Sim, a LGPD vale pro seu negócio, mesmo que você seja MEI e venda só pelo WhatsApp. Toda vez que um cliente te passa o nome, o telefone ou o endereço no zap, você está lidando com dado pessoal. A lei não proíbe vender pelo app. Ela pede três coisas: um motivo legítimo pra usar esses dados, respeito a quem pede pra sair da lista, e cuidado pra guardar só o que precisa. Quem ignora se arrisca a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
A LGPD vale pra você que vende pelo WhatsApp?
Vale, e não tem asterisco. A Lei Geral de Proteção de Dados (Lei 13.709/2018) alcança qualquer empresa que trate dado de pessoa física no Brasil, do MEI à rede grande. Se você usa o WhatsApp pra atender e vender, você trata dado pessoal todo santo dia, e a lei entra em cena.
E olha o tamanho disso. Segundo o Sebrae, 82% dos donos de pequenos negócios apontam o WhatsApp como principal canal de comunicação e vendas, na frente de Instagram e Facebook. Se você é como a maioria, o seu principal ponto de contato com o cliente também é o seu maior estoque de dado pessoal.
Pensa na padaria do bairro que anota nome e telefone de quem faz encomenda pra avisar quando a promoção da semana sai. Isso é tratamento de dado. A clínica que guarda o WhatsApp do paciente pra confirmar consulta, idem. Nenhuma dessas empresas é uma "big tech", e todas entram na LGPD. Tanto que o próprio Sebrae orienta os pequenos negócios a se adaptarem, com curso e diagnóstico. Não é papo só de escritório de advocacia.
O que conta como dado pessoal numa conversa de WhatsApp
Dado pessoal é qualquer informação que identifica alguém. Numa conversa de WhatsApp, isso é quase tudo o que passa pela tela: o número de telefone, o nome no perfil, o endereço de entrega, o CPF que a pessoa manda pra nota, a foto, e o histórico do que ela já comprou de você.
Cada pedaço parece inofensivo sozinho. Juntos, viram um perfil da pessoa: quem é, onde mora, o que consome, quando compra. Guardar e usar esse conjunto é o que a lei chama de tratamento de dado, e é aí que suas obrigações começam.
Tem uma categoria que exige cuidado redobrado: o dado sensível. Informação de saúde, religião, opinião política ou orientação sexual pesa mais na lei. Se você tem uma clínica, uma ótica ou um consultório e troca dado de saúde no WhatsApp, a régua sobe. Não dá pra tratar a mensagem de um exame com a mesma leveza de um pedido de pão de queijo.
Você precisa de autorização pra mandar mensagem no WhatsApp?
Depende de quem começou a conversa. Se o cliente te chamou primeiro, você pode responder, atender e fechar a venda sem pedir autorização à parte. Isso faz parte da relação que ele mesmo iniciou. Agora, se é você quem quer disparar uma promoção pra uma lista de contatos, a história muda: aí você precisa de uma base legal, e a mais segura é o consentimento, o famoso opt-in.
Opt-in é a pessoa dizer "pode me mandar". Pode ser uma caixinha marcada no seu site, um "quero receber ofertas" respondido no próprio chat, ou um cadastro no balcão onde ela autoriza. O que não vale é presumir. Silêncio não é sim.
Na prática, uma frase resolve. No cadastro, coloque algo como: "Quero receber promoções e novidades pelo WhatsApp". Deixe a pessoa marcar por vontade própria, sem vir pré-selecionado, e anote a data em que ela topou. Esse registro é o que te salva se alguém questionar depois. Sem ele, a sua palavra vale o mesmo que a do outro lado, e você fica sem prova de que teve autorização.
A tabela abaixo separa o que costuma pegar:
| Situação | Pode? | O que observar |
|---|---|---|
| O cliente te chamou e você responde | Sim | É atendimento; guarde só o dado necessário |
| Disparo promocional pra quem autorizou | Sim | Tenha o opt-in registrado antes de enviar |
| Disparo pra lista comprada ou raspada | Não | Sem base legal e com alto risco de bloqueio |
| Insistir com quem já pediu pra sair | Não | Respeite o opt-out na hora |
Repare que a LGPD e as regras da Meta apontam pro mesmo lado aqui. As duas pedem autorização antes do disparo. Se você quer entender o lado do bloqueio de número, eu detalho isso no guia sobre disparo em massa no WhatsApp sem tomar ban. A boa notícia é que fazer certo pra lei já te protege dos dois lados.
