LGPD e WhatsApp Business: Como Manter Conformidade e Não Ser Multado
A Lei Geral de Proteção de Dados (LGPD) se aplica a qualquer empresa que trate dados pessoais de clientes brasileiros, incluindo conversas e números de telefone coletados via WhatsApp. Multas chegam a 2% do faturamento, limitado a R$ 50 milhões por infração.
O que a LGPD considera dado pessoal no contexto do WhatsApp
Número de telefone, nome do contato, histórico de conversa, localização compartilhada, fotos e documentos enviados são todos dados pessoais sob a LGPD. Isso significa que você precisa de base legal para coletar, armazenar e usar cada um desses dados.
A LGPD também se aplica a dados de comportamento, como o fato de um cliente ter respondido a uma determinada mensagem ou clicado em um botão. Se você usa esses dados para criar perfis ou tomar decisões, precisa informar o titular.
As 10 bases legais da LGPD e qual usar no WhatsApp
A LGPD prevê 10 bases legais para o tratamento de dados. Para uso de WhatsApp em marketing e atendimento, as mais relevantes são consentimento, execução de contrato, interesse legítimo e cumprimento de obrigação legal.
- Consentimento: use para envios de marketing. Deve ser específico, informado e registrado.
- Execução de contrato: use para comunicações sobre pedidos, suporte e entregas.
- Interesse legítimo: use com cautela. Exige que o interesse da empresa não sobreponha os direitos do titular.
- Obrigação legal: use para comunicações regulatórias, como notas fiscais e cobranças.
Como implementar opt-in e opt-out conformes
O opt-in deve ser explícito: o cliente precisa marcar uma caixa ou enviar uma mensagem afirmando que quer receber comunicações. Pré-checkboxes marcados, termos genéricos em contratos ou 'ao continuar usando nosso serviço você concorda' não constituem consentimento válido.
O opt-out precisa ser simples e imediato. Toda mensagem de marketing deve conter instrução clara de como cancelar o recebimento ('Responda SAIR para não receber mais mensagens'). O cancelamento deve ser processado em até 24 horas.
- Crie um formulário ou fluxo de opt-in com caixa de seleção não pré-marcada
- Registre data, hora, IP e canal do opt-in em banco de dados
- Inclua instrução de opt-out em toda mensagem de marketing
- Processe opt-outs imediatamente e remova da lista de envios
- Guarde o registro de opt-out também (para provar conformidade)
Retenção de dados: quanto tempo você pode guardar conversas
A LGPD não define prazos fixos, mas determina que dados devem ser eliminados quando a finalidade for atingida ou quando o consentimento for revogado. Para atendimento ao cliente, um prazo razoável é de 5 anos (alinhado com o prazo de prescrição civil).
Para dados de marketing (como preferências e histórico de campanhas), considere reter apenas enquanto o contato for ativo. Contatos sem interação há mais de 2 anos devem ser revisados e potencialmente eliminados.
O que fazer em caso de vazamento de dados
Em caso de incidente de segurança que possa causar risco aos titulares, a LGPD exige notificação à ANPD em prazo razoável (interpretado como 72 horas pela autoridade). A notificação deve informar natureza dos dados, número de titulares afetados, medidas tomadas e contato do DPO.
- Isole o sistema afetado imediatamente
- Documente o incidente com linha do tempo detalhada
- Notifique a ANPD pelo portal anpd.gov.br
- Notifique os titulares afetados se o risco for alto
- Contrate advogado especializado em proteção de dados
Checklist de conformidade LGPD para WhatsApp
Use esta lista como auditoria rápida do seu uso do WhatsApp Business.
- Tenho base legal documentada para cada finalidade de tratamento
- Meu opt-in é explícito e registrado com data e canal
- Toda mensagem de marketing tem opt-out claro
- Tenho Política de Privacidade atualizada e acessível
- Tenho DPO nomeado (obrigatório para empresas de médio e grande porte)
- Meu fornecedor de CRM e API assinou DPA (Data Processing Agreement)
- Tenho processo documentado para responder a requisições de titulares em até 15 dias
- Meus dados de conversa são criptografados em repouso e em trânsito
Perguntas frequentes
Posso usar uma lista de contatos comprada para disparar no WhatsApp?
Não. Listas compradas não têm consentimento válido sob a LGPD. Enviar mensagens não solicitadas também viola a política da Meta e pode resultar em banimento do número. Construa sua lista orgânicamente com opt-in explícito.
Preciso de um DPO para usar WhatsApp Business?
Depende do porte da empresa e do volume de dados tratados. Micro e pequenas empresas podem ser dispensadas da obrigação formal, mas todas as empresas devem indicar um canal de contato para titulares. Consulte um advogado especializado para avaliar seu caso.
O WhatsApp Business em si é compatível com a LGPD?
A Meta (WhatsApp) possui Termos de Processamento de Dados alinhados com as principais legislações de privacidade do mundo. Para empresas que usam a API Oficial, a Meta assina um Data Processing Agreement. O WhatsApp pessoal não oferece esse nível de conformidade para uso empresarial.
Qual é a multa máxima por infração à LGPD?
2% do faturamento do grupo econômico no Brasil no último exercício, limitado a R$ 50 milhões por infração. Além da multa, a ANPD pode determinar bloqueio ou eliminação dos dados e publicidade da infração, o que causa dano reputacional significativo.
Como um cliente pode pedir acesso ou exclusão dos seus dados?
Você deve ter um canal claro para esse pedido (email, formulário ou resposta pelo próprio WhatsApp). O prazo para responder é de 15 dias. Para exclusão, elimine os dados de todos os sistemas, incluindo backups, e confirme para o titular que a exclusão foi feita.