Preciso de autorização da LGPD para mandar mensagem no WhatsApp?

Sim, na prática quase sempre: a LGPD exige uma base legal para você tratar o nome e o número de um cliente no WhatsApp, e isso normalmente significa consentimento explícito ou legítimo interesse justificado por uma relação que já existe — ele comprou de você, ele te procurou primeiro. Mandar mensagem para quem nunca teve contato com sua empresa, a partir de uma lista comprada de terceiros, é o cenário que mais vira problema. Abaixo, as duas bases que valem para o WhatsApp comercial, o que conta como opt-in defensável e como documentar isso sem virar burocracia.

A LGPD não proíbe WhatsApp comercial — exige uma base legal

O erro mais comum é tratar a LGPD como uma lista de proibições. Ela não diz "não pode mandar WhatsApp para cliente"; diz que qualquer tratamento de dado pessoal — e nome mais telefone já é dado pessoal — precisa se apoiar em uma das bases legais previstas na lei. Na prática do WhatsApp comercial, só duas aparecem com frequência: consentimento e legítimo interesse. Entender a diferença entre elas é o que separa uma campanha defensável de uma que vira reclamação.

Este guia usa como referência central o guia orientativo da ANPD para pequenos negócios^[1] — mas não substitui aconselhamento jurídico. LGPD aplicada a um caso real muda conforme o setor, o histórico da base e como o dado foi coletado; para decisões que envolvem volume grande ou dado sensível, vale consultar um advogado ou um DPO antes de agir.

As duas bases legais que valem para o WhatsApp comercial

Consentimento explícito é a base mais segura e a mais fácil de defender: a pessoa disse "sim, quero receber mensagem sua no WhatsApp" de forma livre, informada e específica — não escondida dentro de um termo de uso genérico. Ele pode ser revogado a qualquer momento, e a revogação precisa ser tão fácil quanto foi dar o consentimento.

Legítimo interesse é mais flexível, mas também mais arriscado de aplicar sozinho: cobre situações em que já existe uma relação e a mensagem está dentro do que a pessoa razoavelmente esperaria — um cliente que comprou recebendo aviso sobre a própria entrega, por exemplo. Legítimo interesse não é um cheque em branco: a lei espera uma análise de proporcionalidade entre o seu interesse comercial e os direitos do titular, e ela não cobre qualquer mensagem — muito menos oferta de produto sem relação nenhuma com a compra original, mandada para quem nunca ouviu falar da sua empresa.

A tabela resume onde cada base tende a se encaixar — "tende", porque a avaliação final é sempre caso a caso:

Situação	Base mais defensável	Precisa de opt-in explícito?
Cliente comprou e é contatado sobre a própria compra (entrega, nota fiscal, suporte)	Legítimo interesse / execução do contrato	Normalmente não, mas o conteúdo precisa ficar dentro do escopo da compra
Cliente comprou e recebe oferta de outro produto (upsell, campanha)	Zona cinzenta — depende do histórico e do que foi informado na compra	Recomendável ter consentimento explícito
Lead preencheu formulário e marcou aceite específico para WhatsApp	Consentimento explícito	Sim — e já está documentado
Contato frio a partir de lista comprada de terceiro	Nenhuma base clara	Sim, e normalmente não há como comprovar

O que conta como opt-in defensável na prática

Três origens de contato costumam resistir bem a uma checagem:

• Formulário com aceite específico. O cliente preencheu um formulário (site, landing page, WhatsApp Business) e marcou uma caixa de aceite falando especificamente de receber mensagem no WhatsApp — não uma caixa genérica de "aceito os termos de uso".
• Cliente que iniciou a conversa. Ele clicou no link wa.me, escaneou o QR Code ou mandou a primeira mensagem. A iniciativa dele mostra que o canal foi aberto por vontade própria — mas isso não é licença permanente: silêncio de meses pede bom senso antes de reabrir com oferta.
• Cliente que comprou e forneceu o número para contato sobre a compra. Confirmação de pedido, aviso de entrega, nota fiscal — o número foi dado com aquela finalidade, e usá-lo para esse fim é o uso mais defensável que existe.

Um problema recorrente quando a base cresce: ninguém lembra de cabeça qual contato veio de formulário e qual veio de uma lista comprada há dois anos. A saída simples é registrar a origem como etiqueta na própria conversa assim que o contato entra — o guia de etiquetas no WhatsApp Business mostra como montar essa taxonomia sem virar um sistema paralelo.

