Venda de dados pessoais: descobre quem vendeu o teu email

Quando suspeitas de venda de dados pessoais por empresas, só consegues descobrir com segurança quem vendeu ou divulgou o teu email se deste a essa empresa um endereço que mais ninguém tinha. Num endereço principal que usas há anos, normalmente consegues reduzir a lista de suspeitos, mas não apontar um culpado: o endereço está em dezenas de bases de dados de clientes, e uma mensagem de spam raramente leva até à que o deixou escapar. O que consegues descobrir é quem te está a enviar emails e através de que serviço, se uma empresa expôs o teu endereço numa fuga de dados conhecida e, na UE e no Reino Unido, o que uma empresa diz sobre onde obteve o teu endereço. O CatchNone, para iPhone, iPad e Mac, faz de um endereço por empresa a regra: cada mensagem aparece assinalada com o alias a que chegou, por isso a próxima fuga aponta para a sua origem.

Os passos, por ordem:

1. Encontra a primeira mensagem indesejada e o endereço exato a que chegou.
2. Lê os cabeçalhos para identificar o remetente e o serviço de envio de emails que usa.
3. Procura no Have I Been Pwned uma fuga de dados que inclua o endereço.
4. Pergunta ao remetente onde obteve o teu endereço e pergunta à empresa de que suspeitas a que empresas o deu.
5. A partir de agora, dá a cada empresa um endereço só dela.

É possível descobrir quem vendeu o teu email?

Às vezes. Depende das provas:

• Os cabeçalhos mostram quem enviou uma mensagem e através de que serviço (uma assinatura DKIM validada prova que domínio a assinou), não de onde veio a lista.
• O registo de uma fuga de dados prova que uma empresa perdeu o teu endereço, sem excluir outras.
• Um pedido ao abrigo da lei pode obrigar uma empresa a dizer o que sabe sobre a origem, se souber (na Califórnia, apenas por categorias).
• Um endereço aleatório que deste apenas a uma empresa aponta diretamente para a origem: emails de qualquer outro remetente nesse endereço significam que saiu dessa empresa, quer tenha sido vendido, partilhado ou roubado.

Uma avalanche repentina de spam pode ter outras causas; vê porque é que o spam pode disparar de repente. Para perceberes como os endereços se espalham à partida, através de vendas, fugas de dados, recolha automática e adivinhação, vê como os spammers obtêm endereços de email.

Passo 1: encontra a primeira mensagem e o endereço a que chegou

Pesquisa o remetente desconhecido e encontra o resultado mais antigo: a primeira mensagem é a que está mais próxima do momento em que o teu endereço mudou de mãos. Verifica exatamente para que endereço foi enviada e como te cumprimenta. Um endereço antigo ou um erro de escrita que usaste uma vez, uma versão +tag do teu endereço, um erro no teu nome vindo de um único formulário de registo ou um pormenor que só uma empresa sabia: tudo isso aponta para uma origem.

Na UE e no Reino Unido, lê também o rodapé dessa primeira mensagem e a ligação para a política de privacidade. Segundo o RGPD (art. 14.º), uma empresa que obteve os teus dados através de outra entidade tem de te indicar «a origem dos dados pessoais». Se usar os dados para te contactar, o prazo é «o mais tardar no momento da primeira comunicação». Se a primeira mensagem não o indicou, assinala isso no teu pedido do passo 4.

Passo 2: lê os cabeçalhos

Os cabeçalhos são as linhas ocultas por cima de uma mensagem. Indicam o remetente e o serviço que transportou o email, o que te diz a quem escrever no passo 4.

Como ver os cabeçalhos

Caminhos indicados nas páginas de ajuda de cada fornecedor, em setembro de 2026:

Atalho do Gmail: na Web, clica na seta para baixo por baixo do nome do remetente para veres Mailed by e Signed by (Enviado por e Assinado por), os domínios que enviaram e assinaram a mensagem.

