Uma clínica de fisioterapia coloca um chatbot no WhatsApp para agendar sessões. O fluxo pede nome completo, CPF, data de nascimento, endereço, convênio e "motivo da consulta". No último campo, os pacientes mandam detalhes de cirurgias, fotos de exames e nomes de remédios. Tudo fica salvo na plataforma do chatbot, no celular da recepção e numa planilha exportada toda sexta-feira. Ninguém decidiu guardar aquilo; simplesmente foi acontecendo.

A Lei 13.709/2018, a LGPD, não proíbe automatizar nem atender por aplicativo. Ela pede que a empresa saiba quais dados recebe, por que, onde guarda, quem acessa e quando apaga. Este guia aplica os conceitos centrais da lei ao dia a dia do atendimento.

Conteúdo informativo, sem caráter de parecer jurídico. Para decisões específicas, consulte um profissional de proteção de dados.

Todo atendimento é tratamento de dados

Para a LGPD, tratamento é quase qualquer operação com dados pessoais: coletar, receber, armazenar, consultar, transmitir, eliminar (art. 5º, X). Quando alguém manda "oi" para o número da empresa, o telefone e o nome do perfil já são dados pessoais (art. 5º, I). Num atendimento típico, eles passam por vários lugares:

  • o WhatsApp, no aplicativo ou na plataforma da API;
  • a ferramenta de chatbot ou de multiatendimento;
  • o CRM, a planilha ou o ERP que recebe dados por integração;
  • celulares e computadores dos atendentes;
  • exportações, prints e backups feitos "por precaução".

O primeiro passo é desenhar esse caminho. O mapeamento de processos que orienta uma automação também serve de base para o registro das operações de tratamento, que controlador e operador devem manter (art. 37).

Quem é quem: controlador, operador e encarregado

Controlador é quem decide sobre o tratamento: para que os dados servem, quais são coletados, por quanto tempo ficam (art. 5º, VI). No atendimento, quase sempre é a empresa dona do número. É ela que decide que o chatbot vai pedir CPF ou que as conversas vão para o CRM.

Operador trata dados em nome do controlador, conforme as instruções dele (art. 5º, VII, e art. 39). Plataformas de chatbot, provedores de multiatendimento e integradores costumam ocupar esse papel. Na API oficial, a documentação de privacidade da Cloud API descreve a Meta como processadora dos dados da empresa ao prestar esse serviço; recursos opcionais podem ter termos próprios. O operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador (art. 42, §1º, I), mas isso não tira do controlador a responsabilidade por escolher bem os fornecedores.

Encarregado é o canal entre a empresa, os titulares e a ANPD (art. 5º, VIII). Ele recebe reclamações, atende a autoridade e orienta a equipe (art. 41, §2º), e seu contato deve ser público, de preferência no site (art. 41, §1º). A Resolução CD/ANPD nº 18/2024 detalha a função, e a Resolução CD/ANPD nº 2/2022 dispensa agentes de pequeno porte de indicá-lo, desde que mantenham um canal de comunicação com os titulares.

Quem participa Papel mais comum O que verificar
Empresa dona do número Controladora Finalidades, bases legais, prazos de guarda, política de privacidade
Meta, na API oficial Operadora no serviço da Cloud API Termos de processamento e recursos opcionais ativados
Plataforma de chatbot ou multiatendimento Operadora Contrato, local de armazenamento, acessos, exclusão ao fim do contrato
CRM ou ERP integrado Operadora Quais campos chegam pela integração e quem enxerga cada um
Atendentes da empresa Agem em nome da controladora Treinamento, aparelhos usados, regras para prints e encaminhamentos

É o arranjo mais frequente, não uma regra fixa: o papel depende de quem decide na prática.

Bases legais: nem tudo depende de consentimento

Todo tratamento precisa de uma das hipóteses do art. 7º. Dois erros são comuns: achar que o consentimento é sempre obrigatório, ou achar que, se o cliente chamou a empresa, o número pode ser usado para qualquer coisa. No atendimento, as bases mais frequentes são:

  • Contrato ou procedimentos preliminares a pedido do titular (art. 7º, V): responder a um orçamento, confirmar pedido, enviar rastreio, agendar o serviço contratado.
  • Obrigação legal ou regulatória (art. 7º, II): manter dados de uma venda para fins fiscais.
  • Exercício regular de direitos (art. 7º, VI): guardar o registro de uma negociação que pode ser útil numa reclamação.
  • Legítimo interesse (art. 7º, IX, e art. 10): finalidades ligadas ao relacionamento existente, respeitando as expectativas do titular, com transparência e avaliação documentada.
  • Consentimento (art. 7º, I, e art. 8º): o caminho usual para ofertas que o cliente não pediu. Deve ser livre, informado, para finalidade determinada e revogável.

