LGPD e WhatsApp: o que a lei pede de quem atende por mensagem

A Lei Geral de Proteção de Dados (Lei 13.709/2018) não menciona o WhatsApp, e nem precisa. Ela vale para qualquer tratamento de dados pessoais, em qualquer meio. Se a sua empresa atende clientes por mensagem, a conversa é tratamento de dados, e a LGPD se aplica a ela.

Este artigo é informativo e não substitui orientação jurídica.

Segurança é obrigação, não boa prática

O artigo 46 pede medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Um CPF enviado ao contato errado é exatamente esse tipo de situação.

O artigo 52 prevê sanções que vão da advertência à multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além da publicização da infração.

Dado sensível pede cuidado redobrado

Dados de saúde, biométricos, de origem racial, religiosa, política, entre outros, são dados sensíveis (artigo 5º, II, e artigo 11). Em clínicas, hospitais, operadoras e RH, eles aparecem com frequência em conversas. Detectar termos médicos e códigos CID antes do envio reduz muito a exposição.

Direitos do titular chegam ao WhatsApp

O titular pode pedir confirmação, acesso, correção e eliminação dos seus dados (artigo 18). Se a empresa guarda registros de conversas, eventos ou gravações, eles entram no pedido. Ter isso pesquisável, com prazo controlado e trilha, evita que o atendimento ao pedido vire uma caça manual.

E o monitoramento dos colaboradores?

Monitorar o canal corporativo é possível, mas exige base legal adequada, finalidade clara, transparência e proporcionalidade. Na prática:

• informe o colaborador, por escrito, do que é monitorado e por quê;
• guarde o mínimo necessário, de preferência amostras mascaradas e não conversas inteiras;
• restrinja quem pode ver os registros e registre cada acesso;
• documente a avaliação em um relatório de impacto (RIPD) quando o risco justificar.

Checklist rápido

1. Mapeie onde o WhatsApp é usado e quais dados circulam.
2. Defina a política e a base legal.
3. Adote uma medida técnica de prevenção antes do envio.
4. Defina retenção e expurgo dos registros.
5. Prepare o atendimento a pedidos de titulares.
6. Registre tudo no inventário de dados (ROPA).

Veja como o ZapShield apoia cada ponto na página de LGPD.