LGPD no WhatsApp: o que a empresa pode e não pode fazer

Opt-out: como registrar e por que ele é definitivo

O titular pode revogar o consentimento a qualquer momento, e a revogação precisa ser tão fácil quanto foi o aceite. No WhatsApp, ela raramente chega com a palavra certa: chega como “não quero mais receber”, “para de mandar”, “me tira daí” ou simplesmente um bloqueio.

Três exigências operacionais:

1. Registrar no cadastro, não na memória do atendente. A recusa precisa virar um campo no contato, visível para todo mundo. Se ela mora num post-it ou na cabeça de quem atendeu, o próximo disparo vai incluir aquela pessoa — e aí não é mais descuido, é reincidência documentada.

2. Bloquear envios futuros, não só o próximo. A recusa vale para campanhas seguintes, para outro atendente e para o ano que vem. Uma boa ferramenta impede o envio automaticamente; sem isso, alguém vai errar.

3. Separar recusa de campanha de recusa total. Quem pediu para não receber promoção continua tendo direito às mensagens operacionais do contrato dele — nota fiscal, agendamento, entrega. Tratar tudo como bloqueio absoluto prejudica o próprio cliente.

E o ponto que faz diferença numa eventual fiscalização: guarde a data e o teor do pedido. Demonstrar que a recusa foi registrada e respeitada é o que separa uma falha pontual de uma prática irregular.

Por quanto tempo guardar conversa

A LGPD não dá um prazo em dias. Ela dá um critério: o dado é mantido pelo tempo necessário para a finalidade que justificou a coleta, e depois eliminado — salvo quando outra norma obriga a guardar.

Traduzindo para a operação de quem vende por WhatsApp:

• Conversa de venda que não fechou — mantenha enquanto houver expectativa comercial real. Doze a vinte e quatro meses é uma política comum e defensável, desde que esteja escrita.
• Conversa de cliente ativo — enquanto durar a relação, mais o prazo legal aplicável aos documentos e obrigações do contrato.
• Áudio, foto e documento enviados no chat — o ponto mais negligenciado. É aqui que aparece documento pessoal, comprovante e, em alguns setores, informação de saúde, que é dado sensível e tem proteção reforçada. Se o seu negócio recebe esse tipo de material por WhatsApp, isso precisa de tratamento próprio, e não de uma pasta de mídia acumulando por anos.

O essencial é ter uma política escrita, ainda que curta. Prazo indefinido é o mesmo que guardar para sempre — e guardar para sempre aumenta o dano de qualquer incidente futuro.

Quem da equipe pode ver o quê

Boa parte do risco real não está na lei, está no aparelho. Enquanto o atendimento acontece em celulares pessoais, a sua empresa tem base de clientes espalhada por dispositivos que ela não controla, com backup em nuvens pessoais e, quando alguém sai, uma conversa que continua no bolso de um ex-funcionário.

Três medidas resolvem a maior parte disso:

Atendimento em número da empresa, com acesso individual por atendente. Cada pessoa entra com o próprio login, e o histórico fica com a empresa.

Acesso proporcional à função. Quem atende precisa ver as conversas dele; não precisa exportar a base inteira.

Rotina de desligamento. Revogar acesso no mesmo dia deveria ser tão automático quanto recolher a chave do escritório — e quase nunca é.

O que exigir do fornecedor do CRM

Na estrutura da lei, quem decide as finalidades do tratamento é o controlador — a sua empresa. O fornecedor da ferramenta é operador: trata os dados em nome dela. Isso não transfere a responsabilidade, mas define o que precisa estar no contrato:

• Cláusula de tratamento de dados descrevendo finalidade, escopo e obrigações de cada lado.
• Onde os dados ficam armazenados e quais subprocessadores participam.
• Prazo e forma de exclusão quando o contrato terminar — e a garantia de exportação do histórico antes disso.
• Compromisso de notificação de incidente, com prazo definido. Se houver vazamento, a comunicação à ANPD e aos titulares é obrigação do controlador: você precisa saber rápido.
• Controle de acesso e registro de atividade, para conseguir demonstrar quem acessou o quê.

Fornecedor que não responde a essas cinco perguntas por escrito é um risco que você assume junto — e é uma conversa que vale ter antes de assinar, não depois do incidente.

Os três pedidos mais comuns e como responder

“Quais dados vocês têm sobre mim?” O titular tem direito de confirmação e acesso. A LGPD prevê resposta imediata em formato simplificado e, quando a declaração é completa, prazo de até quinze dias. Ter as conversas centralizadas transforma isso em uma busca de dois minutos; com o histórico espalhado por celulares, vira uma semana de trabalho.

“Apaguem meus dados.” Existe direito à eliminação, com exceções: dado que a empresa precisa manter por obrigação legal ou para exercer direitos em processo pode ser preservado. A resposta correta quase nunca é “apagamos tudo” nem “não podemos apagar nada” — é explicar o que foi eliminado, o que foi mantido e por quê.

“Não quero mais receber mensagens.” Revogação de consentimento. Registre, bloqueie envios promocionais e confirme para a pessoa que foi feito. A confirmação encerra o assunto e evita a reclamação seguinte.

Vale saber a consequência do outro lado: as sanções previstas na lei vão de advertência a multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Para a empresa pequena e média, no entanto, o dano mais provável não é a multa — é a reclamação pública, o bloqueio do número pelo próprio WhatsApp e a perda de um canal de vendas inteiro.

Erros que criam risco de verdade

• Comprar lista e disparar. Não há base legal, e o número costuma ser bloqueado antes mesmo de qualquer discussão jurídica.
• Não registrar a origem do contato. Sem isso, não há como demonstrar regularidade.
• Tratar opt-out como preferência do atendente. Recusa é dado do cadastro, não combinado informal.
• Guardar mídia para sempre. Documento e comprovante acumulados por anos aumentam o dano de qualquer incidente.
• Atendimento em celular pessoal. Base de clientes fora do controle da empresa, e sem rotina de desligamento.
• Contrato de fornecedor sem cláusula de dados. A responsabilidade continua sua, mas sem nenhuma obrigação do outro lado.

Por onde começar esta semana

Acrescente um campo de origem no cadastro e passe a preenchê-lo em todo contato novo. Escreva, numa página, a política de guarda: quanto tempo você mantém conversa de lead que não fechou, de cliente ativo e de mídia recebida. Centralize o atendimento num número da empresa com acesso individual, e crie a rotina de revogar acesso no desligamento.

Por fim, revise a base atual: separe quem entrou por formulário, quem é cliente, quem chamou primeiro e quem veio de origem que você não sabe explicar. Esse último grupo é onde mora o risco — e limpá-lo custa muito menos que descobrir o tamanho dele numa reclamação.

Perguntas frequentes