Um exemplo prático

Um conjunto de cabeçalhos ilustrativo e abreviado. O teu endereço é k7qm-2xrd@example.com, um endereço aleatório que deste apenas a uma loja de jardinagem. A marca é dealsdaily.example.net e mailer.example.org é o serviço de envio de emails que ela usa.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Aqui, o remetente é a Deals Daily, que envia através de mailer.example.org, e o endereço a que chegou é o aleatório que deste apenas à loja de jardinagem, por isso foi daí que saiu. Os cabeçalhos não conseguem dizer como a Deals Daily o obteve: indicam o remetente, nunca o vendedor. O ICANN Lookup mostra o registo de um domínio desconhecido, embora os dados do titular estejam, na maior parte, ocultados.

Passo 3: verifica se uma empresa o expôs numa fuga de dados pessoais

O Have I Been Pwned (HIBP) mostra que fugas de dados e listas de spam incluem um endereço. A 25 de setembro de 2026, regista 1038 sites afetados por fugas e mais de 17,8 mil milhões de contas expostas (um endereço presente em várias fugas conta uma vez por cada uma).

• Uma fuga de dados indica o serviço que perdeu os dados e quando: uma pista forte se o spam começou pouco depois.
• Uma lista de spam significa que o teu endereço apareceu em dados usados para spam direcionado. Estas listas «são muitas vezes agregadas a partir de várias fontes», por isso raramente indicam a empresa de origem. As entradas provenientes de pastes (textos colados e publicados online) e as fugas que o HIBP assinala como fabricadas ou não verificadas são ainda mais fracas.
• As fugas sensíveis só aparecem depois de iniciares sessão e confirmares que recebes emails nesse endereço.

Um resultado limpo significa apenas que o endereço não está numa fuga que o HIBP tenha carregado, não que ninguém o vendeu. Ativa os alertas gratuitos do Notify Me (notificar-me). Se usas um endereço por empresa no teu próprio domínio, a Domain Search (pesquisa de domínio) mostra quais deles aparecem em que fuga, depois de verificares o domínio (os domínios maiores normalmente exigem uma subscrição). O relatório da dark web da Google, recomendado em guias mais antigos, foi descontinuado no início de 2026.

Passo 4: pergunta diretamente às empresas

UE e Reino Unido: usa o direito de acesso para saber de onde veio e para onde foi

O direito de acesso aos dados pessoais permite-te fazer duas perguntas a duas empresas:

• Pergunta ao remetente onde obteve o teu endereço. O artigo 15.º, n.º 1, alínea g), do RGPD dá-te acesso às «informações disponíveis sobre a origem desses dados», e as orientações sobre transparência aprovadas pelo Comité Europeu para a Proteção de Dados dizem que uma empresa que obteve os teus dados noutro lado deve indicar a origem concreta, a menos que não o consiga fazer.
• Pergunta à empresa de que suspeitas a que empresas deu o teu endereço. Com base no artigo 15.º, n.º 1, alínea c), o Tribunal de Justiça da UE decidiu no processo Österreichische Post (C-154/21) que uma empresa tem de indicar os destinatários concretos, se lhe for pedido, a menos que ainda não os consiga identificar ou que o pedido seja manifestamente infundado ou excessivo. A autoridade de proteção de dados do Reino Unido, o ICO, diz o mesmo ao abrigo do UK GDPR (a versão britânica do RGPD).

Nenhum dos pedidos obriga alguém a identificar um vendedor: uma empresa pode dizer que não sabe, ou que os dados vieram de várias fontes (considerando 61), embora uma resposta evasiva seja motivo para apresentares queixa. Usa os contactos indicados na política de privacidade de cada empresa e ignora os spammers declarados, porque responder confirma que o teu endereço funciona.

Aqui tens um pedido que podes copiar (retira o ponto 4 quando escreveres à empresa de que suspeitas):

Assunto: Pedido de acesso ao abrigo do artigo 15.º do RGPD

Ao abrigo do artigo 15.º do RGPD (ou do UK GDPR), relativamente ao meu endereço de email, you@example.com, solicito que me indiquem:

1. Onde o obtiveram, com indicação da origem concreta (art. 15.º, n.º 1, alínea g)).
2. A que destinatários o divulgaram, identificando-os pelo nome (art. 15.º, n.º 1, alínea c)).
3. Que dados pessoais detêm sobre mim, acompanhados de uma cópia.
4. Por que motivo a vossa primeira mensagem, de [data], não indicou essa origem (art. 14.º, n.º 2, alínea f), e n.º 3, alínea b)).

