WhatsApp e LGPD: O Que Muda para Empresas (2026)

Equipe de empresa brasileira revisando conformidade da LGPD no uso do WhatsApp para atendimento

Resposta rápida: Empresas que usam WhatsApp para marketing e atendimento precisam de uma base legal clara para cada mensagem — consentimento (opt-in) ou legítimo interesse, previstos na LGPD (Lei 13.709/2018). Também devem registrar quem autorizou o contato, atender pedidos de descadastro rapidamente e não disparar para listas compradas. A ANPD pode multar até 2% do faturamento, limitado a R$ 50 milhões por infração.

· espaço publicitário ·

Em resumo

Toda mensagem comercial no WhatsApp precisa de base legal: consentimento ou legítimo interesse (arts. 7º e 10 da LGPD).
Lista comprada não tem consentimento documentado — é o motivo mais citado de autuação.
O titular pode pedir para sair a qualquer momento; ignorar o 'sair' é violação do art. 18.
A multa da ANPD chega a 2% do faturamento do último exercício, com teto de R$ 50 milhões por infração.
Guardar quem deu opt-in, quando e como é o que protege a empresa numa fiscalização.

Escolha (e documente) a base legal de cada contato
A LGPD não obriga consentimento para tudo — o legítimo interesse (art. 7º, IX) cobre parte do relacionamento, como avisar um cliente ativo sobre a entrega dele. Mas para envio de oferta e marketing frio, o caminho seguro é o consentimento expresso (opt-in). Escreva num documento interno qual base sustenta cada tipo de disparo. Se você não consegue explicar a base numa frase, ela provavelmente não existe.
Colete e guarde o opt-in de forma verificável
Não basta a pessoa ter mandado uma mensagem um dia. Registre a autorização com data, canal e finalidade: 'aceitou receber promoções via WhatsApp em 12/03/2026, pelo formulário do site'. Um checkbox no cadastro, um clique num link ou um 'sim' num fluxo servem — desde que fiquem salvos. Numa autuação, quem não mostra o opt-in é tratado como quem nunca teve.
Facilite o descadastro e respeite na hora
O art. 18 dá ao titular o direito de revogar o consentimento e pedir a eliminação dos dados. Na prática: se a pessoa responde 'sair', 'pare' ou 'não quero mais', ela precisa sumir da sua lista de disparo. Deixe o caminho óbvio (uma palavra basta) e trate o pedido em horas, não em semanas. Continuar mandando depois do 'sair' é uma das falhas mais fáceis de provar contra a empresa.
Abandone as listas compradas
Comprar base de contatos é o atalho que mais gera problema. Você não tem como documentar consentimento de quem nunca falou com você, e a Meta também trata isso como spam — o que soma risco de banimento ao risco jurídico. Se a origem do número é 'comprei uma planilha', não há base legal que segure.
Defina prazo de retenção e quem tem acesso
A LGPD pede que o dado seja guardado só pelo tempo necessário à finalidade. Estabeleça quando um contato inativo sai da base, quem na equipe pode ver os números e onde eles ficam. Guardar todo mundo para sempre, sem critério, é apontado como irregularidade mesmo quando a coleta foi lícita.
Aponte um responsável e registre o tratamento
Indique quem responde por proteção de dados na empresa (o encarregado/DPO) e mantenha um registro simples das operações: que dados você trata, para quê e com base em quê. Não precisa ser um calhamaço — precisa existir e estar coerente com o que você realmente faz no WhatsApp.

Por que 2026 mudou o jogo para quem usa WhatsApp

A LGPD existe desde 2018, mas por anos a fiscalização foi mais orientação do que punição. Isso mudou. Em 2025 a ANPD ganhou status de agência reguladora com orçamento próprio, lançou um painel público de fiscalização e passou a abrir processos sancionadores num ritmo bem maior do que nos primeiros anos.

O WhatsApp entrou na mira por um motivo simples: é onde mora o contato direto com o cliente. Venda e atendimento tratam muito dado pessoal, e é justamente aí que a autoridade tem concentrado atenção. Quem dispara em massa sem base legal deixou de ser invisível.

