LGPD no WhatsApp: o que pode e o que não pode

LGPD no WhatsApp: a resposta direta

Conversa de WhatsApp é dado pessoal, e a empresa que a guarda é controladora — decide o que fazer com ela e responde por isso. Até aí, igual a qualquer base.

O que é diferente: a conversa é simétrica. O cliente tem exatamente o mesmo histórico no celular dele. Isso reduz alguns riscos — ele não depende de você para saber o que foi dito — e cria uma falsa sensação de que não há muito a proteger.

Há, e não é a conversa. É a camada que só a empresa vê: a nota interna sobre aquele cliente, a etiqueta que alguém colou nele, a classificação de temperatura, a origem registrada. Nada disso está no celular dele, tudo isso é dado pessoal dele, e é aí que mora o risco que ninguém considera.

A camada que o cliente não vê

Toda operação organizada produz informação sobre a pessoa, além da informação trocada com ela.

Um exemplo torna concreto. "Cliente difícil, sempre reclama de preço" é uma nota útil para a operação e é, ao mesmo tempo, um dado pessoal com juízo de valor sobre alguém identificado. Se essa pessoa exercer o direito de acesso, ela alcança isso.

Não é argumento para deixar de anotar — a nota interna da supervisão de atendimento é o que faz a passagem de bastão funcionar. É argumento para anotar como se fosse ser lido, que por acaso também produz notas melhores: fato em vez de rótulo, "pediu desconto duas vezes" em vez de "chato".

Há ainda uma terceira coisa que ninguém planeja e que chega sozinha: dado sensível dito de passagem. O cliente manda foto do documento para agilizar o cadastro, cita uma condição de saúde para justificar um prazo, envia comprovante com dados bancários. Nada disso foi pedido, e tudo isso passa a existir na sua base.

A lei trata dado sensível com exigência maior, e o WhatsApp é o canal onde ele mais aparece sem ser solicitado — justamente por ser informal. Vale combinar com a equipe o que fazer quando acontece: em geral, não pedir o que não precisa, e não deixar guardado o que chegou sem necessidade. É uma decisão de dez minutos que evita uma discussão difícil depois.

Qual base legal ampara a conversa no WhatsApp

A pergunta muda conforme quem começou — e é onde a maioria das operações erra por não ter parado para pensar.

Quando o cliente procura a empresa, a conversa costuma se apoiar na execução de contrato ou nos procedimentos preliminares a ele: ele pediu orçamento, você responde. É o caso mais confortável, e é a maior parte do volume de quem vende por WhatsApp.

Quando a empresa inicia para vender a quem não pediu, o terreno é outro. A Lei 13.709/2018 lista as bases legais possíveis, e as duas invocadas nesse caso — consentimento e legítimo interesse — exigem coisas diferentes: a primeira, registro de aceite; a segunda, uma avaliação que justifique a expectativa do titular. Legítimo interesse não é caixa a marcar (consultado em 2 de agosto de 2026).

E há a camada que independe da lei: mesmo com base legal impecável, a regra da plataforma continua valendo. São as quatro categorias de mensagem da política da Meta, e elas podem proibir o que a lei permitiria.

O que fazer na prática para cumprir a LGPD

Quatro decisões cobrem a maior parte do risco de uma operação de vendas por WhatsApp.

1. Registre a origem e o aceite. De onde veio o contato e, quando houver, quando e como ele concordou em ser contatado. Sem esse registro, você não consegue demonstrar nada depois — e demonstrar é a obrigação. O outro lado do aceite é a saída, e ela dá mais trabalho do que parece: opt-in e opt-out no WhatsApp: pedir permissão e respeitar a saída.
2. Defina prazo de retenção. Inclusive para a mídia, que é onde mais se acumula. O que fica guardado e por quanto tempo está em o que fica no histórico de conversas, e por quanto tempo.
3. Tire as conversas dos aparelhos pessoais. É a mudança que mais reduz risco, porque elimina o cenário em que a empresa responde por dados que não controla.
4. Combine com a equipe como se anota. Fato, não rótulo. Vale como boa prática de dado e como boa prática de operação.

A ANPD publica orientações e mantém regime simplificado para agentes de tratamento de pequeno porte — vale conferir o que se aplica ao seu caso antes de contratar consultoria.

Onde o CLICA entra na LGPD no WhatsApp

Em tornar essas decisões executáveis. Nenhuma ferramenta decide por você — mas há decisão que só é possível se a estrutura existir.

O widget de captação registra o aceite com texto configurável, e a origem de cada lead fica gravada com ele. As conversas ficam no inbox de equipe e não no celular de ninguém, o que muda a empresa da posição de responsável-sem-controle para responsável-com-controle. E a retenção de mídia tem prazo, em vez de acumular indefinidamente.

Quando chega um pedido de acesso ou eliminação, tudo aquilo está por contato — não espalhado por seis aparelhos. Os planos começam em R$ 97 por mês, em reais.

O limite, dito com todas as letras. Não existe ferramenta que deixe você "em conformidade com a LGPD", e quem vender isso está vendendo o que não pode entregar. Base legal, finalidade, prazo e processo são decisões da empresa. O software torna executável o que você decidiu — e é incapaz de decidir.