Sorteio no Instagram e LGPD: Guia Definitivo 2026 para Empresas

Por que este guia existe

Em 2024, a Boca Rosa foi multada em cerca de R$ 200 mil por sortear brindes no Instagram sem autorização da então SEAE (hoje SPA/MF). Em 2025, o Ministério da Fazenda publicou a lista de nomes com CAP ativo — jornalistas comparam essa lista com hashtags virais para identificar promoções irregulares. E em 2026, o crescimento de ferramentas de escolha aleatória (Sorteiogram, App Sorteos, Sorteador.com.br) trouxe atenção nova da SPA sobre como os ganhadores são definidos.

Ao mesmo tempo, a LGPD entrou em fase de fiscalização ativa: a ANPD começou a aplicar sanções em 2023 e, desde 2025, empresas de médio porte vêm sendo autuadas por consentimento genérico ou ausência de encarregado de dados. Sorteio no Instagram toca as duas coisas — promoção comercial + tratamento de dados pessoais — e por isso virou território minado para quem não entende as regras.

Este guia responde: quando você precisa de autorização, o que a LGPD exige, como escrever o regulamento e quando ferramentas de sorteio aleatório (como o Sorteiogram) são legais.

Sumário

1. Quem precisa (e quem não precisa) de autorização SPA/MF
2. A base legal da LGPD para o sorteio
3. O que a Portaria SPA/MF 7.638/2022 mudou
4. Sorteadores aleatórios (Sorteiogram, App Sorteos) são legais?
5. Template de regulamento — 12 cláusulas obrigatórias
6. Consentimento na prática — como comprovar
7. 6 erros que empresas cometem (e o que fazer)
8. Empresas estrangeiras mirando público BR
9. Checklist final — 15 itens antes de publicar o sorteio

1. Quem precisa (e quem não precisa) de autorização SPA/MF

A Lei 5.768/1971 (art. 1º) define promoção comercial como "a distribuição gratuita de prêmios por pessoa jurídica, a título de propaganda, com finalidade comercial". Três elementos precisam existir ao mesmo tempo para a obrigação de pedir autorização se acionar:

• Pessoa jurídica — não pessoa física.
• Distribuição gratuita de prêmios — algo de valor econômico, não vale-cupom, não desconto.
• Finalidade comercial — vinculada a produto ou serviço vendido pela empresa.

Se faltar qualquer um dos três, não é promoção comercial e não precisa de CAP (Certificado de Autorização para Promoção Comercial). Isso significa:

Concurso cultural é a exceção mais explorada, e a mais mal usada. Não basta pedir uma foto qualquer. A definição legal exige habilidade, destreza ou aptidão — ou seja, a escolha do ganhador deve ser feita por mérito criativo, não por sorteio. Se o ganhador vai ser escolhido aleatoriamente entre os que enviaram foto, é sorteio disfarçado e precisa de autorização.

2. A base legal da LGPD para tratar dados dos participantes

O art. 7º da LGPD lista as bases legais possíveis. Para sorteio no Instagram, três interessam:

• Consentimento (art. 7º, I) — quando você coleta dados via formulário externo (nome, email, endereço para entrega). O consentimento deve ser específico, informado, livre e inequívoco. Opt-in obrigatório. Nunca use caixa pré-marcada.
• Execução de contrato (art. 7º, V) — para os dados que o participante precisa fornecer para receber o prêmio (endereço, CPF quando exigido pela nota fiscal). É a base mais forte porque não depende de consentimento revogável.
• Legítimo interesse (art. 7º, IX) — só para usos muito limitados, como antifraude ou controle de bots (o Sorteiogram usa filtro por username duplicado, o que se justifica sob legítimo interesse porque protege o próprio processo do sorteio).

Um erro muito comum é achar que o comentário público do participante equivale a consentimento para uso dos dados fora do Instagram. Não equivale. O username público do Instagram pode ser capturado (é público), mas se você quiser mandar email, precisa coletar email com consentimento em outro momento.

