LGPD no WhatsApp Business: atendimento, grupos e dados de clientes

Em muitas empresas, o WhatsApp virou o principal canal de vendas e atendimento sem que ninguém tenha decidido isso formalmente. O vendedor atende pelo próprio celular, o financeiro manda boletos pelo aplicativo, o grupo da equipe recebe prints com nome, CPF e comprovante de pagamento de clientes. Funciona bem até o dia em que o vendedor sai da empresa levando 800 contatos no bolso, ou alguém perde o celular com dois anos de conversas.

A LGPD não proíbe o uso do WhatsApp. O problema não é o aplicativo, e sim a informalidade: dados de clientes espalhados em aparelhos pessoais, sem regra de acesso, sem prazo para apagar e sem que a empresa saiba o que está onde. Este guia mostra como usar o WhatsApp Business em vendas e atendimento cuidando da base legal para o contato, dos grupos internos, dos celulares da equipe, dos prints, do histórico de conversas e da troca de funcionários.

Não existe um regulamento da ANPD específico para WhatsApp. Valem as mesmas regras que se aplicam a qualquer outro canal: os princípios do art. 6º da LGPD e as bases legais dos arts. 7º e 11. A diferença é que, no WhatsApp, o tratamento acontece em um ambiente que a empresa costuma controlar pouco, o que torna alguns princípios mais difíceis de cumprir.

O princípio da necessidade pede que se trate apenas o mínimo necessário para a finalidade, e isso fica difícil quando o cliente manda foto do documento, comprovante de residência e extrato bancário sem que ninguém tenha pedido. O princípio da segurança pede medidas técnicas e administrativas para proteger os dados, algo complicado de garantir em um celular pessoal sem senha. E o da transparência pede que o cliente saiba como seus dados são tratados, inclusive por esse canal.

Um ponto costuma passar despercebido: quando um colaborador atende clientes pelo WhatsApp em nome da empresa, quem responde pelo tratamento é a empresa. Não importa se o aparelho é do vendedor. Se um cliente pedir acesso ou eliminação dos seus dados, ou se as conversas vazarem, é a empresa que precisa responder, como controladora.

A base legal depende do motivo da mensagem, e não do canal. É um erro comum achar que toda mensagem pelo WhatsApp exige consentimento prévio, assim como é um erro achar que qualquer número de telefone pode receber qualquer mensagem. Para uma visão geral das hipóteses, veja nosso guia sobre como identificar a base legal adequada para cada tratamento.

Se o cliente entra em contato para tirar dúvidas, pedir um orçamento ou acompanhar um pedido, responder faz parte da execução de um contrato ou de procedimentos preliminares a pedido do próprio titular (art. 7º, V). O mesmo vale para avisos sobre o pedido, a entrega, a agenda de um serviço contratado ou a cobrança de um valor devido. Não faz sentido pedir consentimento para responder a quem perguntou.

Mandar novidades e promoções para clientes atuais pode se apoiar no legítimo interesse, que a lei associa expressamente ao apoio e à promoção das atividades do controlador (art. 10, I). Mas o legítimo interesse tem condições. A mensagem precisa respeitar o que o cliente razoavelmente espera da relação, e a empresa precisa garantir transparência sobre esse uso (art. 10, § 2º). Na prática, isso inclui oferecer uma forma simples de parar de receber. Insistir depois de um pedido de "não quero mais receber" é difícil de justificar, porque a expectativa do cliente ficou clara. Para documentar essa análise, o caminho é o teste de legítimo interesse.

Quando a frequência é alta, o conteúdo é muito variado ou a relação com a pessoa é fraca, o consentimento pode ser a base mais adequada. Uma caixa de seleção específica no cadastro ou no checkout, separada dos termos gerais, resolve boa parte dos casos.

Listas compradas, números copiados de sites ou de grupos e contatos repassados por parceiros são o cenário mais frágil. A LGPD diz que o tratamento de dados de acesso público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização (art. 7º, § 3º). Um telefone publicado para atender clientes de uma empresa não foi divulgado para receber ofertas de terceiros. Na prática, disparos para esse tipo de lista dificilmente se sustentam em qualquer base legal, além de gerarem denúncias e bloqueios.

Esta é a decisão que mais influencia o restante. Quando o atendimento acontece no número pessoal do colaborador, a empresa perde o controle sobre os dados: não sabe quais conversas existem, não consegue responder a um pedido de acesso ou de eliminação, não consegue apagar nada quando a pessoa sai e não tem como garantir que o aparelho tem senha e está atualizado.

