LGPD e WhatsApp: consentimento, opt-out e boas práticas para empresas

Atualizado em 25/10/2026

Para usar o WhatsApp de acordo com a LGPD, a empresa precisa de uma base legal para cada finalidade de mensagem, informar o cliente sobre o uso dos dados, atender pedidos de saída e de exclusão e guardar as conversas só pelo tempo necessário. A Meta acrescenta as próprias regras: opt-in claro com o nome da empresa, respeito a todo pedido para parar e proibição de compartilhar dados das conversas. Este artigo explica como as duas camadas se encaixam e como implementar isso no sistema.

Um aviso antes de começar: este texto é informativo e não substitui a orientação de um advogado ou do encarregado de dados da sua empresa.

Duas regras ao mesmo tempo: a lei e a política da Meta

Quem manda mensagem pela API oficial do WhatsApp responde a duas regras diferentes, que se somam:

Camada	Quem define	O que cobra	Consequência do descumprimento
LGPD (Lei 13.709/2018)	Lei federal, fiscalizada pela ANPD	Base legal, transparência, direitos do titular, segurança	Sanções administrativas, incluindo multa
Política de Mensagens do WhatsApp Business	Meta	Opt-in, opt-out, uso restrito dos dados das conversas	Restrições de envio, bloqueio do número ou da conta

Cumprir uma não garante a outra. Um opt-in genérico pode bastar para a Meta e ainda assim não atender à LGPD, e o contrário também acontece. Na API oficial do WhatsApp, a empresa é a responsável pelas decisões sobre os dados (o controlador, nos termos da lei). A página de privacidade e segurança de dados da Cloud API diz que a Meta atua como processadora em nome da empresa, na medida em que a lei aplicável reconhece esse papel.

Base legal: nem toda mensagem precisa de consentimento

O art. 7º da LGPD lista dez hipóteses que autorizam o tratamento de dados pessoais. Consentimento é só uma delas. Para o WhatsApp de uma empresa, quatro aparecem com mais frequência:

Tipo de mensagem	Base legal mais comum (art. 7º)	Observação
Confirmação de pedido, rastreio, segunda via	Execução de contrato (inciso V)	A mensagem é parte do serviço contratado
Nota fiscal, aviso exigido por norma	Obrigação legal ou regulatória (inciso II)	Depende de norma específica do setor
Ofertas, novidades, campanhas	Consentimento (inciso I) ou legítimo interesse (inciso IX)	Exige análise caso a caso
Cobrança de dívida em aberto	Execução de contrato (V) ou proteção do crédito (X)	Atenção ao tom e à frequência

Duas observações sobre essa tabela. Primeiro, a escolha da base legal é uma decisão do controlador, documentada, e não um rótulo para justificar o envio depois. Segundo, se a empresa usar o legítimo interesse, o art. 10 exige tratar só os dados estritamente necessários e adotar medidas de transparência, e o art. 37 pede registro das operações, “especialmente quando baseado no legítimo interesse”.

Dados sensíveis mudam o jogo. Saúde, religião, origem racial, vida sexual e biometria são dados pessoais sensíveis (art. 5º, II), e o art. 11 exige consentimento “de forma específica e destacada” ou outra hipótese própria. Clínicas e laboratórios que mandam resultado de exame ou lembrete de consulta precisam considerar isso desde o desenho do fluxo.

Quer testar enquanto lê? Crie sua conta na Vectalk e envie a primeira mensagem pela API oficial. Criar conta grátis →

Consentimento: o que a lei pede e como provar

Quando a base é o consentimento, a LGPD define o padrão no art. 5º, XII: “manifestação livre, informada e inequívoca” para “uma finalidade determinada”. O art. 8º completa:

• pode ser por escrito ou por outro meio que demonstre a vontade do titular;
• se estiver em contrato, deve vir em cláusula destacada;
• cabe ao controlador provar que obteve o consentimento corretamente (§ 2º);
• autorizações genéricas são nulas (§ 4º);
• pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (§ 5º).

A Meta tem requisitos parecidos, mas mais simples. A página Get opt-in for WhatsApp pede que a empresa deixe claro que a pessoa está aceitando receber comunicações, deixe claro o nome da empresa e cumpra a lei aplicável. A Meta recomenda opt-ins separados por categoria de mensagem (pedidos, ofertas, recomendações), o que conversa bem com a exigência de finalidade determinada da LGPD.

