LGPD no WhatsApp da empresa: o que fazer com contatos e conversas

O orçamento está numa conversa no celular do vendedor. O endereço de entrega está num áudio. O CPF foi digitado numa planilha que três pessoas editam. Na clínica, o exame do paciente chegou por foto no WhatsApp da recepção. Se essa é a sua operação, a LGPD no WhatsApp da empresa já vale para você, mesmo que ninguém tenha falado disso ainda.

A boa notícia: para empresa pequena, a lei pede menos burocracia do que muita gente imagina. A má: quase todo o risco está em hábitos do dia a dia, e não em papel. Vamos ao que a lei diz e ao que fazer na segunda-feira.

O que é a LGPD e por que ela vale para o seu WhatsApp?

A Lei Geral de Proteção de Dados Pessoais (LGPD) é a Lei nº 13.709, de 14 de agosto de 2018, que define como empresas podem coletar, guardar e usar dados de pessoas. Ela vale para o WhatsApp porque o nome e o telefone de um cliente já são dado pessoal.

A própria lei define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. E chama de tratamento quase tudo o que sua equipe faz no aplicativo: coleta, recepção, acesso, arquivamento, armazenamento, transmissão e eliminação, entre outras operações. Receber uma mensagem, salvar o contato e encaminhar um print são tratamento.

Três termos que vão aparecer no resto do texto:

• Titular: a pessoa a quem os dados se referem, ou seja, o seu cliente ou paciente.
• Controlador: quem decide sobre o tratamento. Em regra, a sua empresa.
• Dado pessoal sensível: pela lei, inclui dado referente à saúde ou à vida sexual, dado genético ou biométrico, entre outros. É o caso do exame enviado à clínica.

Quais bases legais permitem usar os dados do cliente no WhatsApp?

A LGPD só permite tratar dados em hipóteses listadas no art. 7º, as chamadas bases legais. Para quem vende pelo WhatsApp, três aparecem mais: execução de contrato, legítimo interesse e consentimento.

Alguns detalhes mudam a prática:

• No legítimo interesse, a lei diz que somente os dados pessoais estritamente necessários podem ser usados e que a empresa precisa garantir transparência. Não é carta branca para mandar qualquer coisa.
• No consentimento, cabe à empresa o ônus da prova de que ele foi obtido, as autorizações genéricas são nulas, e ele pode ser revogado a qualquer momento, por procedimento gratuito e facilitado.
• No dado de saúde, as regras são as do art. 11: consentimento específico e destacado ou, sem consentimento, hipóteses como a tutela da saúde em procedimento feito por profissionais de saúde.

Na dúvida sobre qual base usar em um caso concreto, vale a conversa com um advogado. O que não dá é não ter base nenhuma.

O que muda para agentes de tratamento de pequeno porte?

A ANPD (Autoridade Nacional de Proteção de Dados) aprovou, pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, regras mais leves para microempresas, empresas de pequeno porte e startups. Elas aliviam a burocracia, mas não dispensam a lei.

O que fica mais simples:

• Encarregado opcional: a empresa pequena não é obrigada a indicar o encarregado, mas precisa ter um canal de comunicação com o titular. Um número ou e-mail claro para assuntos de dados resolve.
• Registro simplificado: o registro das operações com dados pessoais pode ser feito de forma simplificada.
• Prazo em dobro: a resolução concede prazo em dobro para atender pedidos dos titulares e para a declaração completa do art. 19, II, que na regra geral é de até 15 dias. A declaração simplificada pode sair em até quinze dias.
• Segurança proporcional: é possível ter uma política simplificada de segurança da informação, pensada para o tamanho da operação.

Agora o alerta. Não entra no regime simplificado quem realize tratamento de alto risco ou tenha receita bruta acima do limite da empresa de pequeno porte na Lei Complementar nº 123, de 2006. E a resolução lista entre os critérios de alto risco a utilização de dados pessoais sensíveis, quando combinada com larga escala ou com tratamento que possa afetar significativamente direitos dos titulares. Clínica que recebe exame pelo WhatsApp precisa olhar esse ponto com atenção.

E vale lembrar: a flexibilização não isenta a empresa das bases legais, dos princípios e dos direitos dos titulares.

Checklist da LGPD no WhatsApp da empresa: 6 passos

Estes passos saem do texto da lei, da resolução e do Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, publicado pela ANPD em outubro de 2021.

1. Número e celular da empresa, não do funcionário

O guia da ANPD recomenda que, quando possível, a empresa separe os dispositivos móveis de uso privado dos de uso institucional, e que celulares pessoais não sejam usados se não tiverem a mesma segurança. Na prática: o cliente fala com o número da empresa, num aparelho da empresa, com senha de bloqueio de tela.

