# LGPD no WhatsApp da empresa: o que muda no atendimento, com checklist

> O que a LGPD muda no atendimento pelo WhatsApp: bases legais além do consentimento, opt-in, dados sensíveis, uso de IA, retenção e um checklist.

Publicado em 2026-10-26 por Equipe Franco. Fonte: https://papofranco.online/blog/lgpd-no-atendimento-whatsapp

A LGPD (Lei nº 13.709/2018) não proíbe atender pelo WhatsApp. Ela exige que a empresa saiba **por que** trata cada dado da conversa, use só o necessário, proteja o acesso, atenda aos pedidos do cliente sobre os próprios dados e apague o que não precisa mais guardar. E, ao contrário do que muitos guias dizem, **consentimento não é a única base legal**: responder a quem pediu um orçamento, por exemplo, costuma se apoiar em outra hipótese da lei. O que exige permissão expressa do cliente, por regra da Meta, é a empresa **iniciar** mensagens para ele, o chamado opt-in.

> **Aviso:** este texto é informativo e não é consultoria jurídica. Cada negócio tem particularidades, e normas do seu setor podem trazer regras próprias. Para decidir a base legal, os prazos de guarda e os documentos da sua empresa, procure um advogado especializado em proteção de dados.

## Que dados uma conversa de WhatsApp já contém

Para a LGPD, dado pessoal é "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). Numa conversa comum de atendimento, isso inclui muito mais do que nome e telefone:

- **Número de telefone, nome e foto de perfil.**
- **Tudo o que o cliente escreve**: endereço, e-mail, CPF, o problema que ele tem, o que comprou.
- **Áudios**: o que a pessoa diz e a própria voz.
- **Fotos e documentos**: RG, comprovante de residência, nota fiscal, foto de um produto com defeito, exame.
- **Dados de contexto**: horário das mensagens, de qual anúncio veio, etiquetas e notas internas que a equipe escreve sobre o cliente.

Dois pontos que costumam passar batido:

1. **Notas internas e etiquetas também são dado pessoal.** "Cliente difícil" ou "não paga em dia" escrito no cadastro é informação sobre uma pessoa, e ela pode pedir acesso ao que a empresa guarda sobre ela.
2. **A conversa pode conter dado sensível sem a empresa ter pedido.** O cliente de uma loja pode contar que está doente para justificar um atraso. Isso entra na conversa, e a empresa passa a ter esse dado.

## As bases legais além do consentimento

A LGPD lista dez hipóteses em que o tratamento de dados pessoais é permitido (art. 7º). Consentimento é a primeira, não a única. No atendimento pelo WhatsApp, estas são as mais comuns:

| Base legal (art. 7º) | Situação típica | O que registrar |
|---|---|---|
| **Execução de contrato ou procedimentos preliminares a pedido do titular** (V) | O cliente pediu orçamento, agendamento ou suporte | Que o contato partiu dele e qual foi o pedido |
| **Obrigação legal ou regulatória** (II) | Nota fiscal, registros exigidos pelo seu setor | Qual norma exige e por quanto tempo |
| **Legítimo interesse** (IX) | Retomar contato com cliente sobre algo ligado ao que ele comprou | A avaliação de finalidade, necessidade e equilíbrio com os direitos dele |
| **Consentimento** (I) | Receber ofertas, uso dos dados para finalidade nova | Quando, como e para quê ele concordou |

Também aparecem o exercício regular de direitos (VI), como guardar a conversa de uma venda que pode virar disputa, e a proteção do crédito (X), na cobrança.

- **Legítimo interesse não é "posso tudo".** O [guia orientativo da ANPD sobre legítimo interesse](https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia_legitimo_interesse.pdf), de fevereiro de 2024, propõe um teste em três fases (finalidade, necessidade, balanceamento e salvaguardas) e reafirma que essa base **não vale para dados sensíveis**. A lei pede registro das operações, "especialmente quando baseado no legítimo interesse" (art. 37).
- **Consentimento tem regras próprias.** Deve ser dado "por escrito ou por outro meio que demonstre a manifestação de vontade do titular" (art. 8º) e pode ser revogado "a qualquer momento", "por procedimento gratuito e facilitado" (art. 8º, § 5º).
- **Cada finalidade pede a sua base.** O mesmo cliente pode ter dados tratados por contrato (o atendimento) e por consentimento (as ofertas).

Por cima de qualquer base legal valem os princípios do art. 6º, entre eles **finalidade**, **necessidade** (o mínimo necessário) e **transparência**.