A recomendação prática é usar números corporativos, de preferência em aparelhos da empresa ou em uma ferramenta de atendimento com acesso individual para cada atendente. Assim, o histórico pertence à empresa, o acesso pode ser retirado em minutos e é possível saber quem atendeu cada cliente. Para pequenas empresas, um único número corporativo compartilhado pela equipe, com regras claras de uso, já é um avanço grande em relação a cada vendedor usar o próprio celular.

Imagine uma loja de móveis com cinco vendedores, cada um atendendo pelo próprio celular. A loja contrata uma ferramenta de atendimento ligada a um número corporativo, cria um acesso para cada vendedor e passa a divulgar só esse número. Os orçamentos continuam sendo feitos pelo WhatsApp, mas o histórico fica com a empresa. Quando um vendedor sai, o acesso dele é desativado no mesmo dia e os clientes continuam sendo atendidos pela equipe. O exemplo é fictício, mas a mudança costuma ser mais simples do que parece.

Se o uso de celular pessoal for inevitável, defina regras mínimas por escrito: bloqueio de tela, verificação em duas etapas ativada, contatos de clientes separados dos pessoais quando possível, proibição de backup de conversas de clientes em contas pessoais e compromisso de apagar os dados ao sair da empresa. Não é o cenário ideal, mas é melhor do que nenhuma regra.

Os grupos internos são onde mais circulam dados sem necessidade. Alguém posta o print de uma conversa com o cliente para pedir ajuda, outra pessoa manda a foto do contrato assinado, e o comprovante de pagamento vai para um grupo com 40 pessoas quando só o financeiro precisava vê-lo. Cada um desses envios multiplica as cópias e o número de pessoas com acesso.

Algumas regras simples reduzem bastante o problema. Cada grupo deve ter um objetivo e um responsável. Dados de clientes devem circular apenas nos grupos em que são necessários, e de preferência com o mínimo: o número do pedido costuma bastar, sem nome completo, CPF e endereço. Quando alguém muda de área ou deixa a empresa, precisa sair dos grupos no mesmo dia. E o responsável deve revisar de tempos em tempos quem ainda está em cada grupo.

Colocar vários clientes no mesmo grupo expõe o número de telefone de cada um para todos os outros participantes. Em uma turma de curso, um condomínio ou uma comunidade de usuários, isso pode até ser esperado. Em uma lista de clientes de uma loja, não é. Para comunicados, prefira mensagens individuais ou recursos de envio em que os destinatários não vejam os contatos uns dos outros. Se o grupo fizer sentido, avise antes que o número ficará visível e permita que a pessoa escolha não participar.

O print é a forma mais rápida de mostrar o que um cliente disse, e também a forma mais rápida de espalhar dados. Para escalar um atendimento, encaminhe a conversa pelo canal interno definido, recorte o que não for necessário e evite repassar para grupos amplos. Um print com o nome, o telefone e a reclamação de um cliente pode ficar anos guardado na galeria de dez pessoas.

A exposição pública é mais grave. Em 2021, a Terceira Turma do STJ entendeu que divulgar publicamente conversas de WhatsApp sem autorização dos participantes é ato ilícito e pode gerar dever de indenizar, salvo quando a exposição tiver o objetivo de resguardar um direito próprio de quem recebeu as mensagens. Para empresas, a lição é direta: responder a uma reclamação em rede social publicando o print da conversa com o cliente é um risco desnecessário.

Já guardar a conversa como prova é legítimo. Se houver uma disputa sobre o que foi combinado, a empresa pode conservar os registros para exercer seus direitos. O ponto é guardar no lugar certo, como o sistema de atendimento ou a pasta do contrato, com acesso restrito, e não na galeria do celular de quem atendeu.

Uma conversa de WhatsApp com um cliente costuma virar um arquivo morto informal: fotos de documentos, comprovantes, endereços, áudios e, às vezes, informações de saúde ou financeiras. Sem regra, tudo fica guardado para sempre no aparelho, no backup em nuvem e nos computadores em que o aplicativo foi conectado.

A LGPD pede que os dados sejam eliminados quando a finalidade for alcançada, ressalvadas as hipóteses de conservação previstas no art. 16, como o cumprimento de obrigação legal ou regulatória. Uma regra que funciona na prática tem duas partes. Primeiro, o que precisa ser guardado, como o documento do cliente ou o aceite de uma proposta, sai do WhatsApp e vai para o sistema oficial da empresa. Depois, a conversa e os arquivos no aplicativo são apagados após um prazo definido, por exemplo alguns meses depois do encerramento do atendimento. O prazo exato depende do negócio e precisa ser decidido e registrado.

