Você trocou o WhatsApp pessoal pelo Business, salvou o número de cada cliente que chegou pelo Instagram e, sem pensar duas vezes, colocou todo mundo numa lista de transmissão pra avisar da promoção de sexta-feira. Parece inofensivo. Não é.
A gente vê isso toda semana em empresas de Blumenau e do Vale do Itajaí: comércio, clínica, escritório de contabilidade, imobiliária, todo mundo usando WhatsApp como CRM de graça. O problema é que WhatsApp virou o principal canal de atendimento de muita empresa pequena e ninguém tratou ele como o que ele é: um sistema de tratamento de dado pessoal, sujeito à LGPD igual qualquer banco de dados corporativo caro.
Salvar o número do cliente já é tratar dado pessoal
Nome mais número de telefone é dado pessoal, art. 5º, inciso I da Lei 13.709/2018. No momento em que você salva esse contato no WhatsApp Business, você já iniciou uma operação de tratamento. Isso não é proibido, mas exige uma base legal do art. 7º amparando aquele uso específico.
Na prática, pra atendimento (responder dúvida, enviar orçamento, avisar que o pedido chegou), a base costuma ser execução de contrato ou legítimo interesse. Funciona sem pedir consentimento assinado. O problema começa quando você usa esse mesmo número pra outra finalidade, tipo mandar propaganda. Aí a base muda e o consentimento anterior não cobre.
Lista de transmissão: o erro mais caro que vemos por aqui
Cliente que te manda mensagem perguntando o horário de funcionamento não autorizou receber promoção toda semana. São finalidades diferentes, e a LGPD trata isso no art. 6º, inciso II, o princípio da finalidade: o dado só pode ser usado pra aquilo que justificou a coleta.
Nossa leitura: se a lista de transmissão é comercial, precisa de opt-in explícito. Um checkbox, uma pergunta direta ("posso te avisar de promoções por aqui?"), qualquer registro que prove que o cliente concordou. Sem isso, cada disparo em massa é um tratamento sem base legal válida, e isso é justamente o tipo de reclamação que vira denúncia na ANPD.
- Separe fisicamente: uma lista de atendimento (números que já são clientes ativos), outra de marketing (só quem deu opt-in)
- Registre a data e o meio do consentimento (print, formulário, áudio gravado)
- Toda mensagem promocional precisa oferecer saída fácil, tipo "digite SAIR pra não receber mais"
- Revogação de consentimento é imediata, art. 8º, §5º: pediu pra sair, tira da lista no mesmo dia
Mensagem em massa: legítima ou já é spam?
Falando sério: frequência importa. Mandar aviso de manutenção programada uma vez no ano é uma coisa. Mandar oferta três vezes por semana pro mesmo número que só te perguntou o preço uma vez é outra bem diferente, e essa segunda situação tem tudo pra gerar reclamação.
O WhatsApp já pune conta comercial reportada como spam, suspendendo o número. Mas o risco jurídico é maior que isso: reclamação formalizada na ANPD gera processo administrativo, e a multa pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Pra micro e pequena empresa isso raramente chega nesse teto, mas o processo em si já consome tempo e energia que ninguém tem sobrando.
Contrato fechado por WhatsApp vale. E isso te obriga a guardar direito
Sim, contrato fechado por mensagem de texto ou áudio no WhatsApp é válido no Brasil. O Código Civil não exige forma escrita formal pra maioria dos negócios. O problema não é a validade, é a prova.
Na prática: se o cliente confirmar um serviço por áudio e depois disser que nunca autorizou, quem não guardou o histórico direito perde a discussão antes de começar. E aqui mora outra armadilha de LGPD: guardar a conversa é tratamento de dado que precisa de finalidade clara. A base é cumprimento de obrigação legal ou exercício regular de direito, já que prazo de prescrição de contrato civil costuma girar em torno de 5 anos (art. 206 do Código Civil). Exporte a conversa em PDF com timestamp, guarde em backup separado do aparelho, e não deixe essa prova depender só da memória do celular de um funcionário.
WhatsApp pessoal do funcionário é uma bomba-relógio de dados
Esse é o ponto que mais aparece em auditoria e que quase nenhuma empresa pequena resolve. Se o atendimento roda no número pessoal de um funcionário, o dado do cliente está fora do controle da empresa. Ele sai da empresa, leva o histórico junto, e você não tem como provar retenção, exclusão ou nem sequer o que foi combinado com aquele cliente.
Isso viola o princípio da responsabilização e prestação de contas (art. 6º, inciso X): a empresa precisa demonstrar que controla o ciclo de vida do dado, da coleta até o descarte. Número pessoal de funcionário não permite isso. A solução é WhatsApp Business em número da empresa, com múltiplos dispositivos vinculados ou, melhor ainda, integração via API oficial ligada a um CRM que a empresa controla, não o colaborador.
O que fazer nas próximas 2 semanas
Não precisa reescrever política de privacidade inteira pra sair do vermelho. Comece pelo que reduz risco imediato:
- Migre o atendimento do número pessoal do funcionário pro WhatsApp Business da empresa
- Separe a lista de atendimento da lista de disparo comercial, e apague desta última quem não deu opt-in
- Coloque um aviso curto de privacidade na primeira mensagem automática, informando o que a empresa faz com o número salvo
- Defina um prazo de retenção do histórico de conversa (alinhado ao prazo de prescrição do seu tipo de contrato, geralmente 5 anos) e configure backup fora do aparelho do atendente
- Se algum cliente pedir pra sair da lista, tire no mesmo dia: o art. 19 dá 15 dias pra resposta de titular, mas em WhatsApp isso deveria ser imediato
Se a empresa é micro ou pequena, vale lembrar que a Resolução CD/ANPD 02/2022 traz regime simplificado de conformidade pra esse porte. Simplificado não é dispensa: é menos burocracia no relatório, não menos responsabilidade sobre o dado do cliente que está salvo no celular da recepção.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
