LGPD no WhatsApp e no e-mail marketing: consentimento, legítimo interesse e descadastro

Você tem uma lista de clientes, um WhatsApp que vende e uma newsletter que sai quando dá tempo. Aí alguém fala em LGPD e bate a dúvida: posso continuar mandando? Pode, desde que cada envio tenha base legal, que você consiga provar o que fez e que sair da lista seja fácil. Este guia reúne as regras da LGPD, dos guias da ANPD e da política do WhatsApp como estavam em setembro de 2026. É conteúdo informativo e não substitui a orientação de um advogado para o seu caso.

A LGPD vale para a lista de contatos de uma empresa pequena?

Vale. Nome, telefone e e-mail são dados pessoais, porque se referem a pessoa identificada ou identificável (art. 5º, I, da LGPD), e usá-los em campanha é tratamento.

Quem decide para que os dados servem é o controlador (art. 5º, VI): no caso, a sua empresa. A ferramenta de disparo, a agência ou o provedor de e-mail que trata os dados em seu nome é operador (art. 5º, VII). O guia de agentes de tratamento da ANPD usa uma campanha de marketing como exemplo: quem define público e objetivo é controlador; a agência que executa, operadora. Ou seja, a base legal é responsabilidade sua, mesmo que o envio saia de um sistema de terceiros.

Empresas de pequeno porte têm simplificações na Resolução CD/ANPD nº 2/2022: registro de operações simplificado, dispensa de encarregado (com canal de comunicação no lugar) e prazos em dobro em vários pontos. A própria resolução deixa claro que nada disso dispensa as bases legais, os princípios e os direitos dos titulares, e ela não vale para quem faz tratamento de alto risco.

Consentimento ou legítimo interesse: qual base legal usar?

Depende de quem recebe e do que você manda. No marketing, as bases mais usadas são o consentimento (art. 7º, I) e o legítimo interesse (art. 7º, IX).

Consentimento é a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada” (art. 5º, XII). Ele faz sentido quando não há relação prévia, como alguém que deixou o e-mail numa página de captação, ou quando a mensagem vai além do que a pessoa esperaria da relação com você. A contrapartida é a formalidade: autorizações genéricas são nulas (art. 8º, § 4º), a prova é sua (art. 8º, § 2º) e a pessoa pode revogar a qualquer momento (art. 8º, § 5º).

Legítimo interesse permite tratar dados para finalidades legítimas “consideradas a partir de situações concretas”, o que inclui o “apoio e promoção de atividades do controlador” (art. 10, I). Ele costuma caber para quem já é cliente e recebe ofertas ligadas ao que já compra. O guia de legítimo interesse da ANPD traz um exemplo assim: uma instituição de ensino envia, por e-mail, promoções da própria editora a estudantes e funcionários, sem compartilhar a base e com descadastro em cada mensagem. Para a ANPD, o interesse pode ser considerado legítimo pela relação prévia, pela ligação da oferta com a atividade da instituição e pelo descadastro como salvaguarda.

Duas situações pedem atenção redobrada:

• Dados sensíveis. O guia da ANPD é claro: o legítimo interesse não se aplica a dados sensíveis, como os de saúde (art. 5º, II). Uma clínica que segmenta campanha por tratamento ou diagnóstico precisaria de consentimento específico e destacado (art. 11, I).
• Crianças e adolescentes. O tratamento deve atender ao melhor interesse deles (art. 14), e dados de crianças exigem consentimento específico e em destaque de um dos pais ou responsável (art. 14, § 1º).

Como fazer o teste de balanceamento?

É o registro de por que o seu interesse não passa por cima dos direitos e das expectativas de quem recebe. A ANPD recomenda fazê-lo antes, um para cada finalidade, e propõe um modelo em três fases. O modelo não é obrigatório, e em casos de baixo impacto o teste pode ser breve.

1. Finalidade. Descreva o que você quer fazer (“enviar, por e-mail, lançamentos da coleção a clientes que compraram nos últimos 12 meses”) e confirme que não há dados sensíveis nem de crianças na base.
2. Necessidade. Liste só os dados de que precisa (nome, e-mail, histórico de compra por categoria) e pergunte se existe forma menos intrusiva de chegar ao mesmo resultado. A lei limita o legítimo interesse aos dados “estritamente necessários” (art. 10, § 1º).
3. Balanceamento e salvaguardas. Pense do lado do cliente: ele espera receber isso de você? O guia cita relação prévia, origem da coleta, contexto e tempo decorrido. Anote as salvaguardas: descadastro em toda mensagem, frequência limitada, lista não compartilhada.