A forma mais segura de operar: o post do sorteio traz link para o regulamento; o regulamento declara que a participação implica anuência da captação do username e comentário (uso mínimo); o ganhador é contatado via DM e, no primeiro contato, é enviado um link de formulário externo com opt-in explícito para coletar endereço/CPF/telefone.

3. O que a Portaria SPA/MF 7.638/2022 mudou

A Portaria SEAE 7.638/2022 (hoje sob a Secretaria de Prêmios e Apostas do Ministério da Fazenda) trouxe regras específicas para promoções realizadas em rede social. Os pontos-chave:

1. Regulamento obrigatório visível. O plano de distribuição de prêmios (nome técnico do regulamento) precisa estar acessível a todo participante.
2. Declaração de responsabilidade da PJ autorizada — inclui a garantia de integridade dos dados, disponibilidade e contingência para a continuidade da promoção.
3. Vedação à contemplação por meio randômico plataformizado — este é o parágrafo que mais gera dúvida. A leitura correta: quando a promoção comercial já tem CAP e o método de contemplação está declarado no plano, esse método precisa ser um dos permitidos oficialmente (Loteria Federal, vale-brinde, concurso, quebra de sigilo). Ferramentas de sorteador aleatório não podem ser o método declarado.
4. Guarda de evidências por 3 anos — todos os documentos que demonstram cumprimento dos requisitos precisam ser mantidos pela PJ autorizada.
5. Desclassificação de participantes que usam bots — o regulamento pode (e deve) prever exclusão de contas fake ou automatizadas.

4. Sorteadores aleatórios (Sorteiogram, App Sorteos, Sorteador.com.br) são legais?

Sim. A ferramenta em si é neutra — como um dado, uma calculadora ou uma planilha do Excel. O que a Portaria regula é o método declarado de contemplação em uma promoção comercial autorizada, não o software usado para escolher aleatoriamente.

Diferentes cenários de uso:

• Pessoa física sorteando entre seguidores — pode usar Sorteiogram livremente. Não é promoção comercial.
• Concurso cultural com pré-seleção aleatória — se a mecânica prevê que 10 finalistas serão sorteados entre todos os inscritos, e o vencedor final será escolhido por júri, o Sorteiogram é ferramenta legítima para a pré-seleção.
• PJ com CAP — o método oficial deve ser um dos previstos em lei (não sorteador aleatório), mas nada impede o uso interno para testes, previews ou seleção de finalistas antes da fase oficial.
• PJ sem CAP fazendo "sorteio de captação de seguidores" — este é o cenário que mais gera multa. A ferramenta continua legal; quem infringe é a empresa que operou sem CAP.

O Sorteiogram traz na área de sorteio um aviso explícito indicando que a ferramenta é utilitário de escolha aleatória e que a responsabilidade legal pela promoção comercial é integralmente do organizador que usa o serviço. Esse padrão vem sendo adotado pelas ferramentas mais responsáveis do mercado justamente para preservar clareza de responsabilidade.

5. Template de regulamento — 12 cláusulas obrigatórias

Qualquer regulamento de sorteio no Instagram (com ou sem CAP) deveria conter, no mínimo:

1. Identificação do promotor — razão social, CNPJ, endereço completo.
2. Objeto — descrição do prêmio, quantidade, valor unitário e total.
3. Prazo — data e hora de início e término da participação.
4. Condições de participação — quem pode participar (idade mínima, restrições geográficas, condição de seguidor, etc).
5. Mecânica — o que o participante precisa fazer (curtir, comentar, marcar amigos, seguir).
6. Método de contemplação — como o ganhador será escolhido. Para PJ com CAP, o método oficial. Para outros, descrever com clareza (ex.: "sorteio via ferramenta de escolha aleatória Sorteiogram com prova pública SHA-256").
7. Data e forma de divulgação do resultado — quando e onde o ganhador será anunciado.
8. Prazo para o ganhador se manifestar — recomenda-se 7 dias corridos após contato inicial. Passado o prazo, novo sorteio.
9. Forma e prazo de entrega do prêmio — inclui condições de envio, tributação, se aplicável.
10. Dados pessoais e LGPD — quais dados serão coletados, para quais finalidades, tempo de guarda, base legal, direito de titular (acesso, correção, exclusão), contato do encarregado.
11. Cláusula de desclassificação — vedação de bots, uso de contas fake, comportamento fraudulento.
12. Disposições gerais — a promoção é responsabilidade integral do promotor, sem envolvimento da rede social utilizada; participante concorda que os materiais publicados na rede estão sujeitos às regras da própria rede; foro de eleição.