Oponho-me também ao tratamento dos meus dados para fins de marketing direto (art. 21.º). Peço que respondam no prazo de um mês (art. 12.º, n.º 3).

[O teu nome]

As respostas são normalmente gratuitas (os prazos estão na tabela abaixo). Depois de te opores ao marketing direto, os teus dados deixam de poder ser usados para esse fim.

No Reino Unido, se a resposta não chegar ou for evasiva, reclama primeiro junto da empresa: para reclamações feitas desde 19 de junho de 2026, a lei britânica Data (Use and Access) Act obriga-a a acusar a receção da tua no prazo de 30 dias. Depois, no prazo de três meses a contar do teu último contacto relevante com a empresa, apresenta queixa ao ICO. Na UE, o artigo 77.º permite-te apresentar queixa a uma autoridade de proteção de dados (em Portugal, a CNPD, Comissão Nacional de Proteção de Dados).

Estados Unidos: Califórnia e Oregon

Na Califórnia, um pedido de «direito de saber» ao abrigo da CCPA devolve as categorias de fontes e de terceiros, além das informações pessoais que a empresa detém, mas não indica quem vendeu o teu endereço. As respostas são gratuitas. Também podes dizer a uma empresa que deixe de vender ou partilhar os teus dados, ou pedir-lhe que apague o que recolheu sobre ti. A lei abrange apenas empresas acima de determinados limiares, como receitas anuais superiores a 26 625 000 USD (em setembro de 2026).

Se vives no Oregon, uma empresa abrangida pela lei de privacidade do estado tem de, a pedido, fornecer uma lista dos terceiros concretos a quem divulgou dados, embora possa enumerar os que receberam quaisquer dados pessoais em vez dos teus (ORS 646A.574). Estes direitos vêm da lei estadual, por isso o que podes pedir depende de onde vives.

Os residentes na Califórnia também podem usar a DROP, a Delete Request and Opt-out Platform (plataforma de pedidos de eliminação e de oposição), para enviar um único pedido de eliminação a todos os corretores de dados (data brokers) registados. Abriu a 1 de janeiro de 2026 e, desde 1 de agosto de 2026, os corretores têm de processar os pedidos pelo menos a cada 45 dias. Só chega aos corretores de dados, empresas com as quais não tens uma relação direta, e não à loja a quem deste o teu endereço.

Qualquer pessoa pode consultar os registos de corretores de dados da Califórnia, do Vermont, do Texas e do Oregon. Procura neles o nome da empresa remetente e os domínios do passo 2. Uma correspondência diz-te que o remetente é um corretor de dados registado, uma das empresas a que a DROP chega se vives na Califórnia.

O que cada pedido te pode dar

Em qualquer lugar: o serviço de envio

O serviço de envio indicado em DKIM-Signature d=, Return-Path ou List-Unsubscribe tem as suas próprias regras. A Acceptable Use Policy (política de utilização aceitável) do Mailchimp, por exemplo, proíbe envios para «listas compradas, alugadas, de terceiros, de co-registo, de dados disponíveis publicamente ou de parceiros, de qualquer tipo», e o seu serviço de denúncia de abusos pede «o cabeçalho completo do email» (ambos verificados a 25 de setembro de 2026). Envia os cabeçalhos completos ao serviço de denúncia de abusos do serviço de envio. Não te vai dizer quem vendeu o teu endereço, mas pode impedir o remetente de usar o seu serviço.

O que fazer quando souberes

• Deixa de usar o endereço. Dá um endereço novo à empresa que o deixou escapar, ou fecha a conta, e depois desativa ou apaga o antigo. Mantém-no a funcionar até teres resposta a qualquer pedido de acesso, porque a resposta ou uma verificação de identidade podem chegar a esse endereço. Se for o teu endereço principal, usa filtros.
• Faz com que pare. Envia a oposição do artigo 21.º (UE, Reino Unido), anula a subscrição de remetentes legítimos dos EUA, ou opõe-te à venda e à partilha e usa a DROP (Califórnia). Se anular a subscrição já falhou antes, lê porque é que anular a subscrição não funciona.
• Denuncia em ReportFraud.ftc.gov nos EUA, com a ferramenta de denúncia de spam do ICO no Reino Unido (não responde individualmente) ou ao serviço de denúncia de abusos do serviço de envio, e marca a mensagem como spam na tua app de email.
• Se foi uma fuga de dados, protege também a conta (vê as perguntas frequentes).