## Opt-in e opt-out: a regra da Meta e a regra da lei

São duas regras diferentes, e você precisa cumprir as duas:

- **A política da Meta** diz que a empresa só pode contatar pessoas no WhatsApp se (a) elas deram o número à empresa e (b) a empresa recebeu permissão (opt-in) confirmando que elas querem receber mensagens. A mesma política manda respeitar todo pedido para parar, dentro ou fora do WhatsApp, inclusive tirando a pessoa da lista de contatos ([WhatsApp Business Messaging Policy](https://whatsappbusiness.com/policy/)).
- **A LGPD** pede uma base legal para cada tratamento e dá ao cliente direitos sobre os dados, como pedir a eliminação dos dados tratados com consentimento e revogar esse consentimento (art. 18).

Na prática:

1. **Quando o cliente chama primeiro**, a empresa pode responder. O assunto da conversa é o pedido dele. Pela API oficial, a resposta livre vale dentro da [janela de 24 horas](https://papofranco.online/blog/janela-de-24-horas-whatsapp).
2. **Quando a empresa quer iniciar a conversa** (avisos, ofertas, retomadas), precisa de opt-in registrado, de preferência por tipo de mensagem, como sugere a política da Meta.
3. **Quando o cliente pede para parar**, pare em todos os fluxos: campanhas, [follow-up de vendas](https://papofranco.online/blog/follow-up-de-vendas-no-whatsapp) e mensagens automáticas. "Pare", "não quero mais" e "me tira da lista" valem como pedido, mesmo sem a palavra exata.

Numa pesquisa da Opinion Box citada pela Consumidor Moderno, 78% dos entrevistados disseram ter recebido mensagens e ofertas pelo WhatsApp de empresas com as quais nunca tinham tido contato ([matéria de 13/06/2023, atualizada em 17/10/2023](https://consumidormoderno.com.br/empresas-lgpd-whatsapp-fiscalizacao/)). Para envios em volume, veja como fazer [disparo em massa no WhatsApp sem bloqueio](https://papofranco.online/blog/disparo-em-massa-whatsapp-sem-bloqueio), sempre com base de contatos que deu permissão.

## Equipe usando WhatsApp pessoal

Para a LGPD, o celular pessoal do vendedor é o ponto mais frágil do atendimento. Usar não é proibido, mas veja o que fica sem controle:

- **A responsabilidade continua da empresa**, que é a controladora das conversas de atendimento, mesmo no aparelho do funcionário.
- **Saída do funcionário:** a lista de clientes, as conversas e os documentos saem junto, e a empresa não consegue apagar nem recuperar.
- **Pedido do cliente:** se ele pede acesso ou exclusão, a empresa não sabe em quantos celulares os dados estão.
- **Segurança:** a lei exige "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados" (art. 46), difícil de demonstrar num celular pessoal sem senha.
- **Celular perdido ou roubado:** pode ser um incidente de segurança. Se o incidente puder trazer risco ou dano relevante aos titulares, o controlador precisa comunicar a ANPD e os titulares (art. 48). A Resolução CD/ANPD nº 15/2024 fixa o prazo de **três dias úteis** ([página da ANPD sobre comunicação de incidentes](https://www.gov.br/anpd/pt-br/assuntos/comunicacao-de-incidentes-de-seguranca-cis)).

O caminho mais seguro é um número da empresa, com acesso individual, histórico centralizado e permissões por perfil. A API oficial permite vários atendentes no mesmo número; o [guia da WhatsApp Business API](https://papofranco.online/blog/whatsapp-business-api-guia-completo) explica a diferença para o aplicativo.

## Dados sensíveis, áudios, documentos e o que a IA não deve pedir

### Dados sensíveis

A lei trata como sensível o dado sobre "origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico" (art. 5º, II). Para esses dados, as hipóteses são mais restritas (art. 11): o consentimento precisa ser "de forma específica e destacada, para finalidades específicas", e as demais hipóteses só valem quando o tratamento for "indispensável".

Na prática do atendimento:

- **Não peça dado sensível se o atendimento não precisa dele.** Uma loja não precisa saber do diagnóstico do cliente para trocar um produto.
- **Se o cliente contar por conta própria**, não espalhe: não copie para etiquetas, notas ou relatórios e não repasse para quem não precisa.
- **Clínicas e outros negócios em que o dado sensível é parte do serviço** precisam de regras próprias, combinadas com o advogado e com as normas do conselho profissional.

