LGPD é a sigla da Lei Geral de Proteção de Dados Pessoais, a Lei 13.709/2018, que regula como empresas e pessoas podem coletar, usar, guardar e compartilhar dados de pessoas físicas no Brasil. Ela está em vigor desde setembro de 2020, e as sanções passaram a ser aplicáveis em agosto de 2021.
Para quem atende ou faz campanha pelo WhatsApp, a lei não é um detalhe distante: número de telefone é dado pessoal, e toda lista de contatos é um banco de dados sob a LGPD.
O que a lei considera dado pessoal
Dado pessoal é qualquer informação que identifique ou permita identificar uma pessoa. Nome, telefone, e-mail, CPF e endereço são os óbvios. Histórico de compra, de conversa e de navegação também entram, porque ligam a um indivíduo.
Existe uma categoria mais protegida, o dado pessoal sensível: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado de saúde, vida sexual, dado genético e dado biométrico. Tratar esses dados exige base legal mais restrita, e o descuido aqui é o que mais pesa em eventual fiscalização.
Isso tem efeito prático em segmentação. Uma lista chamada “pacientes do tratamento X” ou “clientes do programa de reabilitação” é dado de saúde, mesmo que ninguém a chame assim.
No outro extremo, dado que não permite identificar ninguém fica fora do alcance da lei, assunto do verbete de anonimização e pseudonimização. A ressalva é que agregar só anonimiza quando o grupo é grande o bastante para esconder o indivíduo.
Os três papéis que a lei define
- Controlador é quem decide o que fazer com os dados. É a sua empresa.
- Operador é quem trata os dados em nome do controlador. É o fornecedor de plataforma, por exemplo.
- Encarregado, também chamado de DPO, é a pessoa de contato entre a empresa, os titulares e a autoridade.
A distinção importa quando algo dá errado: a responsabilidade pela decisão é do controlador, e contratar fornecedor não transfere essa responsabilidade. Por isso vale ter contrato com cláusula de proteção de dados com quem opera a sua base.
O regime simplificado para pequeno porte
Esta é a parte que raramente aparece em material sobre WhatsApp e que provavelmente se aplica ao seu negócio.
A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para agentes de tratamento de pequeno porte, que inclui microempresas, empresas de pequeno porte, startups e pessoas jurídicas de direito privado dentro dos limites de receita. Nesse regime:
- A indicação de encarregado deixa de ser obrigatória
- O registro das operações de tratamento pode seguir modelo simplificado
- Os prazos de atendimento aos titulares e de comunicação de incidente contam em dobro
Dois pontos que tiram a empresa do regime, e que convém verificar antes de se apoiar nele: receita bruta acima do limite de empresa de pequeno porte, e tratamento classificado como de alto risco, categoria em que entram dados sensíveis e dados de crianças, adolescentes e idosos.
A consequência é direta e pouca gente percebe: uma clínica ou uma empresa que atende público idoso pode estar fora do regime simplificado mesmo sendo pequena.
Nada disso dispensa base legal, princípios da lei ou direitos do titular. O que muda é o peso das obrigações formais, não o conteúdo delas.
O que a LGPD exige na prática no WhatsApp
Cinco exigências cobrem a maior parte do que uma operação de WhatsApp precisa:
- Base legal para cada uso. Consentimento não é a única, e nem sempre é a mais adequada.
- Finalidade declarada e respeitada. Telefone coletado para emitir nota fiscal não vira lista de promoção sem nova base.
- Registro de como o dado chegou. Data, origem e, quando houver, o texto do opt-in apresentado.
- Saída fácil e respeitada. Pedido de descadastro processado, não apenas recebido.
- Segurança razoável. Acesso controlado, senha individual por atendente, planilha de base fora do computador pessoal.
O item que mais falha é o terceiro. Muita empresa cumpre as regras na prática e não consegue demonstrar, e a lei coloca o ônus da prova sobre o controlador.
Onde o disparo em massa colide com a lei
Disparo em massa para lista comprada ou extraída de grupo é o caso mais claro de problema: não há base legal, não há finalidade compatível e não há como demonstrar consentimento.
Vale notar que o risco aqui é duplo e independente. A Meta pode restringir o número por qualidade baixa, e a autoridade pode agir por tratamento irregular. Resolver um não resolve o outro.
As sanções previstas
A lei prevê advertência, obrigação de corrigir, publicização da infração, bloqueio ou eliminação dos dados, suspensão do banco de dados e multa. O teto é de 2% do faturamento do último exercício, limitado a R$ 50 milhões por infração.
Na prática, a atuação da autoridade brasileira tem começado por pedidos de informação e determinações de correção, com multas concentradas em casos de maior gravidade ou de reincidência. Isso não é motivo para relaxar, e sim para entender que o primeiro contato costuma ser uma oportunidade de corrigir, desde que não seja ignorado.
Termos relacionados
Consentimento · Base legal · Titular dos dados · ANPD · Opt-in
Onde aprofundar
O guia de disparo de mensagens pela API oficial descreve o processo completo, incluindo registro de autorização e tratamento de pedidos de saída.
O Azallon Dispara PRO registra a origem e a data de cada contato e processa automaticamente os pedidos de descadastro, que são os dois pontos em que a conformidade costuma falhar por falta de ferramenta.
Este verbete explica conceitos da Lei 13.709/2018 e de resoluções da ANPD consultadas em outubro de 2026, e não substitui orientação jurídica para o seu caso concreto.