WhatsApp e LGPD: bases legais, consentimento e boas práticas para empresas

Usar WhatsApp e LGPD de forma compatível exige mais do que adicionar uma frase de consentimento. A empresa precisa definir a finalidade de cada tratamento, identificar uma base legal adequada, coletar o mínimo necessário, informar com clareza, respeitar direitos e proteger os dados durante todo o ciclo.

Consentimento é uma das bases legais previstas na lei, não a única. O opt-in exigido pelas regras do WhatsApp deve ser analisado junto — mas não confundido — com a base legal da LGPD.

Este conteúdo é educativo e não substitui análise jurídica do caso concreto.

Quais dados aparecem em uma operação de WhatsApp

Uma conversa empresarial pode envolver:

• número de telefone e nome;

• foto e informações de perfil disponibilizadas;

• conteúdo, anexos e gravações vinculadas;

• data, horário e estado das mensagens;

• motivo do contato e preferências;

• dados de compra, suporte ou cobrança;

• identificadores de campanha e origem;

• registros de opt-in, opt-out e solicitações;

• informações inferidas, como intenção ou prioridade.

A LGPD define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. Dependendo do assunto, a conversa também pode conter dados pessoais sensíveis, que recebem regras específicas.

Comece pela finalidade

“Comunicar com clientes” é genérico. Separe finalidades concretas:

• responder a uma solicitação;

• prestar suporte contratado;

• confirmar pedido ou agendamento;

• enviar comunicação de segurança;

• cobrar uma obrigação;

• oferecer produto ou conteúdo;

• pesquisar satisfação;

• manter histórico para continuidade e defesa de direitos.

Cada finalidade pode ter dados, prazo e base legal diferentes. Dados coletados para entregar um pedido não devem ser automaticamente reutilizados em campanhas.

Bases legais: como pensar sem usar atalhos

O artigo 7º da LGPD apresenta hipóteses para tratamento de dados pessoais; dados sensíveis seguem o artigo 11. A escolha deve refletir a operação real.

A tabela não decide o caso. O mesmo canal pode conter atividades com fundamentos diferentes. Registre a finalidade, a hipótese escolhida, a justificativa, as categorias de dados e as salvaguardas.

Legítimo interesse exige avaliação

O guia da ANPD sobre legítimo interesse propõe análise de finalidade, necessidade e balanceamento com salvaguardas. Pergunte:

1. O interesse é legítimo e compatível com o ordenamento?

2. O tratamento é necessário ou existe meio menos intrusivo?

3. A pessoa poderia razoavelmente esperar esse uso?

4. Quais riscos afetam seus direitos?

5. Quais medidas de transparência, oposição, minimização e segurança reduzem o impacto?

Não use “legítimo interesse” como campo padrão para qualquer campanha.

Consentimento válido não é uma caixa genérica

Quando consentimento for a base adequada, ele deve se referir a finalidade determinada. Linguagem vaga, opção previamente marcada ou vínculo com um serviço desnecessário prejudicam a liberdade da escolha.

Mantenha evidência de:

• quem manifestou a escolha;

• quando e onde ocorreu;

• texto e finalidades apresentados;

• canal ou categorias escolhidos;

• método de confirmação, quando adotado;

• revogação e data de efeito.

Revogar deve ser tão acessível quanto aceitar. A equipe e as automações precisam aplicar a escolha em todos os sistemas relevantes.

Opt-in do WhatsApp e base legal da LGPD

A Política de Mensagens para Empresas do WhatsApp determina que a empresa só contate uma pessoa depois de ela fornecer o número e dar opt-in para receber mensagens ou chamadas subsequentes. A empresa também deve respeitar todos os pedidos de interrupção. Para comunicações iniciadas pelo negócio, as regras de templates e janelas da plataforma continuam aplicáveis.

A comunicação oficial da Meta sobre controle e preferências de mensagens empresariais explica que a escolha pode acontecer no site, em uma loja ou no próprio WhatsApp.

Na prática, mantenha duas perguntas separadas:

1. Regra da plataforma: existe opt-in válido para a categoria e o tipo de mensagem?

2. Proteção de dados: existe base legal e cumprimento dos princípios da LGPD para o tratamento?

Atender uma não prova automaticamente a outra. Documente ambas.

Transparência que ajuda o cliente

No ponto de coleta, informe em linguagem direta:

• quem trata os dados;

• para qual finalidade;

• quais dados são necessários;

• com quem podem ser compartilhados;

• por quanto tempo ou segundo qual critério serão mantidos;

• como alterar preferências e exercer direitos;

• onde consultar a política completa.

Evite esconder informações essenciais em um texto longo. Use uma camada curta no formulário ou início da conversa e um link para detalhes.