### Áudios e documentos

No Brasil, boa parte dos dados chega assim:

- **Áudio é conversa como qualquer outra.** Se ele é transcrito, a transcrição também é dado pessoal e segue as mesmas regras de acesso e de guarda.
- **Documento só quando for necessário.** Antes de pedir RG ou comprovante pelo WhatsApp, pergunte se você precisa dele e para quê. Se precisa, diga ao cliente o motivo.
- **Documento recebido não fica na galeria.** Ele vai para o sistema da empresa, com acesso controlado, e é apagado quando a finalidade termina.
- **Senha nunca.** Nenhum atendimento, humano ou automático, deve pedir senha, código de verificação ou dados completos de cartão pelo WhatsApp.

### Quando quem atende é um agente de IA

Um agente de IA é mais uma forma de tratar dados pessoais. As mesmas regras valem para ele, com cuidados extras:

- **Escreva nas instruções o que a IA nunca pede** (senha, dado sensível, documento desnecessário) e o que ela faz quando recebe algo assim: não repete o dado e, se for o caso, passa a conversa para uma pessoa.
- **Seja transparente.** O princípio da transparência pede informações "claras, precisas e facilmente acessíveis" sobre o tratamento (art. 6º, VI). Dizer que o cliente está falando com um agente de IA é coerente com isso.
- **Decisões automatizadas.** O titular tem direito a pedir revisão de decisões "tomadas unicamente com base em tratamento automatizado" que afetem seus interesses (art. 20). Se a IA qualifica ou descarta leads, mantenha uma pessoa capaz de rever o caso quando o cliente pedir.
- **Pergunte ao fornecedor** onde os dados são processados, se as conversas treinam modelos, quem tem acesso e o que acontece com os dados no fim do contrato. A transferência internacional de dados tem regras próprias na LGPD, outro ponto para o seu advogado.
- **Mantenha registro** do que a IA consultou e decidiu, para responder pedidos do cliente e mostrar o cuidado da empresa.

Veja também o guia de [IA no atendimento ao cliente pelo WhatsApp](https://papofranco.online/blog/ia-no-atendimento-ao-cliente-whatsapp).

## Por quanto tempo guardar e quando apagar

A LGPD não fixa um prazo único para guardar conversas. O tratamento termina (art. 15) quando a finalidade foi alcançada ou os dados deixaram de ser necessários, quando acaba o período de tratamento, quando o titular pede (inclusive revogando o consentimento) ou quando a ANPD determina. Depois disso, os dados devem ser eliminados, salvo exceções (art. 16), como **obrigação legal ou regulatória** ou uso exclusivo do controlador com os dados **anonimizados**.

Perguntas para definir os prazos:

| Tipo de dado | Pergunta para definir o prazo |
|---|---|
| Conversa de quem virou cliente | Norma do setor ou contrato exigem guardar? Por quanto tempo pode haver disputa? |
| Conversa de lead que não comprou | Ainda há finalidade? Ele deu opt-in? |
| Documentos enviados | A finalidade (cadastro, contrato, garantia) terminou? |
| Áudios e transcrições | O resumo no cadastro já basta? |
| Notas internas e etiquetas | Ainda servem ao atendimento? |

Os prazos certos dependem do seu setor. Defina-os com o advogado, escreva numa política de guarda e automatize o que for possível para apagar ou anonimizar. Se os leads ficam num [CRM para WhatsApp](https://papofranco.online/blog/crm-para-whatsapp-funil-de-vendas), inclua o CRM na mesma política.

### Quando o cliente pede pelo WhatsApp

O cliente pode pedir, "a qualquer momento e mediante requisição" (art. 18), entre outros: confirmação de que a empresa trata dados dele, acesso, correção, eliminação de dados desnecessários ou tratados com consentimento, informação sobre com quem os dados foram compartilhados e revogação do consentimento. O atendimento é gratuito para o titular (art. 18, § 5º).

Esses pedidos chegam com frases como "apaga meus dados" ou "como conseguiram meu número?". A equipe e o agente de IA precisam reconhecê-los e encaminhá-los ao **encarregado** pelo tratamento de dados pessoais, cuja identidade e contato devem ser divulgados publicamente (art. 41). As regras simplificadas da ANPD para agentes de pequeno porte (Resolução CD/ANPD nº 2/2022) não dispensam o cumprimento dos direitos do titular. Confira com o advogado o que se aplica à sua empresa.

## Sobre multas: o que a lei diz de fato

Muitos textos falam em "multa de R$ 50 milhões". A lei prevê, entre outras sanções, multa simples "de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração" (art. 52, II). Ou seja, R$ 50 milhões é o **teto por infração**, e o valor está ligado ao faturamento. A lei também prevê advertência, publicização da infração, bloqueio e eliminação dos dados, entre outras sanções. No dia a dia, o risco maior está na reclamação do cliente, no celular perdido e na perda de confiança.