Se o resultado pender para o cliente, a ANPD orienta a não usar o legítimo interesse. Guarde o documento: a lei pede registro das operações, “especialmente quando baseado no legítimo interesse” (art. 37), e transparência sobre esse tratamento (art. 10, § 2º).

Como coletar e registrar o consentimento?

Consentimento bem feito é separado por finalidade, destacado, informado e afirmativo, e deixa rastro.

• Separado por finalidade. Uma caixa para “receber novidades por e-mail”, outra para “receber ofertas pelo WhatsApp”. Autorização genérica, do tipo “aceito o uso dos meus dados”, é nula (art. 8º, § 4º). A política do WhatsApp também recomenda opt-in por categoria de mensagem.
• Destacado. Por escrito, a cláusula tem de aparecer destacada das demais (art. 8º, § 1º), não escondida nos termos de uso.
• Informado. Diga antes quem é a empresa, para que usará o dado, por quanto tempo e como sair (art. 9º). Consentimento dado com informação enganosa ou sem transparência prévia é nulo (art. 9º, § 1º).
• Afirmativo. A lei fala em manifestação inequívoca. Caixa que já vem marcada, ou silêncio tratado como “sim”, dificilmente demonstra a vontade da pessoa.

Para a prova, registre por contato o texto exato aceito, a data, o canal e a eventual revogação. Se usa ferramenta de automação, confira se ela barra o envio quando falta esse registro. No Fieli Flow, que está em beta e opera na API oficial do WhatsApp (WhatsApp Business Platform), cada mensagem passa por conferências antes de sair, entre elas se há consentimento registrado e afirmativo e se a pessoa pediu para sair, e cada ação fica numa trilha assinada que você pode verificar. A ferramenta ajuda a provar; a base legal e o texto do aceite continuam sendo decisões suas.

O que a política do WhatsApp exige além da LGPD?

A política exige opt-in, qualquer que seja a sua base legal. Pela Política de Mensagens do WhatsApp Business, atualizada em 23 de setembro de 2026, você só pode contatar alguém se a pessoa deu o número de celular ou o nome de usuário a você e deu permissão confirmando que quer receber mensagens ou ligações da sua empresa.

A documentação da Meta sobre opt-in acrescenta três requisitos: deixar claro que a pessoa está aceitando receber comunicações, dizer com clareza o nome da empresa e cumprir a lei aplicável. O método é escolha sua; a Meta cita exemplos como site, SMS, telefone e papel assinado.

Isso muda uma coisa importante: o legítimo interesse pode sustentar um e-mail para clientes atuais, mas no WhatsApp você ainda precisa do aceite. A política também manda respeitar pedidos para parar, feitos dentro ou fora do WhatsApp, e manter uma política de privacidade publicada. E bloqueios e denúncias podem levar o WhatsApp a limitar quantas mensagens a empresa consegue mandar.

Como deve funcionar o descadastro?

Sair tem de ser tão fácil quanto entrar. A LGPD diz que a revogação do consentimento é feita por “procedimento gratuito e facilitado” (art. 8º, § 5º). No legítimo interesse, a pessoa pode se opor ao tratamento (art. 18, § 2º), e o descadastro é a salvaguarda que o guia da ANPD valoriza.

Na prática:

• No e-mail, um link de descadastro visível em toda mensagem, que funciona em um clique, sem exigir login.
• No WhatsApp, uma forma clara de dizer “não quero mais”, como um botão ou uma palavra-chave, e um atendente que obedece se o pedido vier por texto livre.
• Pedido feito no balcão, por telefone ou no Instagram também vale e precisa chegar à lista.
• Uma lista de supressão, com o mínimo necessário, para não voltar a mandar para quem saiu.

Quais direitos o cliente pode exercer?

O titular pode pedir a qualquer momento, entre outros: confirmação de que você trata os dados dele, acesso, correção, eliminação dos dados tratados com consentimento, informação sobre com quem você compartilhou e revogação do consentimento (art. 18). O atendimento é gratuito (art. 18, § 5º).

Para acesso, a lei prevê resposta simplificada imediata ou declaração completa em até 15 dias (art. 19). Agentes de pequeno porte podem entregar a resposta simplificada em até 15 dias e têm o dobro do prazo para a declaração completa, conforme a Resolução CD/ANPD nº 2/2022. O essencial é ter um canal conhecido, indicado na política de privacidade, e alguém responsável por responder.

Quais dados pedir e por quanto tempo guardar?

Peça só o que a campanha usa. O princípio da necessidade limita o tratamento “ao mínimo necessário” (art. 6º, III). Para uma newsletter, nome e e-mail bastam; CPF e data de nascimento só entram se tiverem um uso claro e informado.