Não esqueça os backups. Se as conversas de clientes são copiadas automaticamente para a conta pessoal de nuvem do colaborador, a empresa tem uma cópia dos dados fora do seu controle, que continua existindo mesmo depois que o aparelho é formatado.

A troca de funcionários é o momento em que a falta de regra aparece. Uma sequência simples, incluída no processo de desligamento, evita a maior parte dos problemas:

Quando o atendimento acontecia no número pessoal, a empresa depende da colaboração do ex-funcionário para apagar os dados, e não tem como verificar se isso aconteceu. É mais um motivo para migrar para números corporativos.

A perda ou o roubo de um celular com conversas de clientes pode configurar incidente de segurança com dados pessoais. A Resolução CD/ANPD nº 15/2024 define incidente como qualquer evento adverso confirmado que afete a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. Um aparelho desbloqueado nas mãos de terceiros se encaixa nessa definição.

Nem todo incidente precisa ser comunicado. Pela resolução, a comunicação à ANPD e aos titulares é obrigatória quando o incidente puder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um destes critérios: dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo ou dados em larga escala. Nesses casos, o prazo é de três dias úteis a partir do momento em que a empresa sabe que o incidente afetou dados pessoais. E mesmo os incidentes não comunicados precisam ser registrados e mantidos por no mínimo cinco anos.

As medidas preventivas fazem diferença na avaliação. Um aparelho com bloqueio de tela, criptografia e verificação em duas etapas, que pode ser apagado remotamente, gera um risco muito menor do que um celular sem senha. Na hora do incidente, o primeiro passo é tentar recuperar o controle da conta e encerrar as sessões ativas. O passo a passo da resposta está no nosso guia sobre como organizar a resposta a um incidente de segurança.

Todas essas regras só funcionam se estiverem escritas e forem conhecidas pela equipe. Uma política curta, de duas ou três páginas, costuma ser suficiente. Ela deve responder a perguntas como:

O WhatsApp não é uma atividade de tratamento. É um sistema usado dentro de várias atividades: atendimento, vendas, cobrança, agendamento, suporte. No mapeamento de dados, ele deve aparecer em cada uma dessas atividades, com os tipos de dados que circulam, o prazo de retenção, quem tem acesso e se há compartilhamento com fornecedores, como uma empresa que opera a ferramenta de atendimento. Vale também verificar se os dados são armazenados ou processados fora do país.

Em uma empresa pequena, com um número e três atendentes, esse registro cabe em um documento simples. A dificuldade aparece quando cada área usa o aplicativo de um jeito, há vários números, fornecedores diferentes e uma política que muda a cada nova ferramenta. Fica difícil saber quais atividades usam o WhatsApp, qual versão da política está valendo e quando ela deveria ter sido revista.

No módulo de Mapeamento de Dados da LGPD Cloud, cada atividade de tratamento, como atendimento comercial ou cobrança, pode registrar o setor responsável, as bases legais, o tempo de retenção, os perfis de titulares, os métodos de armazenamento, os sistemas usados (incluindo o WhatsApp e a ferramenta de atendimento), a existência de transferência internacional e os compartilhamentos com terceiros. Assim, fica visível em quais processos o aplicativo aparece e com que regras.

A política de uso do WhatsApp pode ser mantida no módulo de Políticas e Normas, com responsável, área, status, versões numeradas com a descrição do que mudou, registro de aprovação e data da próxima revisão. Se um celular com conversas de clientes for perdido, o caso pode ser registrado na Gestão de Incidentes, com a avaliação de risco e as medidas tomadas.

A plataforma não controla o aplicativo nem os aparelhos. O que ela facilita é manter conectados o mapeamento, a política e os registros de incidentes, para que a regra definida no papel tenha dono e data de revisão.

Usar o WhatsApp em vendas e atendimento é compatível com a LGPD. O que cria risco é a informalidade: números pessoais, grupos sem dono, prints circulando, conversas guardadas para sempre e nenhum plano para quando um celular se perde ou um funcionário sai.

Se tiver que começar por um ponto, comece pelo número corporativo. A partir dele, fica muito mais fácil definir quem acessa, o que se guarda, o que se apaga e como responder a um cliente que pergunta o que a empresa sabe sobre ele.

Consulte o texto compilado da LGPD, especialmente os artigos 6º, 7º, 10, 11, 16, 18 e 46, a Resolução CD/ANPD nº 15/2024, que regula a comunicação de incidentes, e a notícia do STJ sobre a divulgação de mensagens de WhatsApp. No blog, veja também os guias sobre base legal, teste de legítimo interesse e resposta a incidentes.