Exemplo: uma loja de autopeças responde a quem pediu preço de pastilhas de freio. Isso é procedimento preliminar a um contrato. Três meses depois, a loja quer pôr esse número numa lista de promoções; a finalidade mudou, e o mais seguro é pedir autorização antes. O artigo sobre opt-in no WhatsApp mostra como fazer o pedido e guardar a prova, o que também atende à política de mensagens da Meta.

Minimização: o chatbot não precisa perguntar tudo

O princípio da necessidade limita o tratamento ao mínimo necessário para a finalidade, com dados pertinentes e não excessivos (art. 6º, III). Para cada campo do fluxo, pergunte: o que acontece se não perguntarmos isso? Se a resposta for "nada", o campo sai.

  • CPF no primeiro contato: raramente necessário para uma dúvida ou orçamento. Peça só na emissão de nota ou consulta de pedido.
  • Data de nascimento: se o objetivo é confirmar maioridade, perguntar se a pessoa tem 18 anos ou mais pode bastar.
  • Endereço: para saber se a empresa atende a região, CEP ou bairro resolvem.
  • Campo aberto "descreva seu problema": convida excessos. Botões com opções fechadas reduzem o risco e agilizam o atendimento.

Ao desenhar o fluxo de atendimento, anote ao lado de cada pergunta a finalidade daquele dado. Isso ajuda na revisão e na resposta a um titular que pergunte por que a empresa tem aquela informação.

Dados sensíveis que chegam sem ser pedidos

Dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dados genéticos ou biométricos são sensíveis (art. 5º, II) e só podem ser tratados nas hipóteses mais restritas do art. 11. O legítimo interesse não está entre elas, e o consentimento, quando usado, precisa ser dado de forma específica e destacada, para finalidades específicas (art. 11, I).

Por mensagem, esses dados aparecem sem convite: a receita enviada à ótica, a foto do pedido médico mandada ao laboratório, a lesão comentada com a academia. Algumas medidas ajudam:

  • orientar no fluxo o que não enviar ("não é preciso mandar exames por aqui; traga no dia");
  • restringir o acesso a filas que lidam com saúde;
  • evitar integrações que copiem a conversa inteira para planilhas compartilhadas;
  • definir prazos de guarda mais curtos para anexos;
  • redobrar o cuidado ao usar ferramentas de IA sobre essas conversas, como discutido em IA generativa no atendimento.

Dados de crianças e adolescentes também têm regras próprias (art. 14). Escolas, cursos e serviços pediátricos devem deixar claro quando a conversa precisa ser feita pelo responsável.

Por quanto tempo guardar as conversas

A lei não fixa um prazo único. O tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários, quando o prazo acaba, quando o titular revoga o consentimento ou por determinação da ANPD (art. 15). Depois, os dados devem ser eliminados, salvo exceções do art. 16, como cumprimento de obrigação legal ou uso exclusivo do controlador com dados anonimizados.

Na prática, a empresa precisa de uma tabela de temporalidade. Um exemplo ilustrativo, a ser adaptado com orientação jurídica:

  • dúvidas gerais, sem venda: prazo curto;
  • conversas ligadas a pedidos: prazo alinhado às obrigações fiscais e ao prazo para reclamações;
  • anexos: prazo menor que o do texto, quando possível;
  • registros de consentimento e descadastro: enquanto forem necessários como prova.

O prazo só funciona se valer para todos os lugares por onde o dado passou, incluindo a planilha exportada e o celular do vendedor.

Dica: antes de criar uma integração que copie conversas para outro sistema, responda por escrito: qual campo precisa ir, quem vai enxergá-lo lá e quando será apagado. Sem resposta para a terceira pergunta, a integração não está pronta.

Direitos do titular dentro do próprio canal

O art. 18 garante, entre outros, confirmação da existência de tratamento, acesso, correção, eliminação de dados tratados com consentimento, informação sobre compartilhamento e revogação do consentimento. Confirmação e acesso devem ser dados de forma simplificada imediatamente, ou por declaração completa em até 15 dias (art. 19). Como o cliente já está no WhatsApp, é ali que ele vai pedir.

Reconheça o pedido

"Apaguem meus dados", "o que vocês têm sobre mim?" e "parem de me mandar mensagem" são pedidos de titular, mesmo sem citar a lei. Chatbot e equipe devem identificá-los e encaminhá-los, registrando a data.

Confirme a identidade com proporcionalidade

Antes de entregar informações, a empresa precisa ter segurança razoável de que fala com o titular. O número já cadastrado ajuda, mas pode não bastar para dados delicados. A verificação não deve virar uma nova coleta excessiva.

