Resposta curta: sim, é legal enviar mensagens de WhatsApp para clientes. A LGPD não proibiu o “bom dia, tudo bem?”; ela só quer saber quem te deu o número, para quê, e o que você faz quando a pessoa pede para parar.
O que pesa não é o envio em si. É o que vem antes da mensagem (o motivo), durante (a transparência e o robô) e depois (o pedido de saída e o que sobra no seu CRM).
Aqui no 5coisas já falamos das cinco coisas para checar antes de enviar mensagens de WhatsApp para clientes, com opt-in, janela de 24 horas e limites de envio. Este texto vai em outra direção: lê a Lei nº 13.709/2018 (LGPD) artigo por artigo e mostra o que ela cobra de quem conversa com clientes pelo aplicativo.
Um aviso antes de começar: este conteúdo é informativo e não substitui a orientação de um advogado para o caso concreto da sua empresa. Feito o aviso, vamos às cinco coisas.
1. A LGPD não pede permissão para tudo, mas pede um motivo por escrito
O celular de uma pessoa é dado pessoal, e guardar, segmentar e mandar mensagem para ele é tratamento de dados. Para isso, a empresa precisa de uma das bases legais do art. 7º, como consentimento, execução de contrato ou legítimo interesse.
O consentimento não é a única porta. Mas a porta do legítimo interesse tem porteiro: o art. 10, § 1º, só permite usar os dados “estritamente necessários”, e o § 2º exige medidas de transparência.
O guia orientativo da ANPD sobre legítimo interesse propõe um teste em três fases: finalidade, necessidade e balanceamento e salvaguardas. Traduzindo para a rotina de quem vende pelo WhatsApp, o teste vira três perguntas:
- Finalidade: por que eu quero falar com essa pessoa, e ela esperaria esse contato?
- Necessidade: eu preciso mesmo do celular dela, ou o canal de atendimento da empresa resolveria?
- Salvaguardas: ela consegue sair da lista com facilidade e saber de onde veio o número?
O art. 37 manda registrar as operações de tratamento, “especialmente quando baseado no legítimo interesse”. Ou seja, o motivo precisa existir antes do envio e precisa estar anotado, não só na cabeça do vendedor.
Vale a regra de ouro da finalidade (art. 6º, I): o número que o cliente deu para receber o rastreio da entrega não vira, sozinho, número de campanha promocional. Mudou a finalidade, mudou a conversa.
2. O cliente tem direito de saber de onde veio o número dele
A pergunta “como você conseguiu meu número?” não é grosseria. É um direito previsto na LGPD.
O art. 9º garante ao titular acesso facilitado a informações sobre o tratamento, como a finalidade, a forma e a duração, a identificação e o contato do controlador e os direitos do art. 18. Essas informações devem ser apresentadas de forma “clara, adequada e ostensiva”, e não escondidas no rodapé da política de privacidade.
O art. 19 dá até prazo. A confirmação de que a empresa trata dados da pessoa sai “em formato simplificado, imediatamente”, e a declaração completa, que indica a origem dos dados e a finalidade, sai em até 15 dias contados do pedido.
Na prática, isso exige que a empresa saiba responder de onde veio cada contato. “Achamos na internet” não é origem; é confissão de que ninguém anotou nada.
A primeira mensagem já pode adiantar essa resposta: quem está escrevendo, por que está escrevendo e como a pessoa faz para não receber mais. Mensagem sem remetente claro é como ligação de número desconhecido às 8h de domingo: ninguém atende de bom humor.
3. “Pare de me mandar mensagem” é ordem, não sugestão
O art. 18 lista o que o titular pode pedir a qualquer momento: confirmação, acesso, correção, eliminação de dados tratados com consentimento e revogação do consentimento, entre outros. O § 2º acrescenta o direito de se opor ao tratamento feito sem consentimento quando houver descumprimento da lei.
O pedido precisa ser atendido sem custo para o titular, como manda o § 5º. E se a empresa compartilhou aquele contato com outro agente de tratamento, o § 6º manda avisar esse agente para que ele repita a correção, a eliminação ou o bloqueio.
O que pouca gente lembra é o depois. Pelo art. 15, a revogação do consentimento encerra o tratamento, e pelo art. 16 os dados devem ser eliminados após o término, salvo exceções como o cumprimento de obrigação legal.
Ou seja, tirar a pessoa da campanha de hoje e deixá-la na planilha da campanha de amanhã não resolve. O “pare” precisa valer para todas as listas, todas as ferramentas e todos os vendedores.
4. Robô no WhatsApp também responde à LGPD
Automatizar a primeira resposta é permitido, e a IA pode até ajudar a cumprir prazos de atendimento. Mas o art. 20 dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo as que definem o perfil de consumo.
Se a IA classifica o lead, decide quem recebe proposta e quem fica de fora, a empresa deve conseguir explicar os critérios quando a pessoa pedir, como prevê o § 1º. “Foi o algoritmo” não é explicação, é terceirização da culpa.
A própria Política de Mensagens do WhatsApp Business, atualizada em 23 de setembro de 2026, exige que a automação tenha caminhos rápidos e claros de escalonamento, como a transferência para um atendente humano. Robô que não deixa o cliente falar com gente está fora da política, além de ser irritante.
Uma das plataformas do mercado que trabalham com essa lógica é o cnpj.biz, um CRM de vendas com atendimento por WhatsApp e assistentes de IA. A empresa descreve assim o comportamento da IA quando um vendedor entra na conversa:
“A IA da CNPJ Biz pausa no momento em que um humano responde na conversa. Follow-ups automáticos respeitam o horário comercial do dono e o ritmo do número; o que ficou pendente passa para o dia seguinte.”
