LGPD no WhatsApp: consentimento, opt-out e modelos de texto

A Lei Geral de Proteção de Dados (Lei 13.709/2018) trata o número de telefone e o conteúdo das conversas como dados pessoais. Todo tratamento precisa de uma base legal prevista na lei, como consentimento, execução de contrato ou legítimo interesse, além de finalidade clara, necessidade (coletar só o que precisa) e transparência com o titular.

Na prática de marketing e atendimento, isso se traduz em quatro perguntas que você deve saber responder para qualquer contato: de onde veio esse número, para que ele autorizou o contato, quando e como autorizou, e como ele pede para parar. Se a resposta for "comprei uma lista", o risco jurídico e o risco de denúncia no WhatsApp são altos ao mesmo tempo. Veja também disparo em massa e LGPD.

A escolha da base legal é uma decisão do controlador e deve ser documentada. Um mapa comum, que não substitui análise jurídica, é este:

Legítimo interesse exige um teste de balanceamento documentado e não é carta branca para marketing frio. Para quem está começando, o caminho mais simples e mais defensável para campanhas é o consentimento específico, pedido de forma clara.

Consentimento válido é livre, informado e para finalidade determinada. Isso significa que a caixa não pode vir marcada de fábrica, que o texto deve dizer o que a pessoa vai receber e com que frequência, e que o consentimento para um assunto não cobre todos os outros.

Passo a passo: 1) coloque no formulário (site, landing, balcão, cadastro) um campo próprio, desmarcado, dizendo que a pessoa aceita receber mensagens por WhatsApp sobre assuntos X e Y; 2) guarde data, hora, origem (formulário, página, atendente) e o texto exato que ela viu; 3) confirme o cadastro com uma primeira mensagem curta de boas-vindas que repete a finalidade e oferece a saída; 4) respeite a finalidade: se ela pediu informações de agendamento, não envie promoção de outro produto.

Se alguém contestar, o ônus de mostrar a autorização é de quem enviou. Por isso, mantenha uma tabela mínima por contato: número, nome, finalidade autorizada, data e hora, canal de origem, texto do aviso exibido, e histórico de pedidos de saída. Essa tabela é o seu documento, e deve ter acesso restrito.

Guarde o necessário e pelo tempo necessário. Definir um prazo de retenção e apagar o que perdeu finalidade também faz parte da LGPD. Detalhes de como o ZapZap trata dados da conta estão em segurança.

A pessoa precisa conseguir sair com a mesma facilidade com que entrou. Avise em toda campanha como parar, por exemplo respondendo com uma palavra combinada, e trate o pedido como prioridade. O opt-out é um processo seu. Na prática, você recebe a resposta pelo webhook, identifica o pedido no seu sistema ou na sua automação e marca o contato como "não enviar" na sua base, antes do próximo disparo.

Duas regras de higiene: nunca reative sem novo consentimento, e consulte a sua lista de saída antes de cada campanha. Pedido de saída ignorado é a causa mais direta de denúncia, e denúncia derruba a reputação do número. Veja por que o WhatsApp bloqueia números.

Pedido de consentimento (formulário): "Quero receber mensagens da [Empresa] por WhatsApp sobre [agendamentos e novidades]. Posso cancelar a qualquer momento respondendo SAIR."

Primeira mensagem após o cadastro: "Oi, [Nome]! Aqui é a [Empresa]. Você pediu para receber [agendamentos e novidades] por aqui. Se quiser parar, é só responder SAIR."

Rodapé de campanha: "Você recebe esta mensagem porque se cadastrou em [origem] em [data]. Para não receber mais, responda SAIR."

Confirmação de saída: "Pronto, [Nome]. Você não vai mais receber mensagens da [Empresa] por aqui. Se mudar de ideia, é só nos chamar."

Resposta a quem pergunta de onde veio o contato: "Seu número veio do cadastro que você fez em [origem] em [data]. Se preferir que a gente apague seus dados, me avise que cuidamos disso." Adapte à realidade do seu processo e só prometa o que você de fato executa.

A LGPD dá ao titular direitos como confirmação de que há tratamento, acesso, correção e eliminação, entre outros. Tenha um canal e um responsável para receber esses pedidos e um prazo interno para responder. Em empresas, o encarregado (DPO) costuma centralizar esse contato.

Do lado técnico, proteja as chaves da API, não deixe o segredo em código de navegador, restrinja quem acessa as conversas e evite colocar dado sensível no corpo das mensagens. Para o uso aceitável do serviço, leia a página de uso aceitável.

Este texto é orientação geral. Ele não substitui parecer jurídico, não cobre regras setoriais (saúde, financeiro, cobrança) e não garante conformidade. Cumprir a LGPD depende do seu contexto, e as autoridades podem interpretar cada caso de forma própria.

Se a sua operação envolve dados de saúde, de crianças ou volume alto, faça uma revisão com advogado especializado antes de escalar. E lembre que a LGPD é uma camada: mesmo com consentimento perfeito, o uso não oficial do WhatsApp continua sujeito aos Termos da plataforma.

Antes de apertar enviar, confirme: a lista tem origem e autorização registradas? A finalidade da mensagem bate com a autorizada? Os pedidos de saída recentes foram retirados da lista? O texto diz quem está falando e como parar? Quem vai atender as respostas está preparado para um pedido de apagamento de dados?