Quanto custa ignorar a LGPD
A multa da LGPD pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. E não para na multa: a lei prevê advertência, bloqueio dos dados e até suspensão da atividade de tratamento.
Isso deixou de ser teoria faz tempo. As sanções administrativas entraram em vigor em 1º de agosto de 2021, e quem fiscaliza e aplica é a Autoridade Nacional de Proteção de Dados, a ANPD. O órgão já abriu processos de sanção depois de vazamentos, como o de uma instituição de saúde que expôs dados de meio milhão de pacientes.
Vou ser honesto sobre a régua pro pequeno negócio. É pouco provável que a padaria da esquina leve uma multa de R$ 50 milhões. O risco real, no seu caso, mora mais na advertência, na denúncia de um cliente irritado na ANPD, e no estrago de reputação quando espalha que "aquela loja vende meu telefone". Perder a confiança de quem já te comprou custa mais caro que qualquer boleto.
Os direitos do cliente que você é obrigado a respeitar
A LGPD dá ao seu cliente direitos concretos sobre os dados dele, e a contrapartida é sua obrigação de atender. Ele pode pedir pra saber quais dados você guarda, corrigir o que estiver errado, mandar apagar tudo, e revogar o consentimento quando quiser. Na prática do WhatsApp, o pedido que mais aparece é o mais simples: "para de me mandar mensagem".
Quando alguém te diz isso, a resposta é parar. Não é negociar, não é mandar "só mais essa". É tirar a pessoa da lista e não voltar. Esse é o opt-out, e ignorá-lo é justamente o tipo de coisa que vira denúncia.
Vale montar um caminho fácil pra isso. Uma palavra-chave que a pessoa manda pra sair, ou uma linha no rodapé da campanha dizendo como cancelar, já resolve. Quanto menos atrito pra sair, menos gente irritada e menos denúncia na sua conta.
Como deixar seu WhatsApp em conformidade com a LGPD
Dá pra ficar em dia sem contratar um jurídico caro nem um sistema complicado. O trabalho é mais de organização do que de tecnologia. Cinco passos cobrem a maior parte do que o pequeno negócio precisa:
- Peça e registre o opt-in. Antes de incluir alguém na sua lista de disparo, tenha um "pode me mandar" claro e guardado. Sem registro, você não consegue provar que teve autorização.
- Diga pra que vai usar. Na hora de coletar o contato, deixe explícito: "vou te avisar de promoção e status do pedido". Finalidade clara é meio caminho da lei.
- Nunca compre lista. Contato comprado não autorizou você. É irregular na LGPD e o atalho mais rápido pro bloqueio do seu número pela Meta.
- Guarde só o que precisa e por quem responde. Não junte CPF se você não emite nota. E centralize o histórico num lugar controlado, em vez de espalhar em cadernos e no celular pessoal de cada vendedor.
- Ofereça a saída. Tenha um opt-out simples e respeite na hora. Uma política de privacidade curta no seu site, dizendo o que você coleta e como a pessoa cancela, fecha a conta.
O quarto passo é onde a ferramenta certa ajuda de verdade. Quando o atendimento roda numa caixa de entrada compartilhada sobre a API oficial do WhatsApp Business, o histórico da conversa e o registro de quem autorizou o quê ficam num só lugar, com controle de acesso, e não somem quando um vendedor sai da empresa. É o oposto do dado espalhado em contato salvo no celular de cada um.
O MercurChat foi feito pra esse cenário: caixa compartilhada, funil de vendas e automação rodando sobre a API oficial, com o histórico centralizado. Isso não substitui você entender a lei, mas facilita a parte chata de guardar consentimento e respeitar quem pediu pra sair.
Comece hoje pelo mais barato: revise como você junta contato. Adicione uma frase de opt-in no seu formulário ou no seu cadastro de balcão, e crie um jeito claro da pessoa cancelar. Esses dois ajustes já tiram você da zona de risco mais comum, e nenhum deles custa nada.