## Checklist de LGPD para o atendimento pelo WhatsApp

Use como roteiro de revisão, não como garantia de conformidade.

**Base legal e opt-in**
- [ ] Cada finalidade (atendimento, venda, ofertas, cobrança) tem base legal definida e registrada, inclusive a avaliação de legítimo interesse.
- [ ] Só inicio conversas com quem deu opt-in, e guardo quando e como foi dado.
- [ ] Pedidos para parar valem em todos os fluxos, inclusive os automáticos.

**Acesso e segurança**
- [ ] O atendimento acontece em número da empresa, com acesso individual de acordo com a função.
- [ ] Quem sai da equipe perde o acesso no mesmo dia.
- [ ] Sei o que fazer se um aparelho for perdido ou houver vazamento.

**Dados sensíveis, documentos e agente de IA**
- [ ] A equipe e o agente de IA não pedem senha, dado sensível ou documento desnecessário.
- [ ] Documentos vão para o sistema, não para a galeria, e dado sensível não é copiado para etiquetas e notas.
- [ ] O cliente sabe que fala com um agente de IA, e uma pessoa pode rever decisões da IA quando ele pede.
- [ ] Sei onde o fornecedor processa os dados e se eles são usados para treinar modelos.

**Retenção e direitos do titular**
- [ ] Tenho prazos de guarda para conversas, documentos, áudios e CRM, e sei apagar ou anonimizar os dados.
- [ ] A equipe reconhece pedidos de acesso, correção e exclusão e sabe encaminhá-los ao encarregado, cujo contato está publicado.
- [ ] Um advogado revisou as bases legais, os prazos de guarda e a política de privacidade.

## Perguntas frequentes

### Preciso de consentimento para responder um cliente no WhatsApp?

Não necessariamente. Quando o cliente pede orçamento ou suporte, o tratamento costuma se apoiar na execução de contrato ou em procedimentos preliminares a pedido do titular (art. 7º, V). O consentimento entra quando não há outra base adequada, como no envio de ofertas a quem não pediu. Confirme a base de cada finalidade com um advogado.

### Opt-in do WhatsApp e consentimento da LGPD são a mesma coisa?

Não. O opt-in é exigência da política da Meta para a empresa iniciar conversas. O consentimento é uma das bases legais da LGPD. Um mesmo pedido de permissão pode servir aos dois, mas as duas regras precisam ser cumpridas.

### O cliente pediu para apagar os dados dele. O que eu faço?

Encaminhe o pedido ao encarregado ou ao responsável por dados. Os dados tratados com consentimento devem ser eliminados, salvo nas exceções da lei, como a obrigação legal de guardar (arts. 16 e 18). Se precisar manter algo, explique o motivo ao cliente. Pare também qualquer envio de mensagens para ele.

### Posso usar um agente de IA no atendimento sem ferir a LGPD?

A lei não proíbe. Valem as exigências de qualquer tratamento: base legal, mínimo necessário, transparência, segurança e respeito aos direitos do cliente, incluindo a revisão de decisões automatizadas (art. 20).

## Resumo para a equipe

1. Atender pelo WhatsApp é permitido. A lei pede saber por que cada dado é tratado e cuidar dele.
2. Consentimento não é a única base legal. Responder a quem pediu costuma ser execução de contrato ou procedimento preliminar.
3. Iniciar conversa exige opt-in, pela regra da Meta. Pedido para parar vale para todos os fluxos.
4. Atendimento em número da empresa, com acesso individual, e não no celular pessoal.
5. Nada de senha, dado sensível ou documento desnecessário, nem pela equipe nem pelo agente de IA.
6. Prazo de guarda definido, pedidos do cliente encaminhados ao encarregado e revisão com um advogado.

O PapoFranco ajuda em parte desses cuidados: usa a API oficial do WhatsApp, o acesso é por perfil, as proteções do agente de IA impedem que ele peça senha ou dado sensível, cada resposta da IA mostra o que ela consultou e decidiu, o atendente pode assumir a conversa a qualquer momento e o follow-up respeita quem pede para parar. A conformidade com a LGPD continua sendo da sua empresa, e a ferramenta é uma parte dela. Conheça o [PapoFranco](https://papofranco.online) e leia outros guias no [blog](https://papofranco.online/blog).

*Este conteúdo é informativo e não substitui a orientação de um advogado. Texto da lei consultado no [Planalto](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) em 26/10/2026.*