Minimização e retenção

Nem toda mensagem precisa permanecer indefinidamente. Crie uma matriz por finalidade:

Prazos devem considerar obrigações, exercício de direitos e necessidade real. “Pode ser útil no futuro” não é uma finalidade específica.

Direitos dos titulares no fluxo operacional

A ANPD explica direitos como informação, confirmação, acesso, correção e, nas condições legais, eliminação, oposição e revogação. Consulte a página oficial sobre direitos dos titulares.

Prepare a operação para:

• reconhecer uma solicitação em qualquer canal;

• autenticar a pessoa de forma proporcional;

• localizar dados em CRM, mensagens, arquivos e integrações;

• encaminhar ao responsável;

• registrar prazo e resposta;

• corrigir preferências em todos os sistemas;

• preservar informações que devam ser mantidas por hipótese legal.

Um botão de descadastro sem sincronização com campanhas futuras não cumpre o objetivo.

Controlador, operador e fornecedores

Em geral, quem decide finalidades e elementos essenciais atua como controlador; quem trata dados em nome do controlador pode atuar como operador. A relação depende das atividades concretas.

Ao contratar CRM, plataforma de atendimento ou integração, documente:

• instruções e finalidades;

• categorias de dados e titulares;

• confidencialidade e acessos;

• medidas de segurança;

• suboperadores;

• transferências internacionais, quando houver;

• suporte a direitos;

• retenção, devolução e eliminação;

• comunicação e resposta a incidentes;

• auditoria e evidências.

Usar um fornecedor não transfere automaticamente toda a responsabilidade.

Segurança no atendimento

Controles mínimos devem acompanhar o risco:

• contas individuais, sem credenciais compartilhadas;

• autenticação multifator quando disponível;

• perfis de acesso por função;

• revisão de usuários e permissões;

• proteção de tokens e chaves;

• criptografia e canais seguros;

• registro de ações administrativas;

• prevenção de exportações indevidas;

• treinamento contra phishing e engenharia social;

• backups e procedimento de continuidade;

• plano de resposta a incidentes.

Conversas sensíveis não devem aparecer para toda a operação por conveniência. Um CRM integrado ao WhatsApp precisa aplicar acesso, retenção e trilha de auditoria ao histórico centralizado.

Se ocorrer um incidente

Contenha, preserve evidências e avalie escopo, dados, titulares, riscos e medidas. O regulamento prevê comunicação à ANPD e aos titulares em incidentes que possam ocasionar risco ou dano relevante, nos termos e prazos aplicáveis. A página oficial de comunicação de incidente apresenta o procedimento e informa o prazo regulamentar de três dias úteis, ressalvada legislação específica.

Não espere o incidente para decidir quem avalia e comunica.

Campanhas: checklist antes de enviar

• A origem dos contatos é conhecida e verificável?

• A finalidade foi informada?

• Há base legal documentada?

• O opt-in exigido pela plataforma cobre essa mensagem?

• Segmentação evita conteúdo irrelevante?

• O remetente está claramente identificado?

• Existe forma simples de parar?

• Descadastros estão sincronizados?

• O horário e a frequência são razoáveis?

• O modelo de mensagem corresponde ao conteúdo real?

• Resultado e reclamações serão monitorados?

Listas compradas ou obtidas sem contexto aumentam risco jurídico, reputacional e de bloqueio. Priorize relações em que a pessoa iniciou contato ou fez uma escolha informada.

Automação e IA também entram no escopo

Classificar intenção, resumir conversa e recomendar resposta são operações sobre dados. Antes de adotar IA no atendimento ao cliente, avalie finalidade, necessidade, fornecedores, retenção, precisão, supervisão e possíveis impactos.

Na automação de atendimento, garanta que pedidos de oposição, correção e descadastro interrompam fluxos incompatíveis. Registre decisões automáticas relevantes e permita revisão quando necessário.

Checklist de governança

• Inventário de finalidades, dados e sistemas;

• bases legais e opt-ins documentados;

• avisos e política em linguagem acessível;

• matriz de acesso e revisão periódica;

• retenção e descarte por finalidade;

• canal e processo para direitos;

• contratos e suboperadores mapeados;

• controles técnicos e treinamento;

• plano de incidentes testado;

• revisão de campanhas e automações;

• evidências de decisões e mudanças.

Conformidade no WhatsApp não é um selo permanente. É uma rotina que acompanha novas campanhas, integrações, equipes e finalidades.

Para revisar o fluxo atual de captação, atendimento e comunicação da sua empresa, solicite um diagnóstico e envolva as áreas de negócio, tecnologia, segurança e privacidade.