Na prática, um checkbox desmarcado por padrão, com texto específico, resolve as duas camadas:

“Quero receber ofertas da Loja Exemplo pelo WhatsApp. Posso cancelar quando quiser respondendo SAIR.”

O ônus da prova é o ponto que mais pesa no sistema. Guarde, junto do contato, o registro do aceite:

{
  "wa_id": "5511999999999",
  "consentimentos": [
    {
      "finalidade": "marketing",
      "base_legal": "consentimento",
      "origem": "checkout_site",
      "texto_exibido": "Quero receber ofertas da Loja Exemplo pelo WhatsApp. Posso cancelar quando quiser respondendo SAIR.",
      "versao_politica": "2026-09",
      "aceito_em": "2026-10-12T14:32:10-03:00",
      "revogado_em": null
    }
  ]
}

Guardar o texto exato e a versão da política de privacidade evita a discussão “o que exatamente a pessoa aceitou”. O artigo como montar uma lista opt-in mostra formas de captar esse aceite no site, no checkout e na própria conversa.

Opt-out: revogar tem que ser tão fácil quanto aceitar

A LGPD garante a revogação “mediante procedimento gratuito e facilitado” (art. 8º, § 5º) e lista a revogação entre os direitos do titular (art. 18, IX). A Política de Mensagens do WhatsApp Business vai na mesma linha: a empresa deve respeitar todas as solicitações, dentro e fora do WhatsApp, de quem não quer mais receber mensagens.

No sistema, isso significa tratar pelo menos quatro caminhos de saída:

1. Botão no template. Um botão de resposta rápida como “Não quero ofertas”. O webhook chega com type: "button" e o texto em button.text.
2. Texto livre. Mensagens como “sair”, “parar”, “não quero mais”. Normalize o texto e compare com uma lista de palavras.
3. Configuração do próprio WhatsApp. O usuário pode parar o marketing da empresa direto no app. Envios depois disso voltam no webhook de status como failed com erro 131050, segundo a documentação de templates de marketing.
4. Fora do WhatsApp. E-mail, telefone, formulário de privacidade, pedido ao atendente. Todos precisam chegar à mesma base.

Um tratamento mínimo em Node.js para os três primeiros:

const PALAVRAS_SAIDA = ['sair', 'parar', 'cancelar', 'nao quero mais', 'descadastrar'];

function normalizar(t) {
  return t.toLowerCase().normalize('NFD').replace(/[̀-ͯ]/g, '').trim();
}

export function tratarMensagem(msg, db) {
  const texto =
    msg.type === 'text' ? msg.text.body :
    msg.type === 'button' ? msg.button.text : '';

  if (PALAVRAS_SAIDA.includes(normalizar(texto))) {
    db.revogarConsentimento(msg.from, 'marketing', new Date());
    return { responder: 'Pronto, você não vai mais receber ofertas. Mensagens sobre seus pedidos continuam.' };
  }
}

export function tratarStatus(status, db) {
  if (status.status === 'failed' && status.errors?.[0]?.code === 131050) {
    db.revogarConsentimento(status.recipient_id, 'marketing', new Date());
  }
}

Repare na resposta: a saída do marketing não precisa encerrar as mensagens de pedido, que têm outra base legal. Deixe isso claro para o cliente. Revogação que não é respeitada vira reclamação e bloqueio, e bloqueios pesam na qualidade do número.

Retenção: quanto tempo guardar as conversas

A LGPD não fixa um prazo único. O art. 15 diz que o tratamento termina quando a finalidade é alcançada, quando acaba o período combinado, quando o titular pede ou quando a ANPD determina. O art. 16 manda eliminar os dados depois disso, com exceções como cumprimento de obrigação legal ou regulatória.

Do lado da Meta, a página de privacidade da Cloud API informa que as mensagens têm período máximo de retenção de 30 dias na infraestrutura da Meta, para funções como reenvio. O histórico de longo prazo, portanto, fica no seu sistema, e a política de retenção é sua.

Um jeito prático de organizar:

Dado	Exemplo de regra	Por quê
Registro de consentimento e de revogação	Manter enquanto houver relação e pelo prazo em que precisar comprovar	Ônus da prova do art. 8º, § 2º
Conversas de atendimento	Prazo definido pelo jurídico conforme o setor	Finalidade de suporte e defesa de direitos
Mídias recebidas (documentos, fotos)	Apagar ou anonimizar ao fim da finalidade	Costumam conter dados sensíveis
Contatos que pediram exclusão	Eliminar dados, manter só o necessário para não voltar a contatar	Art. 18, VI e art. 16

Os prazos concretos dependem do setor e de outras leis. Defina com o jurídico e automatize a limpeza com um job agendado.

