LGPD e Lead Generation no Brasil: o guia 2026 para B2B sem multa

1. O caso KASPR €240.000: o que aconteceu

Em 2025, a CNIL (Commission Nationale de l'Informatique et des Libertés, autoridade francesa equivalente à ANPD) multou a KASPR — concorrente direto do Apollo no mercado europeu de prospecção B2B — em €240.000 por raspagem massiva de perfis do LinkedIn sem consentimento dos titulares.

O case relevante: a KASPR alegava operar sob legítimo interesse (Art. 6(1)(f) do GDPR — equivalente ao Art. 7, IX da LGPD). A CNIL rejeitou o argumento por três razões que se aplicam igualmente ao Brasil:

1. Falta de teste de balanceamento documentado — KASPR não conseguiu provar que o interesse comercial superava o direito do titular.
2. Falta de canal de oposição (opt-out) eficaz — Art. 18 da LGPD exige resposta em 15 dias.
3. Raspagem de dados além do necessário — princípio da minimização (Art. 6, III da LGPD).

Apollo.io faz exatamente as três coisas que a CNIL puniu na KASPR. Fonte: CNIL.fr.

2. ANPD 2024-2025: o que mudou na fiscalização

A ANPD aplicou em 2024-2025 múltiplas autuações que sinalizam endurecimento:

• Telekall — multada em R$ 14.401 por tratamento irregular de dados de funcionários.
• OLX — autuada por compartilhamento indevido com parceiros publicitários.
• Atacadão — multada por captura de imagem facial sem consentimento na entrada.
• Inep — autuado por vazamento do ENEM (2.5M registros expostos).

O teto é 2% do faturamento da empresa, limitado a R$ 50 milhões por infração. Para uma empresa Apollo usando dados de funcionários brasileiros em volume, a exposição financeira é real. Fonte: LGPD Pro multas 2025.

3. Art. 7 da LGPD: o que é legítimo interesse na prática

O Art. 7 da LGPD lista 10 bases legais para tratamento de dados pessoais. A IX — legítimo interesse é a única que dispensa consentimento explícito, mas exige teste de balanceamento documentado:

Fonte: LGPD Brasil — Art. 7. Apollo.io não documenta teste de balanceamento brasileiro — está vulnerável à mesma decisão da CNIL/KASPR.

4. Os 6 vetores de risco do Apollo.io no Brasil

1. Scraping de LinkedIn — mesma prática punida na KASPR. Apollo raspa 275M+ perfis incluindo brasileiros.
2. DPA genérico — Apollo DPA é GDPR-focused, não cita ANPD nem Art. 7 IX da LGPD.
3. Opt-out unilateral — Apollo tem opt-out mas não documenta SLA de 15 dias (Art. 18 LGPD).
4. Sem representante no Brasil — Art. 5, VIII da LGPD exige representante para empresas estrangeiras. Apollo não declara.
5. Transferência internacional — dados de brasileiros vão para servidores EUA sem cláusulas-padrão ANPD.
6. Falta de teste de balanceamento — público no caso KASPR, pode replicar.

5. Xooriq: LGPD-by-design

A Xooriq foi construída em 2026 já considerando LGPD como regra zero, não como compliance posterior:

6. Como migrar do Apollo sem multa

1. Pare de raspar LinkedIn imediatamente — incluindo via Apollo. Documento o opt-out de massa para a base existente.
2. Reclassifique a base atual — separe contatos vindos de LinkedIn (alto risco) dos vindos de fontes públicas (baixo risco).
3. Migre para Xooriq — base 13.3M CNPJs brasileiros + filtros por setor, faturamento, funcionários. R$ 597/mês plano Scale.
4. Documente seu teste de balanceamento — template gratuito em /recursos/lgpd-template.
5. Designe um DPO — Art. 41 da LGPD. Pode ser interno ou terceirizado (DPO-as-a-Service por R$ 990/mês).

7. Fontes verificadas

• CNIL — KASPR €240k fine
• LGPD Brasil — Art. 7
• LGPD Pro — multas 2025
• Apollo.io DPA
• Brinz Tech — breach alerts