Você pode gerar um modelo pronto em sorteigram.app/gerador-regras-sorteio-instagram. O gerador pergunta os parâmetros e devolve regulamento pronto em PDF, alinhado à Portaria 7.638/2022 e à LGPD.

6. Consentimento na prática — como comprovar

Consentimento LGPD válido tem quatro qualidades: livre, informado, específico, inequívoco. Para o sorteio no Instagram, isso significa:

• Livre — o participante não pode ser obrigado a consentir para acessar o benefício. Ele já está participando sem consentimento adicional; o consentimento cobre apenas usos que vão além do necessário (marketing futuro, por exemplo).
• Informado — o participante precisa saber quais dados serão tratados, por quanto tempo, para qual finalidade, e quais os direitos dele.
• Específico — não pode ser genérico do tipo "aceito receber comunicações". Deve ser: "aceito receber emails com dicas de moda uma vez por semana durante 12 meses".
• Inequívoco — ação afirmativa. Checkbox marcada por padrão, silêncio ou inação não valem.

O fluxo mínimo que recomendamos:

1. Post do sorteio traz link do regulamento na primeira linha da legenda.
2. Regulamento declara: "A participação implica anuência da captação do username e comentário público, sob base legal de execução de contrato (art. 7º, V da LGPD)."
3. Após o sorteio, o ganhador é contatado por DM.
4. Na DM, envia-se link de formulário externo (Google Forms, Typeform, Tally). O formulário tem opt-in explícito para: (a) receber o prêmio (endereço + CPF, base contratual); (b) opcionalmente receber comunicações futuras (base consentimento).
5. O log do consentimento é preservado por 5 anos (data, hora, IP, versão do texto aceito).

7. Seis erros que empresas cometem (e o que fazer)

• Achar que "sorteio pequeno" não precisa de CAP. Não existe piso de valor na Lei 5.768/71. Um brinde de R$ 200 sorteado por PJ com finalidade comercial já enquadra.
• Usar consentimento genérico via checkbox pré-marcada. Não é consentimento LGPD válido. Use opt-in ativo.
• Não publicar o regulamento. A Portaria 7.638/2022 exige. Link na bio + no primeiro comentário do post é o mínimo.
• Guardar CPF e endereço de todos os participantes. Só do ganhador. Coleta desproporcional viola princípio de minimização (art. 6º, III da LGPD).
• Não desclassificar bots. O regulamento precisa prever exclusão. Ferramentas modernas (Sorteiogram, Rafflecopter) fazem filtro automático.
• Sortear entre "quem marcou 3 amigos" sem regra clara sobre marcações duplicadas. Fonte de reclamação e disputa. O regulamento precisa dizer explicitamente se marcações duplicadas contam.

8. Empresas estrangeiras mirando público brasileiro

A LGPD tem alcance extraterritorial (art. 3º, II): aplica-se a qualquer operação de tratamento de dados de pessoas localizadas no território nacional, mesmo que a empresa não esteja no Brasil. Se sua marca é estrangeira e você faz sorteio direcionado ao BR, você:

• Precisa indicar um encarregado de dados no Brasil (endereço nacional).
• Se a promoção é comercial, precisa de CAP — o que exige CNPJ brasileiro. Muitas plataformas globais evitam sorteios direcionados ao BR justamente por esse compliance.
• Fica sujeita a fiscalização da ANPD e da SPA/MF.

A alternativa comum é constituir subsidiária brasileira ou parceria com empresa local que assume a responsabilidade jurídica da promoção.

