LGPD no WhatsApp Business: o que a empresa pode e não pode fazer com os contatos
A LGPD (Lei 13.709/2018) vale para o WhatsApp da sua empresa. Para falar com um cliente você precisa de uma base legal, como o consentimento dele, o contrato que ele fez com você ou o legítimo interesse. Cabe a você provar que a base existe, usar o contato só para a finalidade informada e atender o pedido de quem quer sair ou apagar os dados. Este texto não é orientação jurídica.
Atualizado em · Equipe Brik · 4 min de leitura
Ana Ribeiro, da Padaria Pão Quente, mandou o cardápio de Natal para 300 números. Um cliente respondeu: "Quem deu meu telefone? Apaguem meus dados, ou eu denuncio."
Ela não sabia o que a lei diz sobre isso. Este texto explica o básico, no dia a dia de quem atende pelo WhatsApp.
Este texto não é orientação jurídica. Ele resume a Lei 13.709/2018 (LGPD) em linguagem simples, com a lei aberta no site do Planalto em 16/10/2026. Para o seu caso, consulte um advogado.
Para falar com o cliente, você precisa de uma base legal
A LGPD lista, no art. 7º, as situações em que dá para tratar dados pessoais. Mandar mensagem a alguém é tratar o telefone dele. Três bases cobrem a maior parte do atendimento de uma pequena empresa.
A pessoa concordou, para uma finalidade determinada. Exemplo: o cliente da Padaria Pão Quente marcou "quero receber promoções" no caixa.
Quem precisa provar que o consentimento existe é você.
O dado é necessário para cumprir o que o cliente pediu. Exemplo: avisar que a encomenda de R$ 180 saiu para entrega.
Vale para o pedido. Não vale para empurrar outra promoção.
Interesse da empresa, desde que não prevaleçam os direitos do cliente. Exemplo: perguntar a quem comprou na semana passada como foi a entrega.
É a base mais subjetiva. Peça ajuda a um advogado antes de apostar nela.
A Meta tem a sua própria regra: mensagem de marketing pede autorização (opt-in). Ela vale à parte da lei. Veja o glossário sobre opt-in.
O que a empresa não pode fazer
Contatos de clientes: o que a lei pede
- Usar lista compradaVocê não tem como provar o consentimento (art. 8º, § 2º). Autorização genérica é nula (art. 8º, § 4º).
- Usar o contato para outra finalidadeO cliente deu o telefone para receber o orçamento, não para entrar numa lista de promoções (art. 6º, I).
- Ignorar pedido de saída ou de exclusãoO consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º).
- Guardar mais dado do que precisaO princípio da necessidade limita o tratamento ao mínimo para a finalidade (art. 6º, III).
- Dado de saúde ou de outra categoria sensívelClínica e consultório têm regras mais rígidas para dado sensível (art. 5º, II). Fale com um advogado.
Quem descumpre a lei pode receber advertência ou multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52).
O que fazer na prática
- 1Registre o opt-inGuarde data, canal e texto da autorização de cada contato. Sem registro, você não prova nada.
- 2Informe a finalidadeDiga ao cliente para que você usa o contato. A lei pede informação clara sobre finalidade, duração e quem é o controlador (art. 9º).
- 3Dê uma saídaToda mensagem de promoção traz a opção de parar de receber. Quando o cliente pedir, pare no mesmo dia.
- 4Controle quem lê as conversasMedidas de segurança contra acesso indevido são dever da empresa (art. 46). Saiu alguém do time? Tire o acesso dessa pessoa.
- 5Tenha uma política de privacidadeUma página curta, com o contato de quem responde pelos dados, e um jeito de o cliente pedir acesso, correção ou exclusão (art. 18).
Mensagens prontas
Copie, troque {nome} e {empresa} e ajuste ao seu caso:
Oi, {nome}! Aqui é da {empresa}.
Posso te mandar novidades e promoções por este WhatsApp? Se você preferir parar, é só responder SAIR a qualquer momento.Oi, {nome}. Recebi o seu pedido e já parei de te enviar mensagens.
Vou apagar os seus dados dos nossos registros, exceto o que a lei nos obriga a guardar. Te confirmo por aqui quando terminar.Quem vê as conversas da sua empresa
Conversa no celular pessoal não tem controle
Quando o atendimento mora no celular pessoal de alguém, o histórico sai junto com a pessoa. Fica difícil dizer quem teve acesso a quê.
Num CRM, cada atendente entra com o seu usuário. Você sabe quem respondeu cada cliente e pode tirar o acesso de quem saiu.
Quem tem o registro do opt-in e sabe quem acessa a conversa consegue responder ao cliente sem susto.
Histórico da empresa, com acesso por perfil
No Brik, o histórico de cada cliente fica na empresa, não no celular de uma pessoa. O acesso às conversas é controlado por perfil, e cada conversa mostra quem é o responsável. O Brik ajuda a organizar o registro, mas a conformidade com a LGPD continua sendo responsabilidade da sua empresa. Veja também como evitar o bloqueio do número.
Perguntas frequentes
A LGPD vale para o WhatsApp Business?
Vale. A lei trata de qualquer tratamento de dados pessoais, e nome e telefone de cliente são dados pessoais. Guardar o contato, mandar mensagem e registrar a conversa são formas de tratamento, no app comum ou na API oficial.
Preciso de consentimento para mandar mensagem a um cliente?
Nem sempre. O consentimento é uma das bases legais do art. 7º. Avisar sobre um pedido que o cliente fez se apoia no contrato. Para promoção, o caminho mais simples é pedir autorização e guardar o registro. A Meta também pede autorização (opt-in) para mensagens de marketing, à parte da lei.
Posso usar uma lista de contatos comprada?
É o caso mais arriscado. Pela lei, cabe a você provar que o consentimento foi obtido de forma correta (art. 8º, § 2º), e a autorização genérica é nula (art. 8º, § 4º). Com lista comprada você não tem esse registro. Para decidir um caso concreto, consulte um advogado.
O cliente pediu para apagar os dados. O que eu faço?
O titular pode pedir a eliminação dos dados tratados com o consentimento dele (art. 18, VI), com exceções do art. 16, como o cumprimento de obrigação legal. Responda por escrito, pare de mandar mensagens, apague o que puder ser apagado e registre a data do pedido e da resposta.
Quem pode ler as conversas de WhatsApp da empresa?
A lei pede medidas de segurança contra acesso não autorizado (art. 46). Na prática, defina quem acessa as conversas e tire o acesso de quem sai da empresa. Num celular compartilhado isso é difícil. Num CRM com usuário e perfil por pessoa, fica mais simples.
Qual a multa da LGPD?
O art. 52 prevê advertência e multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, entre outras sanções aplicadas pela ANPD.
Fontes
Leia também
Teste o Brik por 15 dias, de graça
Conecte o WhatsApp da empresa pela API oficial, organize o funil e coloque o agente de IA para atender. Sem cartão de crédito e sem fidelidade.
Testar grátis por 15 dias