2. Cada um com o seu acesso, e só o necessário

O guia pede que a empresa não permita o compartilhamento de contas ou de senhas entre funcionários e aplique o princípio do menor privilégio: cada pessoa acessa só o que precisa. Planilha de clientes com CPF não precisa estar aberta para toda a equipe. Se vários atendentes usam o mesmo número, veja como organizar isso em WhatsApp com vários atendentes.

3. Peça só o dado que vai usar

O princípio da necessidade, no art. 6º da LGPD, limita o tratamento ao mínimo necessário. A política do WhatsApp vai na mesma linha: ela pede que a empresa não compartilhe nem solicite números completos de cartão de pagamento, de conta financeira ou de documento de identidade. Se o CPF só é necessário para emitir a nota, peça no momento da nota, não na primeira mensagem.

4. Plano para quando o funcionário sai

Funcionário que sai não pode levar a carteira de clientes no bolso. O guia da ANPD recomenda termos de confidencialidade assinados com a equipe e sugere avaliar recursos para apagar remotamente os dados pessoais em caso de perda ou roubo do aparelho. No dia do desligamento: recolha o celular da empresa, troque senhas, desconecte o WhatsApp de computadores e tire o acesso às planilhas.

5. Um caminho claro para o cliente que pede para sair

Quando o cliente diz "não quero mais receber mensagem", ele está exercendo um direito. A LGPD garante a revogação do consentimento e o direito de se opor ao tratamento feito sem consentimento quando houver descumprimento da lei. A política do WhatsApp exige respeitar pedidos para bloquear, interromper ou cancelar comunicações, inclusive tirando a pessoa da lista de contatos.

Modelo de resposta que você pode usar: "Pronto, [nome]. Tirei seu número da nossa lista de novidades e você não recebe mais esse tipo de mensagem. Se precisar de nós para um pedido, é só chamar aqui." Depois, marque o contato como "não enviar" na planilha ou no sistema, para ninguém da equipe adicionar de novo.

Se o pedido for para apagar os dados, lembre que a lei autoriza guardar o que for preciso para cumprimento de obrigação legal ou regulatória. Apague o resto e explique ao cliente o que precisou ficar e por quê.

6. Lista de transmissão e disparo só com autorização

Aqui o risco é duplo: a lei e a conta. Pela política do WhatsApp, a empresa só pode contatar quem deu o número e deu permissão para receber mensagens dela. A mesma política diz que usuários podem bloquear ou denunciar empresas e que os sistemas podem limitar o envio com base nisso. Também proíbe encaminhar ou compartilhar informações da conversa de um cliente com outro cliente.

Na prática: separe quem é cliente ativo de quem pediu para receber ofertas, registre quando e como cada um autorizou e nunca compre lista. Para usar bem a base que já autorizou, veja como fazer o cliente voltar a comprar.

E o dado de saúde que chega pelo WhatsApp da clínica?

Dado de saúde é dado sensível e pede cuidado redobrado. A política do WhatsApp diz para não usar o aplicativo para telemedicina nem para enviar ou pedir informação de saúde se as regras aplicáveis proibirem esse tipo de envio por sistemas sem requisitos reforçados.

O guia da ANPD recomenda que empresas que tratam dados sensíveis, como serviços de saúde, criem um canal de acesso restrito para esse tipo de informação. Uma saída prática: o WhatsApp agenda e confirma, e o exame vai para o sistema da clínica, com acesso só de quem atende o paciente. Confira também as normas do seu conselho profissional.

Autodiagnóstico: responda sim ou não

1. Todo atendimento a cliente sai de um número da empresa, e não do celular pessoal de alguém?
2. Você sabe dizer quem, hoje, tem acesso às conversas e às planilhas com dados de clientes?
3. Quando o último funcionário saiu, os acessos dele foram cortados no mesmo dia?
4. Existe um jeito registrado de marcar quem pediu para não receber mais mensagens?
5. Cada contato da sua lista de ofertas autorizou receber essas mensagens?

Cada "não" é uma porta aberta. Comece pelo número 1 e pelo número 3: são os que mais expõem a empresa quando alguém sai ou perde o celular.

Por onde começar esta semana

Liste onde os dados de cliente moram hoje (quais celulares, quais planilhas, quais computadores), quem acessa cada lugar e qual base legal justifica cada uso. Essa lista já é o começo do seu registro simplificado. Depois, escolha um canal para pedidos de dados e escreva as regras de saída de funcionário em uma página.

Quando a operação crescer, ferramentas como a API oficial do WhatsApp Business e um CRM ajudam a controlar acessos e históricos, mas só depois de entender onde está o problema. Mais conteúdo sobre isso no guia de gestão e tecnologia. Se quiser ajuda para enxergar onde sua operação trava, a 1i faz uma sessão gratuita de 30 minutos de diagnóstico.

Este conteúdo é informativo e não substitui orientação jurídica para o seu caso.