O tratamento termina quando a finalidade é alcançada, quando os dados deixam de ser necessários ou quando a pessoa revoga o consentimento (art. 15); aí os dados são eliminados, salvo exceções como obrigação legal (art. 16). Defina e registre uma regra para contatos inativos.

Posso comprar ou alugar uma lista de contatos?

Na prática, é muito difícil de sustentar. O consentimento que alguém deu a outra empresa não vale para a sua: quem obteve consentimento e quer compartilhar com outros controladores precisa de consentimento específico para isso (art. 7º, § 5º). O legítimo interesse também esbarra na expectativa do titular, e o guia da ANPD lista a origem dos dados, se coletados diretamente ou recebidos de terceiros, como fator dessa análise. No WhatsApp, a política exige que a pessoa tenha dado o número a você e aceitado receber mensagens da sua empresa, o que uma lista comprada não entrega.

O que fazer se houver um vazamento?

Aja rápido e registre tudo. A LGPD manda comunicar à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante (art. 48). O Regulamento de Comunicação de Incidente fixa três dias úteis, contados de quando você soube que o incidente afetou dados pessoais, com prazo em dobro para agentes de pequeno porte.

Nem todo incidente exige comunicação. O regulamento considera risco relevante quando o caso pode afetar significativamente os direitos dos titulares e envolve, por exemplo, dados sensíveis, de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas ou dados em larga escala. Mas todo incidente, comunicado ou não, deve ser registrado e guardado por pelo menos cinco anos. Planilha de clientes esquecida num e-mail pessoal é o tipo de coisa que vira incidente.

Quanto às sanções, a LGPD prevê de advertência a multa, entre outras medidas, aplicadas após processo administrativo e de forma gradativa (art. 52). A lei manda considerar a boa-fé, a cooperação e a adoção de boas práticas: documentar o que você faz conta a seu favor.

Checklist para a próxima campanha

1. Liste suas bases de contatos e anote de onde veio cada uma.
2. Defina a base legal por finalidade: consentimento ou legítimo interesse.
3. Para legítimo interesse, faça e guarde o teste de balanceamento.
4. Para consentimento, revise o formulário: caixas separadas, desmarcadas, com nome da empresa e finalidade.
5. Para WhatsApp, confirme que todos na lista deram opt-in para receber mensagens da sua empresa.
6. Guarde a prova de cada aceite: texto, data, canal e revogações.
7. Coloque descadastro fácil em toda mensagem e mantenha uma lista de supressão.
8. Peça só os dados que a campanha usa e defina prazo para contatos inativos.
9. Publique a política de privacidade com um canal para pedidos dos titulares.
10. Tenha um roteiro de incidente: quem avalia, quem comunica e em quanto tempo.

Exemplo prático

Imagine, como exemplo hipotético, uma loja de roupas com duas bases: 800 clientes que compraram no último ano, com e-mail e celular do cadastro de venda, e 300 pessoas que deixaram o e-mail num sorteio do Instagram.

Para os 800 clientes, a loja decide usar legítimo interesse no e-mail: faz o teste de balanceamento (lançamentos da coleção para quem já compra roupa da loja, até duas mensagens por mês, sem compartilhar a lista), coloca descadastro no rodapé e explica isso na política de privacidade. No WhatsApp, porém, ela não dispara para ninguém ainda. Primeiro manda, por e-mail e no balcão, um convite para quem quiser receber novidades pelo WhatsApp, com o nome da loja e a finalidade escritos. Quem aceita entra na lista, com data e canal registrados.

Para os 300 do sorteio, o regulamento dizia só “concorra a um vale-compras”, sem aceite para marketing, e o sorteio já acabou. Esses e-mails não entram na campanha: a finalidade informada foi alcançada, e a loja elimina a base. No próximo sorteio, o formulário ganha uma caixa separada e desmarcada para quem quiser receber novidades. A lista fica menor, mas passa a ser uma lista que a loja consegue defender.

Erros comuns

• Uma caixa só para tudo. “Aceito os termos e receber ofertas” junta finalidades e enfraquece o consentimento.
• Achar que legítimo interesse libera o WhatsApp. A política da plataforma exige opt-in de qualquer forma.
• Descadastro que não funciona. Link quebrado, exigência de login ou atendente que ignora o “pare” viram reclamação.
• Reimportar quem saiu. Sem lista de supressão, a planilha antiga traz de volta quem pediu para sair.
• Usar dado de saúde para segmentar sem consentimento específico. O legítimo interesse não se aplica a dados sensíveis.