9. Checklist final — 15 itens antes de publicar o sorteio

1. Verificou se é promoção comercial (PJ + prêmio + finalidade comercial)?
2. Se sim, pediu CAP à SPA/MF com prazo mínimo de 40 dias de antecedência?
3. Regulamento publicado (link na bio + primeiro comentário do post)?
4. Regulamento contém as 12 cláusulas mínimas?
5. Base legal LGPD explícita no regulamento?
6. Método de contemplação declarado sem ambiguidade?
7. Encarregado de dados (DPO) indicado com email/contato?
8. Fluxo de coleta de dados minimizado (só o essencial)?
9. Opt-in explícito para comunicações futuras (separado do sorteio)?
10. Log de consentimento configurado (5 anos de guarda)?
11. Cláusula de desclassificação de bots e contas fake presente?
12. Rede social utilizada declarada como não envolvida na promoção?
13. Prazo de manifestação do ganhador claro (recomenda-se 7 dias)?
14. Ferramenta de sorteio com prova pública (Sorteiogram tem SHA-256 auditável)?
15. Contingência para caso de indisponibilidade da rede (Portaria 7.638 exige)?

Conclusão

Sorteio no Instagram é território regulatório mais denso do que parece. A LGPD trouxe camada de proteção de dados; a Portaria 7.638/2022 formalizou o que já era prática internacional para promoções em rede social; a Lei 5.768/71, embora de 1971, continua sendo a espinha dorsal do tema no Brasil.

O padrão que funciona para empresas sérias em 2026: regulamento claro publicado, base legal LGPD explícita, ferramenta de sorteio com prova pública (SHA-256 auditável), coleta de dados mínima e opt-in explícito. Quando qualquer um desses elementos falha, a empresa fica exposta a autuações da ANPD, da SPA/MF, ou (com maior custo reputacional) a jornalismo especializado.

O Sorteiogram é usado justamente por marcas que querem operar dentro dessa moldura: PIX único de R$ 24,90, sem cadastro, sem assinatura, com certificado SHA-256 público que qualquer pessoa (incluindo fiscal da ANPD ou SPA/MF) pode auditar. Você faz seu sorteio em sorteigram.app/sortear e gera o regulamento em sorteigram.app/gerador-regras-sorteio-instagram.

Perguntas frequentes

Toda empresa que faz sorteio no Instagram precisa de autorização da SEAE/SPA?

Sim, quando a empresa faz distribuição gratuita de prêmios com finalidade comercial e o prêmio tem valor econômico. A obrigação vem da Lei 5.768/1971. Pessoa física fazendo sorteio pessoal não precisa. Concurso cultural (que exige criatividade) tem regime próprio.

Qual é a multa por fazer sorteio comercial sem autorização SPA/MF?

Pode chegar a 100% do valor total dos prêmios distribuídos, além de sanções administrativas (art. 13 da Lei 5.768/1971). Há precedentes de multas administrativas de R$ 200 mil aplicadas a influenciadores digitais em 2022-2024. Somam-se aos riscos da LGPD (multa até 2% do faturamento, limitada a R$ 50 milhões).

Comentário no Instagram é consentimento LGPD?

Não. Comentário público não é consentimento válido para tratamento fora do próprio Instagram. Você pode capturar o username público (base contratual), mas para email/endereço/CPF precisa coletar opt-in explícito em outro momento.

Posso usar Sorteiogram para escolher o ganhador de uma promoção comercial autorizada?

Como método declarado oficialmente no plano de distribuição, não — a Portaria 7.638/2022 exige métodos específicos (Loteria Federal, vale-brinde, concurso, quebra de sigilo). Como ferramenta de pré-seleção interna, testes, previews ou para eventos que não configuram promoção comercial regulada, sim.

Quanto tempo preciso guardar as evidências?

A Portaria 7.638/2022 exige guarda de 3 anos das evidências de participação e cumprimento dos requisitos. Para o log de consentimento LGPD, o Guia Orientativo da ANPD sugere 5 anos.