Decisões automatizadas

Se o chatbot toma decisões baseadas unicamente em tratamento automatizado que afetam interesses do titular, como recusar crédito, a pessoa pode pedir revisão e receber informações sobre os critérios e procedimentos usados, respeitados os segredos comercial e industrial (art. 20 e §1º). Isso reforça a importância de um caminho para falar com uma pessoa, tema de chatbot ou atendente humano.

Incidentes de segurança e o papel da ANPD

Incidente é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. No atendimento, os casos comuns são prosaicos: celular corporativo perdido sem senha, ex-funcionário ainda com acesso à plataforma, planilha enviada ao grupo errado, token de integração publicado por engano.

A lei exige medidas de segurança técnicas e administrativas (art. 46). Se o incidente puder causar risco ou dano relevante, o controlador deve comunicá-lo à ANPD e aos titulares (art. 48). A ANPD regulamentou o procedimento na Resolução CD/ANPD nº 15/2024, com prazo de três dias úteis contados a partir do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais, prazo contado em dobro para agentes de pequeno porte. Confira os detalhes no site da autoridade no momento em que precisar.

Com prazo curto, o roteiro precisa existir antes: quem é avisado, como cortar acessos, quem avalia o risco e quem fala com a ANPD e os clientes. Incidentes no canal de atendimento também abrem espaço para golpistas se passarem pela empresa; veja as medidas em golpes no WhatsApp.

As sanções vão de advertência a multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, além de publicização e bloqueio ou eliminação dos dados (art. 52). Para uma empresa pequena, o dano mais imediato costuma ser a perda de confiança dos clientes.

Checklist prático para revisar o atendimento

Um ponto de partida para revisão interna. Não esgota a lei, mas cobre o que mais aparece em operações de WhatsApp e chatbot.

Tema Pergunta de verificação
Mapeamento Há um desenho de onde os dados entram, ficam e para onde vão?
Fornecedores Os operadores estão identificados e têm contrato com cláusulas de proteção de dados?
Bases legais Atendimento, vendas, cobrança e ofertas têm base legal definida e registrada?
Consentimento Ofertas só vão para quem autorizou, e sair é simples?
Minimização Cada pergunta do chatbot tem finalidade anotada?
Dados sensíveis O fluxo orienta o que não enviar e restringe filas sensíveis?
Retenção Os prazos de guarda valem também para planilhas e aparelhos?
Acessos Cada atendente tem login individual, removido no desligamento?
Titulares A equipe reconhece um pedido de titular e sabe para quem encaminhar?
Transparência A política de privacidade cita WhatsApp e chatbot, e o contato do encarregado ou canal equivalente está publicado?
Incidentes Existe roteiro escrito, com responsáveis, para agir dentro do prazo?

A página Como funciona mostra em que etapa do nosso trabalho essa revisão entra.

Perguntas frequentes

Preciso de consentimento para responder um cliente que me chamou?

Em geral, não. Responder a dúvidas, orçamentos ou acompanhamento de compra costuma se apoiar em procedimentos preliminares ou execução de contrato (art. 7º, V). O consentimento entra quando a empresa quer usar o contato para outra finalidade, como ofertas não solicitadas.

Usar a API oficial garante conformidade com a LGPD?

Não. A API traz regras e recursos de segurança da plataforma, mas o que perguntar, onde guardar, quem acessa e quando apagar continua sendo decisão da empresa. A comparação entre as opções está em WhatsApp Business App ou API oficial.

Empresa pequena precisa nomear encarregado?

A Resolução CD/ANPD nº 2/2022 dispensa agentes de pequeno porte, com exceções como tratamento de alto risco, mas exige um canal de comunicação com o titular. Publicar um e-mail para assuntos de privacidade é uma medida simples.

O cliente pediu para apagar tudo. Sou obrigado?

Depende da base legal. Dados tratados com consentimento devem ser eliminados a pedido, mas a lei permite manter o necessário para obrigações legais, como registros de venda (art. 16 e art. 18, VI). Explique ao cliente o que foi apagado e o que foi mantido, e por quê.

Posso usar conversas para treinar um chatbot?

É uma nova finalidade: avalie a base legal, se o titular esperaria esse uso e se é possível anonimizar antes. Confira também o que os termos do fornecedor de IA dizem sobre os dados enviados.

Conclusão

Adequar o atendimento à LGPD não exige tornar o processo mais lento. Exige saber responder a quatro perguntas para cada dado: quem decide sobre ele, por que é coletado, onde fica e quando é apagado. Fluxos com menos perguntas desnecessárias também são mais rápidos para o cliente e mais fáceis de manter.

Se a sua equipe está revisando os fluxos de WhatsApp ou planejando uma automação e quer incluir esses cuidados desde o desenho, a Telep pode ajudar. Os canais estão na página de contato.