Boas práticas que a Meta já exige

A Política de Mensagens do WhatsApp Business tem regras que reforçam a LGPD e valem para qualquer empresa na API:

• Não usar dados das conversas para outros fins nem encaminhar ou compartilhar informações de uma conversa com terceiros.
• Não pedir números completos de cartão de pagamento, números de conta ou de documentos de identidade pela conversa.
• Oferecer caminho para um humano quando o atendimento é automatizado, com escalonamento claro e direto.
• Manter contato de suporte no perfil do WhatsApp Business.

Se você usa um chatbot com IA no WhatsApp, essas regras se aplicam também ao que o modelo pede e ao que vai para o provedor de IA.

Segurança e incidentes

O art. 46 da LGPD exige medidas de segurança técnicas e administrativas contra acessos não autorizados, desde a concepção do produto. No WhatsApp, os pontos mais comuns de vazamento são tokens de API expostos em repositórios, painéis de atendimento com acesso amplo demais e contas de atendentes compartilhadas. O guia de segurança da conta business no WhatsApp cobre PIN, permissões e golpes.

Se houver incidente que possa causar risco ou dano relevante aos titulares, o art. 48 manda comunicar a ANPD e os titulares. O Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis.

Vale lembrar o tamanho do risco: o art. 52 prevê advertência, bloqueio e eliminação dos dados, suspensão do tratamento e multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

Checklist de LGPD para o WhatsApp da empresa

• Base legal definida e registrada para cada tipo de mensagem.
• Política de privacidade citando o WhatsApp, a finalidade e os direitos do titular (art. 9º).
• Consentimento por finalidade, com texto, data e origem guardados.
• Botão e palavras de saída tratados automaticamente, e erro 131050 lido como opt-out.
• Pedidos feitos fora do WhatsApp chegando à mesma base.
• Prazo de retenção definido e job de limpeza rodando.
• Encarregado indicado e contato publicado (art. 41).
• Acesso ao painel e aos tokens limitado a quem precisa.

Como fazer isso com a Vectalk

A Vectalk é um proxy da WhatsApp Cloud API oficial: os webhooks que chegam ao seu sistema são os da Meta, com os mesmos campos usados acima (button.text, statuses[].errors). Você registra quantas URLs quiser por instância com POST /api/webhooks e pode consultar o histórico com GET /api/messages, filtrando por data, status e direção, para alimentar sua política de retenção. Os detalhes estão em docs.vectalk.com.br. Para começar, crie sua conta em apps.vectalk.com.br/register.

Outros textos úteis: disparo em massa pela API oficial, régua de cobrança pelo WhatsApp e pós-venda e NPS sem incomodar.

Perguntas frequentes

Preciso de consentimento para mandar mensagem no WhatsApp?

Não para toda mensagem. A LGPD aceita outras bases legais, como execução de contrato para confirmação de pedido. Já a Meta exige opt-in antes de iniciar contato, independentemente da base legal escolhida. Na prática, você precisa das duas coisas: base legal para a lei e opt-in para a Meta.

O opt-in da Meta substitui o consentimento da LGPD?

Não necessariamente. A Meta aceita um opt-in geral, desde que cumpra a lei local. A LGPD considera nulas as autorizações genéricas quando a base é o consentimento. Um texto específico por finalidade atende às duas regras.

O cliente pediu para apagar os dados. Preciso apagar as conversas?

O art. 18, VI garante a eliminação dos dados tratados com consentimento, com as exceções do art. 16, como obrigação legal. Avalie com o jurídico o que pode ser apagado e o que precisa ser mantido, e registre a decisão.

A Meta guarda as mensagens da minha empresa?

Segundo a documentação da Cloud API, as mensagens ficam no máximo 30 dias na infraestrutura da Meta, para funções como reenvio. O histórico permanente é responsabilidade do seu sistema.

Este artigo serve como parecer jurídico?

Não. Ele resume a lei e as regras da Meta para orientar a implementação técnica. Decisões sobre base legal, prazos e contratos devem passar por um advogado ou pelo encarregado de dados.

---

Fontes oficiais consultadas em 25/10/2026: Lei nº 13.709/2018 (LGPD), ANPD: comunicação de incidente de segurança, Política de Mensagens do WhatsApp Business (atualizada em 23/09/2026), Get opt-in for WhatsApp, Templates de marketing, Privacidade e segurança de dados da Cloud API.