Consentimento ou legítimo interesse: qual base usar

A LGPD lista várias bases legais e nenhuma é 'superior' à outra — o que vale é a adequação ao caso. Para o WhatsApp, duas importam na prática:

Consentimento (art. 7º, I): a pessoa autoriza expressamente receber suas mensagens. É a base mais segura para marketing e oferta, e é o que a própria Meta exige como opt-in para uso legítimo da plataforma.

Legítimo interesse (art. 7º, IX): cobre situações em que o contato é esperado dentro de uma relação existente — confirmar um pedido, avisar sobre um agendamento. Não serve de curinga para transformar qualquer disparo frio em 'legítimo'.

Situação	Base legal usual	Precisa de opt-in?
Oferta e promoção para lista fria	Consentimento	Sim
Aviso de entrega a cliente ativo	Legítimo interesse	Não, mas registre a relação
Confirmação de agendamento	Legítimo interesse / execução de contrato	Não
Reengajamento de inativo com promoção	Consentimento	Sim
Disparo para lista comprada	Nenhuma válida	Sem base legal

O que a ANPD pode aplicar quando encontra irregularidade

As sanções estão no art. 52 da LGPD e foram detalhadas pelo Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023). A escala vai de advertência até medidas pesadas, e elas podem ser cumuladas na mesma decisão.

A multa simples chega a 2% do faturamento da empresa no último exercício, com teto de R$ 50 milhões por infração. Mas a punição não é só financeira: a autoridade pode publicizar a infração e até bloquear ou eliminar a base de dados envolvida — o que, para uma operação que vive do WhatsApp, pode doer mais que o valor.

Advertência, com prazo para corrigir
Multa simples de até 2% do faturamento (teto de R$ 50 milhões por infração)
Multa diária, dentro do mesmo teto
Publicização da infração após apuração
Bloqueio ou eliminação dos dados pessoais envolvidos
Suspensão parcial ou total da atividade de tratamento

As três falhas que mais aparecem

Pelos relatos de fiscalização e pela leitura de quem acompanha os casos, três problemas se repetem. Vale conferir os seus processos contra essa lista antes que alguém reclame por você.

Primeiro, o disparo para lista comprada — sem consentimento que dê para provar. Segundo, o opt-out não respeitado: o cliente respondeu 'sair' e continuou recebendo. Terceiro, o armazenamento sem critério, guardando dado pessoal sem prazo de retenção definido. Nenhuma dessas é complexa de resolver; todas são fáceis de flagrar.

LGPD e política da Meta não são a mesma coisa (mas andam juntas)

É comum confundir. A LGPD é lei brasileira e trata da proteção do dado da pessoa. As regras da Meta são contratuais e tratam do uso da plataforma. Você pode violar uma sem violar a outra — mas na maioria dos casos elas empurram para o mesmo lado: pedir permissão, respeitar quem quer sair e não incomodar.

Estar em dia com a LGPD reduz reclamação, e reclamação é o que derruba a reputação do seu número na Meta. Ou seja: privacidade bem feita também é uma forma de proteger o chip contra banimento.

Perguntas frequentes

Preciso de consentimento para toda mensagem no WhatsApp?

Não para toda. Avisos dentro de uma relação existente (entrega, agendamento) costumam se apoiar em legítimo interesse ou execução de contrato. Mas oferta e marketing para lista fria pedem consentimento expresso (opt-in) — e a Meta também exige esse opt-in para uso legítimo da plataforma.

Usar legítimo interesse me livra de pedir opt-in?

Só em situações realmente esperadas pelo cliente dentro de uma relação já existente. Legítimo interesse não é um curinga para transformar disparo frio em contato legítimo. Para promoção e captação, o caminho seguro continua sendo o consentimento documentado.

Qual o valor máximo da multa da ANPD?

A multa simples pode chegar a 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração, conforme o art. 52 da LGPD e o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023). Além da multa, a autoridade pode publicizar a infração e bloquear a base de dados.

O que fazer quando o cliente pede para sair?

Remover o contato da lista de disparo rapidamente e parar de enviar mensagens comerciais. O art. 18 da LGPD garante o direito de revogar o consentimento e pedir eliminação dos dados. Continuar mandando depois do pedido é uma das violações mais fáceis de comprovar.

Fontes