LGPD aplicada a WhatsApp marketing

Por que WhatsApp marketing precisa de tratamento específico de LGPD

WhatsApp é um canal de comunicação altamente intrusivo. Ao contrário de email, onde uma mensagem indesejada vai para a caixa de entrada e pode esperar, mensagem no WhatsApp chega com notificação, aparece na tela, interrompe. Para o titular, mensagem comercial não solicitada no canal é percebida como invasão. Para a ANPD, é tratamento de dado pessoal sujeito a regras claras de base legal, transparência e controle do titular.

Soma-se que o WhatsApp é operado pela Meta, empresa com servidores fora do Brasil — isso configura transferência internacional automática quando o canal é usado. E que o BSP (Business Solution Provider) que intermedia o acesso à API oficial é operador no jargão da LGPD: precisa de contrato específico, com cláusulas mínimas.

O artigo organiza os pontos críticos em três planos: bases legais aplicáveis, direitos do titular operacionalizados, e contratos com operadores e transferência internacional. O caminho prático passa por consulta a advocacia especializada em LGPD para análise de caso concreto — este conteúdo é orientativo, não jurídico dogmático.

Bases legais aplicáveis ao canal

A LGPD lista bases legais para tratamento de dado pessoal. Em WhatsApp marketing, três são as relevantes:

Consentimento (art. 7º, I) é a regra para envio de mensagens promocionais. Opt-in inequívoco no momento da captura: checkbox ativo em formulário, registro do atendente ao receber pedido por outro canal, link de aceite com confirmação. Texto claro: "Aceito receber mensagens da [empresa] no WhatsApp sobre [tema], com frequência aproximada de [X] por semana." Registro técnico: data, número, origem do consentimento, texto exibido na época.

Execução de contrato (art. 7º, V) ampara mensagens transacionais ligadas a algo que o cliente já contratou: confirmação de pedido, atualização de entrega, código de verificação, lembrete de agendamento. Não precisa de opt-in marketing porque não é marketing — é continuação da execução do contrato.

Legítimo interesse (art. 7º, IX) pode amparar mensagens transacionais com complemento informativo e contatos pós-venda com expectativa razoável do cliente. Exige teste de legítimo interesse formalizado. Não é base legal para prospecção fria, importação de lista comprada ou disparos a contatos sem vínculo prévio com a marca.

A prática mais segura: separar finalidades por base legal e documentar em matriz. Linhas com finalidades (confirmação de pedido, lembrete, promoção, pesquisa), colunas com base legal, ferramenta usada, retenção, transferência internacional, responsável.

Direitos do titular operacionalizados

A LGPD garante ao titular direitos que precisam ser atendidos no canal e fora dele:

Confirmação de tratamento e acesso. O titular pode pedir confirmação de que a empresa trata seus dados via WhatsApp e cópia do conteúdo enviado/recebido. Operacionalmente, isso requer que o histórico esteja acessível por algum tempo definido em política.

Correção. Atualização de dados incorretos (número, nome). Normalmente simples.

Exclusão. Exclusão completa do contato e do histórico, salvo se houver base legal específica para manter (por exemplo, registro fiscal obrigatório de transação). Diferente de opt-out — opt-out mantém o contato marcado como "não enviar"; exclusão remove.

Oposição. Para tratamentos baseados em legítimo interesse, o titular pode se opor. Em prática, equivale a opt-out total para a finalidade em questão.

Portabilidade. Direito a receber os dados em formato estruturado. Raro de ser exercido em WhatsApp marketing, mas precisa estar previsto.

Operacionalmente, o opt-out via canal precisa ser simples: "responda SAIR para parar de receber" funciona, desde que o sistema processe automaticamente e o titular não receba mais. O canal de atendimento ao encarregado (email ou formulário) trata exclusão completa, portabilidade e pedidos de acesso. Em pequena empresa, o fluxo é manual; em grande, é automatizado via portal de privacidade.

Dados sensíveis: nunca por padrão

A LGPD trata como sensíveis dados sobre origem racial, convicção religiosa, opinião política, filiação sindical, dados de saúde, dados sobre vida sexual e dado genético ou biométrico. Tratamento de dado sensível tem regra mais rigorosa: precisa de consentimento específico e destacado, ou de uma das outras hipóteses muito restritas previstas no art. 11.

