A LGPD protege dados de pessoa natural. Informações da pessoa jurídica em si — razão social, CNPJ, CNAE, endereço da sede, porte, situação cadastral — não são dados pessoais e ficam fora do escopo da lei. A atenção começa quando entram nomes de sócios, de funcionários, e-mails nominais e telefones de pessoas ligadas à empresa: aí volta a haver tratamento de dado pessoal, com todas as obrigações que ele traz.

Qual base legal usar para identificar visitantes do site?

Em cenários B2B, a base normalmente invocada é o legítimo interesse, prevista no artigo 7º, IX, da LGPD. Ela não é uma autorização genérica: exige finalidade concreta e legítima, uso limitado ao necessário, expectativa razoável do titular e um teste de balanceamento documentado, além de transparência e canal de oposição. Consentimento também é possível e é o caminho mais seguro quando a identificação desce ao nível da pessoa.

Preciso avisar na política de privacidade que identifico visitantes?

Sim. A transparência é princípio da LGPD e é o que torna a operação verificável. A política precisa dizer, em linguagem clara, que o site coleta dados de navegação incluindo IP, com que finalidade, com qual base legal, com quem os dados são compartilhados, por quanto tempo ficam armazenados e como o titular exerce seus direitos, inclusive o de se opor ao tratamento fundado em legítimo interesse.

O visitante pode pedir para não ser identificado?

Pode, e esse canal precisa existir e funcionar. Quando o tratamento se apoia em legítimo interesse, o titular tem direito de se opor a ele, além dos direitos de confirmação, acesso, correção e eliminação previstos no artigo 18. Na prática, isso significa manter um endereço de contato do encarregado publicado, atender solicitações em prazo razoável e ser capaz de efetivamente interromper a identificação daquele visitante — não apenas registrar o pedido.