As empresas vendem o teu email? A venda de dados pessoais é legal?

Sim, algumas vendem. A FTC diz: «Quando dás o teu endereço de email a uma empresa, ela pode partilhá-lo ou vendê-lo a terceiros.» Nos EUA, a lei federal permite-o até te opores. No Reino Unido e na UE, uma empresa precisa do teu consentimento para te enviar emails a partir de uma lista comprada e, no Reino Unido, geralmente precisa do teu consentimento para vender uma lista.

• Estados Unidos: ao abrigo da lei federal CAN-SPAM, uma empresa não precisa de consentimento para te enviar emails de marketing. Depois de te opores, tem 10 dias úteis para parar e não pode vender nem transferir o teu endereço. A Califórnia acrescenta o direito de oposição à venda, e o seu conceito de «venda» inclui alugar ou disponibilizar dados em troca de «outra contrapartida com valor», por isso uma troca com um parceiro pode contar, mesmo sem dinheiro envolvido. «Partilha» é um termo à parte, para publicidade comportamental entre contextos.
• Reino Unido: ao abrigo das Privacy and Electronic Communications Regulations (PECR), uma empresa só pode enviar emails às pessoas de uma lista comprada se estas «consentiram especificamente em receber esse tipo de mensagem» dessa empresa; um consentimento genérico para qualquer terceiro não chega, e vender uma lista geralmente exige o consentimento das pessoas que nela constam (orientações do ICO, em revisão após a Data (Use and Access) Act). Aplicam-se regras diferentes a endereços de empresas.
• UE: a Diretiva Privacidade Eletrónica só permite emails de marketing com «consentimento prévio», exceto quando um vendedor promove produtos semelhantes junto dos seus próprios clientes, uma exceção que quem compra uma lista não pode usar.

Porque é que o truque do «+» é uma prova fraca

O «truque do Gmail» consiste em registares-te com um endereço com etiqueta, como you+shopname@example.com a partir de you@example.com, e veres que etiqueta aparece no spam. A própria descrição da Google mostra o ponto fraco: «As mensagens enviadas para o seu endereço atual ou para qualquer variação com o sinal de mais chegam todas à sua caixa de entrada atual.»

• O teu endereço real está à vista de todos. Basta apagar a etiqueta para os emails continuarem a chegar-te, e a prova desaparece.
• A etiqueta não significa nada para o remetente. Só o teu fornecedor interpreta a parte antes do @ (RFC 5321, §2.3.11), e o separador varia de sistema para sistema (RFC 5233).
• Prova menos do que parece. Um endereço com etiqueta no spam mostra que saiu dessa empresa, não se foi vendido, partilhado ou exposto numa fuga de dados. E se não chegar spam com etiqueta, isso não iliba ninguém: a etiqueta pode simplesmente ter sido removida.

O truque dos pontos, registares-te como your.name numa empresa e como yo.urname noutra, é ainda mais fraco: o Gmail ignora os pontos nos endereços pessoais, por isso qualquer pessoa os pode remover (nas contas de trabalho ou escolares, os pontos contam). O plus addressing continua a ser útil para filtrar; o guia sobre plus addressing explica onde funciona.

Passo 5: faz com que a próxima fuga denuncie a origem

O método fiável funciona daqui para a frente: dá a cada empresa um endereço só dela que não contenha o teu endereço real. Emails de qualquer outro remetente no endereço que deste a uma loja dizem-te de onde saiu, e podes desativar apenas esse endereço.

• O CatchNone dá a cada empresa o seu próprio alias e assinala cada mensagem com o alias a que chegou, por isso um endereço vendido salta à vista sem teres de ler cabeçalhos. Os endereços @catchnone.com precisam do Premium; um domínio teu também funciona no plano Gratuito.
• Os serviços de aliases de email, como o Ocultar o meu e-mail da Apple (com o iCloud+), o DuckDuckGo Email Protection, o SimpleLogin, o addy.io e o Firefox Relay, reencaminham para a tua caixa de entrada. A comparação de serviços de aliases de email explica as diferenças.
• Um catch-all no teu próprio domínio aceita emails para qualquer endereço desse domínio, por isso podes inventar um por cada registo. O Cloudflare Email Routing (encaminhamento de email), por exemplo, está disponível nos planos gratuitos e pagos (em setembro de 2026) e tem uma regra catch-all. Vê o que é um endereço de email catch-all para conheceres os prós e contras.

