LGPD para Agências de Marketing: Quem Responde pelos Dados Pessoais em Campanhas com Influenciadores e Conteúdo Gerado por Usuário (UGC)?

O dado pessoal que não aparece no briefing

Em uma campanha com influenciadores, o briefing costuma falar de entregas, prazos, roteiro e métricas. Nós observamos que raramente fala de dados pessoais, embora eles circulem em todas as etapas. Enquanto isso, a atenção do mercado se concentra nas regras de publicidade e nos direitos autorais, e o dado pessoal segue invisível até o dia em que um consumidor reclama de ver o próprio rosto em um anúncio.

Uma campanha com creators e conteúdo de usuários toca em dados pessoais em pelo menos três pontos. O primeiro é o cadastro do próprio influenciador: nome completo, CPF, endereço, dados bancários e, às vezes, imagem e informações de saúde, quando o produto envolve bem-estar. O segundo é a coleta feita em sorteios, formulários e links patrocinados, que reúne nome, e-mail, telefone e interesses dos seguidores. O terceiro é o conteúdo de terceiros: fotos, vídeos e depoimentos de consumidores republicados em anúncios, sites e lojas virtuais.

Apesar disso, é comum que cada um desses pontos seja resolvido por mensagem, planilha e boa-fé. Uma agência pequena pode fechar uma ação com dezenas de creators trocando CPFs e dados bancários por aplicativo de mensagem, sem saber onde essas conversas ficam guardadas nem por quanto tempo.

Quem é quem: marca, agência e influenciador

Antes de qualquer cláusula, é preciso saber quem ocupa qual papel. A marca, que define a finalidade da campanha e decide o que fazer com os dados, costuma ser a controladora. A agência, quando age conforme as instruções da marca, costuma ser operadora. Porém, se a agência decide por conta própria como reutilizar a base de leads ou o conteúdo de usuários, ela deixa de ser mera executora e passa a responder como quem decide.

O influenciador ocupa uma posição dupla. Em relação aos seus próprios dados, ele é titular, com todos os direitos da LGPD. Em relação à sua audiência, ele pode ser controlador, quando coleta dados de seguidores para uma ação. A exceção da lei para o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos não alcança quem faz da atividade uma fonte de renda.

Uso informal versus uso formalizado: onde está a diferença

A diferença não está no tamanho da campanha. Uma ação com três creators pode ser informal, e uma com trinta pode ser formalizada. O que muda é o que a agência consegue mostrar quando alguém pergunta quem autorizou aquele uso, para qual finalidade e até quando.

Quatro cenários e o que cada um exige

A tabela abaixo resume os principais cenários de uma campanha, os dados envolvidos, a autorização ou base legal aplicável e o cuidado central de cada um:

Contratação de creators

O contrato com o influenciador é o documento que mais sofre com improviso. Ele precisa tratar dos direitos de uso do conteúdo (período, plataformas, uso em mídia paga), mas também do dado pessoal que o próprio creator entrega e dos dados de seguidores que ele eventualmente coletar. O formulário de cadastro, por sua vez, deve pedir apenas o indispensável e ficar em ambiente seguro, e não em uma planilha aberta a toda a equipe.

Repost de conteúdo de usuário

O UGC é, ao mesmo tempo, obra do usuário, imagem de uma pessoa e dado pessoal. Cada uma dessas camadas pede autorização. A utilização de obra intelectual depende de autorização prévia e expressa do autor, e o uso de imagem com finalidade comercial sem permissão pode ser proibido e indenizado. Uma loja virtual que republica a foto de uma cliente usando o produto, com legenda de elogio, em um anúncio pago, está fazendo um uso comercial, e não apenas “compartilhando um elogio”.

Sorteios e formulários

Em ações com sorteio, o seguidor entrega seus dados para participar. A finalidade informada é concorrer ao prêmio, e é essa a finalidade que a empresa pode cumprir. Contudo, é frequente que a base gerada pela promoção seja depois usada para e-mail marketing, sem que o participante tenha sido avisado. Esse desvio é um dos erros mais recorrentes do setor.

“Está público, então posso usar?”

Essa é a pergunta que mais aparece nas agências. A LGPD admite o tratamento de dados que o titular tornou públicos, mas exige que se considerem a finalidade, a boa-fé e o interesse público que justificaram a disponibilização. Quem publica uma foto em seu perfil, marcando uma marca, está compartilhando um momento com seus seguidores, e não autorizando um anúncio pago.

A jurisprudência caminha no mesmo sentido: a cessão de imagem não é tácita, e a publicação não autorizada de imagem com fins econômicos ou comerciais gera dever de indenizar, independentemente de prova de prejuízo, conforme a Súmula 403 do STJ. Em outras palavras, o fato de o conteúdo estar visível não transfere à marca o direito de explorá-lo.

Quando o conteúdo envolve crianças e adolescentes, o cuidado é ainda maior. A LGPD exige que o tratamento observe o melhor interesse do titular, com consentimento específico de ao menos um dos pais ou do responsável. Já o novo Guia do CONAR, em vigor desde 1º de junho de 2026, reforça a necessidade de autorização dos responsáveis, e também de alvará judicial, para a participação de crianças e adolescentes em publicidade por influenciadores.

O que não pode faltar no contrato

Um contrato de campanha com proteção de dados bem estruturado costuma reunir poucos elementos, mas todos relevantes: a definição dos papéis de cada parte, a finalidade do tratamento, o escopo dos dados, as regras de uso e o prazo da autorização de imagem e de conteúdo, a proibição de reutilização para outras finalidades sem nova autorização, as medidas de segurança, a comunicação de incidentes e o destino dos dados ao fim da campanha.

O novo Guia do CONAR, por sua vez, estimula as marcas a escolher criteriosamente os influenciadores e a monitorar as publicações. Esse tipo de curadoria, aplicado também ao cuidado com os dados, é o que faz da conformidade um processo contínuo, e não uma cláusula assinada e esquecida.

Os riscos de seguir no improviso

Do ponto de vista jurídico, a agência se expõe a ações por uso indevido de imagem, a questionamentos por tratamento sem base legal e a responsabilização solidária quando extrapola as instruções da marca. Do ponto de vista comercial, a marca que descobre uso indevido de suas bases ou de seus conteúdos dificilmente renova o contrato. E, do ponto de vista reputacional, uma reclamação pública de um consumidor que viu seu rosto em um anúncio, sem ter autorizado, costuma circular mais do que qualquer peça da campanha.

Todavia, o risco mais silencioso é o do acúmulo: conversas, planilhas e arquivos com dados de creators e de seguidores, espalhados por aplicativos de mensagem e pastas pessoais, sem prazo de eliminação. Um incidente envolvendo esse material atinge ao mesmo tempo a agência, a marca e os titulares.

Conclusão

Campanhas com influenciadores e UGC não se resumem a entregas e métricas: elas movimentam dados pessoais em cada etapa, e a LGPD cobra de todos os envolvidos. Definir quem é controlador e quem é operador, obter autorização específica para o uso de imagem e de conteúdo, informar a finalidade em sorteios e formulários e registrar tudo em contrato são medidas simples que protegem a agência, a marca e o titular. Quem as adota troca o improviso por uma resposta pronta para o dia em que alguém perguntar quem autorizou aquele uso.

Para aprofundar temas relacionados, vale consultar os artigos Bases de Clientes de Terceiros: Até Onde uma Agência Pode Usar os Dados do Cliente do seu Contratante? e Sua Cara e Sua Voz Não São de Domínio Público: Deepfakes, Eleições e o Que a LGPD Diz sobre Isso no blog da DPOnet.