LGPD no WhatsApp marketing: o que pode e checklist

Posso usar WhatsApp para marketing sob a LGPD?

Pode, com uma condição central: você precisa de base legal para cada número e, para mensagem promocional, essa base é o consentimento (opt-in) coletado antes do primeiro disparo. A LGPD não proíbe o canal — proíbe usá-lo sem fundamento. As regras da própria Meta caminham na mesma direção: a Política de Mensagens do WhatsApp Business exige opt-in antes de iniciar conversa e respeito imediato a qualquer pedido de opt-out.^[4]

Na prática, três coisas precisam estar no lugar antes de enviar: opt-in registrado (quem aceitou, quando, em qual texto), opt-out que funciona de fato (e é processado), e um contrato com o provedor que opera a API. O resto deste guia é o passo a passo de cada uma — com o checklist, a base legal por situação e os textos de mensagem prontos para adaptar.

O que a LGPD permite e o que não permite no canal

Permite: enviar a quem deu opt-in válido, enviar mensagem transacional ligada a um contrato (confirmação de pedido, código, lembrete de agendamento) e, em casos delimitados, relacionamento pós-venda com cliente ativo. Não permite: disparar para lista comprada ou "enriquecida" sem origem documentada, prospectar a frio quem nunca teve vínculo com a marca, e continuar enviando depois que o titular pediu para sair. Esses três são, ao mesmo tempo, infração à LGPD e violação da política da Meta — que costuma reagir antes, banindo o número.

Checklist de conformidade antes da próxima campanha

Use esta lista como porta de entrada: se algum item estiver em aberto, resolva antes de disparar. Ela cobre o mínimo que a empresa precisa demonstrar em caso de fiscalização.

1. Base legal definida por finalidade. Cada tipo de mensagem (promocional, transacional, relacionamento) tem sua base legal anotada — consentimento, execução de contrato ou legítimo interesse.
2. Opt-in registrado. Para cada contato promocional: data, número, origem (formulário, atendente, link) e o texto exato exibido na hora do aceite.
3. Texto de opt-in claro. Diz o nome da empresa, o tipo de mensagem e a frequência aproximada — não está escondido em "li e aceito os termos".
4. Opt-out funcional em todo envio. Instrução visível ("responda SAIR") e processamento que de fato interrompe os envios.
5. Política de privacidade publicada que mencione o WhatsApp como canal e as finalidades de uso.
6. DPA assinado com o BSP/provedor da API, com finalidades autorizadas, subprocessadores e notificação de incidente.
7. Canal para os direitos do titular (acesso, correção, exclusão) além do opt-out — normalmente o e-mail ou formulário do encarregado.
8. Nenhuma lista comprada, enriquecida ou herdada sem origem documentada no disparo.
9. Sem coleta ou inferência de dado sensível por padrão (saúde, religião, opinião política) na segmentação.
10. Política de retenção: contatos inativos passam por re-permissão ou são removidos depois de um prazo definido.

Qual a base legal para cada tipo de mensagem

A base legal depende da finalidade do envio, não do canal. A LGPD lista dez hipóteses; em WhatsApp marketing, três são as que importam. O erro mais comum é tratar tudo como "consentimento genérico" — cada finalidade precisa do seu fundamento.

Mensagem promocional: consentimento (art. 7º, I)

Para oferta, novidade, cupom ou campanha, a base é o consentimento — opt-in inequívoco coletado antes do envio. Inequívoco significa ação afirmativa do titular: checkbox ativo (nunca pré-marcado), confirmação por link, ou registro do atendente quando o pedido vem por outro canal. Guarde o registro técnico: data, número, origem e o texto exibido na época. Consentimento embutido em "aceito os termos" não vale, porque não é específico para a finalidade.

Mensagem transacional: execução de contrato (art. 7º, V)

Confirmação de pedido, atualização de entrega, código de verificação e lembrete de agendamento não precisam de opt-in de marketing — são continuação de algo que o cliente já contratou. A base é a execução de contrato. O limite: a mensagem precisa se restringir à transação. Aproveitar a confirmação de entrega para empurrar uma promoção transforma o envio em marketing e exige consentimento.

Cliente existente x prospect frio: o legítimo interesse (art. 7º, IX)

Legítimo interesse pode amparar relacionamento pós-venda com cliente ativo, dentro da expectativa razoável de quem comprou recentemente — mas exige teste de legítimo interesse formalizado por escrito (interesse legítimo, necessidade do tratamento, balanceamento com os direitos do titular). A ANPD publicou guia orientativo específico sobre essa hipótese, detalhando o teste e seus limites.^[2] O que o legítimo interesse não cobre: prospecção fria, lista comprada e disparo a contatos sem vínculo prévio com a marca — nesses casos não há expectativa razoável, e a base não se sustenta.

Lista comprada é proibida — e por quê

Disparar para uma lista comprada ou "enriquecida" não tem base legal: não há consentimento (você não coletou), não há contrato (a pessoa não é cliente) e não há legítimo interesse (não existe vínculo nem expectativa). É exposição direta na LGPD e, antes disso, motivo frequente de banimento do número pela Meta, que monitora volume de bloqueios e denúncias. Se a base atual tem origem duvidosa, a saída é parar o uso e rodar uma campanha de re-permissão — pedindo opt-in explícito antes de retomar.

Exemplos de mensagem: opt-in e descadastro

Os textos abaixo são modelos para adaptar ao seu negócio. O princípio é o mesmo do checklist: dizer quem envia, o que será enviado e como sair.