Eduardo Bassan, Head de Produto da CNPJ Biz
5. Empresa pequena tem regras mais leves, mas não tem passe livre
A Resolução CD/ANPD nº 2/2022 criou um tratamento diferenciado para agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte. É um alívio burocrático, não uma anistia.
Veja o que muda e o que continua igual:
| Obrigação | Regra geral da LGPD | Pequeno porte (Resolução nº 2/2022) |
|---|---|---|
| Encarregado (DPO) | O art. 41 exige indicar um encarregado | Dispensado (art. 11), mas é obrigatório manter um canal de comunicação com o titular |
| Registro das operações | O art. 37 exige registro | Pode ser feito de forma simplificada (art. 9º) |
| Pedidos dos titulares | Prazos do art. 18 e do art. 19 | Prazo em dobro (art. 14, I) |
| Segurança dos dados | O art. 46 exige medidas técnicas e administrativas | Exige medidas essenciais e necessárias, conforme o risco (art. 12) |
O benefício tem limite. Pelo art. 3º da resolução, ele não vale para quem faz tratamento de alto risco, para quem fatura acima do limite da empresa de pequeno porte previsto na Lei Complementar nº 123/2006 ou para quem pertence a grupo econômico acima desse limite.
E a segurança pesa no dia a dia do WhatsApp. Conversa de cliente salva no celular pessoal do vendedor que saiu da empresa é um risco do art. 46 andando por aí de mochila.
E o WhatsApp, exige o quê além da lei?
Mesmo quando a LGPD admitiria o legítimo interesse, o WhatsApp é mais rígido. A política só permite contatar quem forneceu o próprio número à empresa e deu permissão (opt-in) para receber as mensagens seguintes.
Por isso, telefone que aparece em cadastro público não é convite para mensagem fria. A política também recomenda consentimento separado por categoria de mensagem e instruções claras para quem quiser deixar de receber.
Se o destinatário for consumidor, o Código de Defesa do Consumidor também entra na conversa. O art. 6º, IV, protege contra métodos comerciais coercitivos ou desleais, e mensagem insistente costuma cair aí.
A ferramenta conta, também. O cnpj.biz conecta o WhatsApp pela API oficial da Meta ou por QR Code, e a empresa defende a oficial como base para quem vende em escala:
“Quem segue as regras da Meta reduz muito os problemas com o número. Por isso a CNPJ Biz oferece a API oficial do WhatsApp como a base profissional para quem vende em escala.”
Eduardo Bassan, Head de Produto da CNPJ Biz
O que uma ferramenta pode (e não pode) fazer por você
Nenhum software escolhe a base legal no lugar da empresa. A responsabilidade de decidir para quem escrever, por quê e com que mensagem continua sendo de quem envia.
O que um bom CRM faz é deixar o rastro organizado. Segundo o documento de recursos do cnpj.biz (outubro de 2026, sujeito a alteração), a plataforma registra o status de consentimento em pessoas e empresas e a origem de cada lead, como Pesquisa Avançada, formulário ou WhatsApp.
O mesmo documento cita descadastro de e-mail em um clique e, no WhatsApp oficial, tratamento automático de descadastro e de bloqueio de marketing. Também lista registro de acessos à conta e senhas e chaves de integração guardadas com criptografia.
Esses recursos ajudam a responder às perguntas dos itens 2 e 3: de onde veio o contato e se ele pediu para sair. Se a sua operação ainda vive de planilha, vale ler também como a automação digital está mudando a rotina das pequenas e médias empresas.
Perguntas frequentes
É legal enviar mensagem de WhatsApp para clientes sem consentimento?
Pela LGPD, o consentimento não é a única base legal: execução de contrato e legítimo interesse também podem sustentar o envio, desde que bem documentados. Já a Política de Mensagens do WhatsApp Business exige opt-in em qualquer caso.
O cliente pode perguntar de onde a empresa tirou o número dele?
Pode. O art. 19 da LGPD prevê a confirmação imediata, em formato simplificado, e uma declaração completa com a origem dos dados e a finalidade em até 15 dias.
O que fazer quando o cliente pede para não receber mais mensagens?
Pare o envio em todas as listas e ferramentas e registre o pedido. Se o tratamento se baseava no consentimento, a revogação encerra o tratamento (art. 15) e os dados devem ser eliminados, salvo as exceções do art. 16.
Microempresa precisa ter encarregado de dados (DPO)?
Em regra, não. A Resolução CD/ANPD nº 2/2022 dispensa o agente de pequeno porte de indicar encarregado, mas exige um canal de comunicação com o titular e não vale para tratamento de alto risco.
Posso usar robô ou IA para responder clientes no WhatsApp?
Pode, desde que haja um caminho rápido de escalonamento, como a transferência para um atendente humano, exigência da política do WhatsApp. Se a IA tomar decisões que afetem o cliente, ele pode pedir revisão e explicação dos critérios (art. 20 da LGPD).
Resumo em uma linha
Enviar WhatsApp para clientes é legal quando existe motivo registrado, remetente claro, saída fácil, humano atrás do robô e cuidado com os dados guardados. Fora disso, o risco não é só a multa: o botão de bloquear do cliente também não tem senso de humor.
- É legal enviar mensagens de WhatsApp para clientes? 5 coisas que a LGPD diz - outubro 27, 2026
- 5 coisas que todo dono de SaaS ou agência precisa ter no contrato, segundo o advogado Diego Castro - outubro 23, 2026
- Como identificar documentos falsos: guia rápido para empresas - outubro 16, 2026