Em WhatsApp marketing, a regra prática é: não coletar nem inferir dado sensível por padrão. Templates de mensagem genéricos não precisam coletar essas informações. Quando o caso exige (por exemplo, comunicação de clínica médica com paciente), o consentimento precisa ser específico para a finalidade sensível, com clareza extra sobre o que está sendo tratado.

Atenção a inferências indiretas: segmentar a base por "interesse em produto de farmácia" pode revelar condição de saúde; segmentar por "interesse em material religioso" revela convicção. Ainda que o dado não tenha sido coletado explicitamente, a inferência cria tratamento de dado sensível que precisa de base legal específica.

Operador (BSP) e transferência internacional

O acesso à API oficial do WhatsApp Business é feito via BSPs (Business Solution Providers) certificados pela Meta. Esses fornecedores são operadores no jargão da LGPD: tratam dado pessoal em nome da empresa contratante. A LGPD exige contrato específico (DPA) com cláusulas mínimas:

Finalidades autorizadas para tratamento (só pode usar para o que foi contratado, não para finalidades próprias do BSP). Lista de subprocessadores (a Meta é a principal, mas pode haver outros). SLA de notificação de incidente. Direito de auditoria. Procedimento de exclusão ao fim do contrato.

Transferência internacional: quando dado pessoal é enviado a servidores fora do Brasil, configura transferência. A Meta hospeda dados em diversos países, predominantemente EUA. A LGPD exige garantias adequadas: cláusulas-padrão da ANPD, certificações reconhecidas, ou decisão de adequação do país. Em prática, isso significa exigir do BSP que o contrato com a Meta inclua cláusulas LGPD aplicáveis ao subprocessamento.

Para operações com base na União Europeia, somam-se exigências do GDPR. Para operações com base nos EUA da Califórnia, somam-se exigências do CCPA/CPRA. Análise jurídica é necessária quando há cenário cross-border relevante.

Registro de operações

O artigo 37 da LGPD exige que controlador e operador mantenham registro das operações de tratamento. Em WhatsApp marketing, esse registro inclui: quais finalidades de envio existem, qual a base legal de cada uma, qual a política de retenção, quem são os operadores (BSP, integrador, plataforma de CRM), quais são os fluxos de dados, quais são os subprocessadores.

Em pequena empresa, esse registro é uma planilha ou documento. Em média empresa, é parte do RIPD mantido pelo encarregado. Em grande, alimenta sistema de governança como OneTrust ou similar.

Também é prudente manter log de envios (data, número, template usado, base legal aplicável) por período definido em política — útil para responder a pedidos do titular (acesso) e para defesa em eventual fiscalização. Atenção: o log também é dado pessoal e precisa de política de retenção própria.

Erros comuns que geram exposição regulatória

Importar lista comprada ou enriquecida. Sem base legal documentada, qualquer disparo cria risco direto. Resolver: parar o uso e rodar campanha de re-permissão antes de retomar.

Prospectar a frio em massa. Disparar mensagem comercial para quem nunca teve vínculo com a marca não é amparado por consentimento (que não existe) nem por legítimo interesse (que exige expectativa razoável do titular). Risco regulatório e de banimento do número pela Meta.

Ignorar opt-out. Continuar enviando após o titular pedir saída. Resolver com automação que processa "SAIR" imediatamente e com fluxo formal para pedidos via canal do encarregado.

Juntar bases sem amparo. Combinar lista de clientes ativos com lista de prospects e disparar tudo junto sob a alegação de que "todos são clientes em potencial". A base legal do contato original importa para o novo uso.

Operar sem DPA com o BSP. Contratar BSP sem revisar o contrato com cláusulas LGPD é exposição direta.

Não documentar a base legal por finalidade. Em fiscalização, a empresa precisa demonstrar o fundamento legal. Sem registro, fica vulnerável.

Coletar ou inferir dado sensível por padrão. Segmentação que revela condição de saúde, convicção religiosa, opinião política. Resolver evitando segmentações dessa natureza ou tratando-as com consentimento específico.

As sanções da ANPD vão de advertência a multa de até 2% do faturamento da empresa, limitada a R$ 50.000.000,00 por infração. Há ainda sanções específicas da Meta (banimento do número, suspensão da conta) que costumam ser mais imediatas que as regulatórias.