Texto de opt-in no formulário de captura

Junto ao campo de telefone, com checkbox desmarcado: "Aceito receber mensagens da [Empresa] no WhatsApp sobre [ofertas e novidades], cerca de [2 a 4] vezes por mês. Posso sair quando quiser respondendo SAIR. Veja como tratamos seus dados na nossa Política de Privacidade." O checkbox separado do "aceito os termos" garante que o consentimento seja específico para o canal.

Mensagem de confirmação do opt-in (double opt-in)

No primeiro contato, confirmar o aceite reduz reclamação e bloqueio: "Olá! Aqui é a [Empresa]. Você pediu para receber nossas [ofertas] por aqui. Para confirmar, responda SIM. Se não foi você, ignore esta mensagem — não enviaremos mais nada." Esse passo também ajuda na saúde do número junto à Meta.

Instrução de descadastro em cada campanha

Toda mensagem promocional deve trazer, ao final, a saída visível: "Para parar de receber estas mensagens, responda SAIR." Curto e literal. O essencial não é só a frase — é o sistema processar "SAIR" automaticamente e o titular realmente não receber mais nada depois.

Confirmação após o opt-out

Quando o titular pede para sair, confirme e encerre: "Pronto, você não receberá mais mensagens promocionais da [Empresa] no WhatsApp. Se mudar de ideia, é só responder VOLTAR." A confirmação evita a percepção de que o pedido foi ignorado — que é o gatilho de denúncia que mais aciona o banimento pela Meta.

Como atender os direitos do titular no canal

A LGPD dá ao titular direitos que precisam de fluxo definido — não basta o opt-out. Opt-out e exclusão são coisas diferentes, e essa confusão gera falha de conformidade.

Opt-out x exclusão: qual é a diferença

Opt-out marca o contato como "não enviar" — ele permanece na base, mas para de receber. Exclusão remove o registro e o histórico, salvo base legal específica para manter (por exemplo, obrigação fiscal de guardar o registro de uma transação). O titular pode pedir qualquer um dos dois. O "SAIR" no WhatsApp resolve o opt-out; a exclusão completa normalmente passa pelo canal do encarregado.

Como processar um pedido de exclusão

O fluxo precisa estar desenhado: canal de entrada (e-mail ou formulário do encarregado), responsável pela triagem, prazo de resposta razoável e execução em todas as ferramentas — não basta tirar do CRM, é preciso propagar para a plataforma de envio, o histórico do canal e as integrações. Registre o atendimento (data, tipo de pedido, ação executada): esse log também serve de defesa em fiscalização.

Acesso, correção, oposição e portabilidade

Além de excluir, o titular pode pedir confirmação de que a empresa trata seus dados e cópia do conteúdo (acesso), atualização de número ou nome (correção), oposição a tratamento baseado em legítimo interesse (na prática, opt-out total da finalidade) e os dados em formato estruturado (portabilidade). Em pequena empresa o fluxo é manual; em grande, é automatizado via portal de privacidade.

Como as regras do WhatsApp/Meta se somam à LGPD

Cumprir a LGPD não basta: o uso comercial do canal é regido também pelas políticas da própria Meta, que têm sanção própria e mais rápida. Os dois conjuntos de regras se reforçam, mas não são idênticos.

O que a Política de Mensagens do WhatsApp Business exige

A política exige opt-in antes de iniciar conversa com qualquer pessoa, identificação clara da empresa no momento do aceite e respeito a todo pedido de bloqueio ou descadastro — dentro ou fora do WhatsApp.^[4] As Diretrizes de Mensagens reforçam a proibição de spam, contato repetido não solicitado e disparo em massa automatizado, sob pena de suspensão da conta.^[5] Na prática, o que a LGPD chama de "base legal" a Meta cobra como "opt-in" — e fiscaliza pelo comportamento do número.

Por que o número é banido antes da multa chegar

A Meta monitora a qualidade do número: volume de bloqueios, denúncias e marcação como spam pelos destinatários. Uma campanha para lista fria dispara esses sinais e leva à queda na classificação de qualidade ou ao banimento — muito antes de qualquer procedimento da ANPD. Por isso opt-in válido e opt-out ágil não são só conformidade legal: são o que mantém o número operacional.

Operador (BSP) e transferência internacional

O acesso à API oficial é feito via BSPs (Business Solution Providers) certificados pela Meta. Eles são operadores no jargão da LGPD: tratam dado em nome da sua empresa e exigem DPA com finalidades autorizadas, lista de subprocessadores (a Meta é o principal), notificação de incidente e exclusão ao fim do contrato. Como a infraestrutura da Meta hospeda dados fora do Brasil, há transferência internacional — que exige garantias adequadas (cláusulas-padrão, certificações ou decisão de adequação). Para operação com base na União Europeia, somam-se exigências do GDPR.

Dados sensíveis e registro de operações

Dois pontos que costumam passar batido e geram exposição mesmo em operação com opt-in correto.

Por que não segmentar por dado sensível

Dado sensível (saúde, religião, opinião política, filiação sindical, vida sexual, genético, biométrico) tem regra mais rígida: exige consentimento específico e destacado. A armadilha é a inferência indireta — segmentar a base por "interesse em farmácia" pode revelar condição de saúde; por "material religioso", convicção. Ainda que o dado não tenha sido coletado, a inferência cria tratamento de dado sensível sem base legal. A regra prática: não segmentar por critério que revele dado sensível, salvo com consentimento específico.

O que registrar para auditoria

O art. 37 da LGPD exige registro das operações de tratamento. No canal, isso significa manter, por contato: data do opt-in, número, origem, texto do consentimento e versão da política vigente. Por envio: data, template, finalidade e base legal. Por atendimento: tipo de pedido, prazo e ação. O log também é dado pessoal e precisa de política de retenção própria.