Prefere endereços aleatórios a endereços fáceis de adivinhar como gardenshop@example.com, que um spammer poderia inventar num catch-all, e toma nota de que endereço deste a quem.

CatchNone: cada mensagem mostra o endereço a que chegou

O CatchNone foi feito para o Passo 5. Dás a cada loja, newsletter ou conta o seu próprio alias, e cada mensagem na app aparece assinalada com o alias a que chegou. Quando um desconhecido escreve para o endereço que só deste à loja de jardinagem, a etiqueta mostra de onde saiu, sem cabeçalhos para ler. A «Atividade» assinala os emails num alias que marcaste como «Fora de uso» e os remetentes que te escrevem pela primeira vez, e podes desativar um endereço @catchnone.com divulgado, para que os remetentes recebam uma devolução enquanto os teus outros aliases continuam a funcionar.

Com o Premium, tens endereços @catchnone.com aleatórios, como abcde-12345@catchnone.com, sem domínio, DNS nem caixa de correio para configurar, e até os emails recebidos em Bcc ficam associados ao alias. Ou usa um domínio teu cujos emails o teu fornecedor já entrega numa caixa de entrada: a app lê essa caixa de correio apenas para leitura, por IMAP ou JMAP, diretamente a partir do teu dispositivo, com até 10 aliases no plano Gratuito e sem limite no Lite e no Premium. O CatchNone está disponível para iPhone, iPad e Mac.

Funciona daqui para a frente, não para trás com endereços que usaste antes, e não tem uma base de dados de fugas nem deteção de fugas: as etiquetas e as notas da «Atividade» são indícios que cabe a ti avaliar. No teu próprio domínio, lê apenas a caixa de entrada, e apenas os emails cujo campo Para, Cc ou Bcc indique um endereço do teu domínio, por isso o spam arquivado na pasta de spam não aparece. Marcar lá um alias como «Fora de uso» serve apenas de etiqueta, por isso bloqueia no teu fornecedor um endereço que tenha sido divulgado. As mensagens @catchnone.com são apagadas 30 dias depois de chegarem, por isso assinala as que precisares como prova para guardares o texto completo no teu dispositivo.

Perguntas frequentes

O que devo fazer se uma empresa deixou escapar o meu endereço de email?

Procura o endereço no Have I Been Pwned para veres em que fuga de dados estava e que outros dados foram expostos com ele. Muda a palavra-passe desse site e de todos os sítios onde a reutilizaste, e ativa a verificação em dois passos. Conta com phishing que cite os dados expostos e não sigas ligações em mensagens que mencionem a fuga. Se deste a essa empresa um endereço só dela, deixa de o usar e dá-lhe um novo.

O LinkedIn ou a Google vendem o meu endereço de email?

Nenhum dos dois diz que vende as tuas informações pessoais, mas o LinkedIn diz que as partilha para publicidade entre contextos. A sua declaração de privacidade para a Califórnia diz «Não vendemos as suas informações pessoais» e permite aos residentes na Califórnia oporem-se a essa partilha. O Safety Center (Centro de Segurança) da Google diz «Nunca vendemos as suas informações pessoais a ninguém», e a sua política de privacidade (em vigor desde 26 de maio de 2026) diz que só partilha informações pessoais fora da Google nos casos enumerados, o primeiro dos quais é com o teu consentimento. As três páginas foram verificadas a 25 de setembro de 2026. No caso de outras empresas, lê a política e trata «vender» e «partilhar» como coisas distintas.

Quem compra endereços de email?

Corretores de dados, corretores de listas e profissionais de marketing; os registos estaduais acima enumeram os corretores registados. O negócio pode ser feito às claras: no processo Österreichische Post, o operador postal austríaco disse que oferece dados pessoais «a parceiros comerciais para fins de marketing» e, mais tarde, enumerou destinatários que incluíam «fornecedores de listas de correio». Esse processo dizia respeito a dados detidos por um operador postal, não a endereços de email.