LGPD e WhatsApp: o que sua empresa precisa fazer para estar em conformidade

LGPD e atendimento via WhatsApp: uma combinação que exige atenção

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) está em vigor desde setembro de 2020 e se aplica a qualquer empresa que colete, armazene ou trate dados pessoais de pessoas físicas no Brasil. Isso inclui, sem exceção, o uso do WhatsApp para atendimento ao cliente — um canal que, pela sua natureza, concentra volumes enormes de dados sensíveis.

A boa notícia é que adequação à LGPD não exige mudança radical na operação. Exige processo, clareza sobre o que está sendo feito com os dados e uma documentação mínima. Este guia cobre o que empresas de pequeno e médio porte precisam fazer na prática.

Quais dados pessoais são coletados no WhatsApp

No atendimento via WhatsApp, sua empresa provavelmente coleta — muitas vezes sem perceber — um volume significativo de dados pessoais:

• Nome completo e número de telefone (obrigatórios pelo próprio uso do app)
• Endereço (em entregas, agendamentos domiciliares)
• CPF ou CNPJ (em cotações, contratos, orçamentos)
• Dados de saúde (em clínicas, farmácias, planos de saúde)
• Histórico de compras e preferências
• Fotos e documentos enviados pelo cliente
• Geolocalização (quando compartilhada)

Cada um desses dados tem tratamento regulado pela LGPD e exige uma base legal para ser coletado e armazenado.

Os três pilares da conformidade no atendimento digital

1. Base legal para o tratamento de dados

A LGPD define dez hipóteses legais que autorizam o tratamento de dados. As mais relevantes para o atendimento via WhatsApp são:

• Consentimento: o titular autorizou expressamente o uso dos seus dados para uma finalidade específica
• Execução de contrato: o tratamento é necessário para cumprir um contrato com o titular (ex: processar um pedido)
• Legítimo interesse: há interesse legítimo do controlador, desde que não se sobreponha aos direitos do titular

Na prática, para enviar mensagens de marketing via WhatsApp, você precisa de consentimento explícito. Para responder uma dúvida sobre um pedido, a base legal é a execução do contrato.

2. Transparência e aviso de privacidade

O cliente precisa saber, de forma clara e acessível, que dados são coletados, para que servem, quanto tempo ficam armazenados e com quem são compartilhados. Isso não precisa ser um documento jurídico longo — uma mensagem de boas-vindas no atendimento que direciona para a política de privacidade já atende ao requisito básico.

Exemplo de mensagem inicial no WhatsApp: "Olá! Para continuar, informamos que seus dados serão usados para atendimento e podem ser armazenados conforme nossa Política de Privacidade: [link]. Ao prosseguir, você concorda com esses termos."

3. Segurança no armazenamento e acesso

Um dos maiores riscos de conformidade em PMEs é o armazenamento de dados de clientes em dispositivos pessoais de funcionários. Quando o WhatsApp fica no celular da colaboradora e ela sai da empresa, os dados dos clientes vão junto — o que configura tanto risco de segurança quanto problema legal.

A solução é migrar para uma plataforma de atendimento onde os dados pertencem à empresa, os acessos são controlados por usuário e é possível fazer auditoria de quem acessou o quê.

Direitos do titular que você precisa estar preparado para atender

A LGPD garante aos titulares (seus clientes) um conjunto de direitos que a empresa precisa ser capaz de exercer:

• Acesso: o cliente pode pedir uma cópia de todos os dados que você tem sobre ele
• Correção: dados incorretos devem ser corrigidos
• Exclusão: o cliente pode pedir que seus dados sejam apagados (exceto onde há obrigação legal de retenção)
• Portabilidade: o cliente pode pedir os dados em formato estruturado para levar a outro fornecedor
• Revogação de consentimento: o cliente pode retirar a autorização a qualquer momento

Sem um sistema que centralize os dados dos clientes, atender a esses pedidos é praticamente impossível. Com um CRM organizado, é uma questão de fazer a busca pelo CPF ou nome do cliente e exportar as informações.

O que a ANPD pode exigir em caso de incidente

A Autoridade Nacional de Proteção de Dados (ANPD) tem competência para fiscalizar e aplicar sanções. Em caso de vazamento de dados ou uso indevido, as penalidades incluem advertência, multa de até 2% do faturamento (limitada a R$50 milhões por infração), publicização da infração e bloqueio do banco de dados.

Para PMEs, o risco mais real não é a multa máxima, mas o dano reputacional e a obrigação de notificar os clientes afetados em caso de incidente.

Checklist mínimo de conformidade

• ✅ Política de privacidade publicada e acessível
• ✅ Mensagem de consentimento no início do atendimento
• ✅ Dados dos clientes armazenados em sistema da empresa, não em celulares pessoais
• ✅ Controle de acesso por usuário na plataforma de atendimento
• ✅ Processo definido para atender pedidos de acesso, correção e exclusão
• ✅ Contrato com fornecedores que tratam dados dos seus clientes (operadores)

Conclusão

Adequação à LGPD no atendimento via WhatsApp não é assunto só para grandes empresas. PMEs que usam o canal profissionalmente precisam de processos básicos — consentimento, transparência, segurança no armazenamento e capacidade de atender os direitos dos clientes. A base é simples: trate os dados dos seus clientes da forma que você gostaria que seus próprios dados fossem tratados.