O que é risco: de onde vêm os contatos que mais geram denúncia

• Número comprado de lista de terceiro, sem relação nenhuma com sua empresa. A pessoa nunca ouviu falar de você — qualquer mensagem chega como spam, e não existe base legal para amparar o envio, porque não houve consentimento nem relação prévia.
• Raspagem de números em grupos do WhatsApp ou redes sociais. Número que aparece num grupo público não virou consentimento para receber mensagem privada — a pessoa autorizou participar daquele grupo, não ser contatada individualmente por quem ela nem conhece.

Os dois cenários acumulam risco em duas frentes ao mesmo tempo: na LGPD, por tratamento sem base legal; e na política do WhatsApp, por mensagem não solicitada — a mais provável de virar denúncia (mais sobre essa segunda camada adiante). A ANPD trata pequenos negócios com regras de conformidade simplificadas, mas isso é prazo e proporcionalidade na fiscalização, não isenção de responsabilidade^[1].

Como documentar consentimento sem virar burocracia

Não precisa de sistema jurídico sofisticado — precisa de três informações guardadas para cada contato:

1. Origem. De onde veio o número: formulário X, campanha Y, compra do produto Z.
2. Data e hora do aceite. Um timestamp simples já é evidência — planilha com coluna de data resolve para a maioria dos negócios pequenos.
3. O texto exato do que foi aceito. "Aceito receber novidades e promoções no WhatsApp" é diferente de aceitar termos de uso genéricos — guarde a frase específica, não só o fato de "aceitou algo".

Se o consentimento for revogado depois, registre isso também — e pare de mandar mensagem de marketing para aquele contato a partir dali. Uma etiqueta do tipo "não contatar" na própria conversa, cruzada com a origem, cobre a maior parte do que um pequeno negócio precisa mostrar se for questionado.

O direito de sair: descadastro fácil e minimização de dados

A LGPD garante ao titular o direito de revogar consentimento a qualquer momento, e a regra prática é simples: sair precisa ser tão fácil quanto foi entrar^[1]. No WhatsApp, isso normalmente significa uma palavra-chave — "PARAR", "SAIR" — que remove a pessoa da lista de disparo de verdade, não como formalidade decorativa no rodapé de uma mensagem que ninguém processa. Se você usa chatbot por palavras-chave, vale configurar esse gatilho como uma das primeiras respostas automáticas do fluxo.

Descadastro de mensagem de marketing não é o mesmo que apagar o cliente do seu sistema: se existe outra base legal para manter o cadastro (nota fiscal, obrigação contratual ou fiscal), o registro pode continuar existindo — o que precisa parar é o envio de mensagem promocional para quem pediu para sair.

O outro lado da mesma moeda é a minimização de dados: guarde só o que o disparo precisa. Para a maioria dos negócios, nome e telefone bastam — pedir CPF, endereço completo ou data de nascimento sem uma finalidade clara para esses dados é risco desnecessário, não é zelo.

LGPD é a lei; a política do WhatsApp é outra camada — as duas contam separado

Mesmo com opt-in perfeito e documentado, o WhatsApp pode agir por conta própria: a política de mensagens da Meta veda contato em massa não solicitado e pode suspender um número por volume de denúncias, sem perguntar se havia base legal por trás do envio^[2]. E o inverso também é verdade — seguir a política do WhatsApp e não ser banido não significa estar em conformidade com a LGPD. São duas camadas independentes: uma jurídica, aplicada por autoridade de proteção de dados; outra de plataforma, aplicada pela própria empresa dona do WhatsApp. Estar limpo numa não substitui a outra, e cada uma pune por um motivo diferente.

Checklist antes de rodar a próxima campanha

• Segmente antes de disparar. Só entra na campanha quem tem opt-in identificável — formulário, conversa iniciada por ele ou compra relacionada.
• Ofereça saída na primeira mensagem de qualquer campanha nova, com uma palavra que realmente funcione.
• Nunca compre lista pronta de terceiro — o custo de uma denúncia em massa, jurídica ou de plataforma, é maior que o de qualquer lista.
• Revise a base periodicamente: remova quem nunca respondeu em meses e quem pediu para sair.
• Filtre por etiqueta antes de enviar. No disparador da Zapext, dá para segmentar por etiqueta e excluir quem está marcado como "não contatar" antes de qualquer envio em massa sair do lugar.

Nada neste artigo substitui orientação jurídica: LGPD aplicada a um caso real — sobretudo quando a base usada é legítimo interesse — pede análise específica, e o histórico da empresa também pesa nessa avaliação. Se o seu disparo já tem volume relevante, vale revisar a base da lista com um advogado ou DPO antes de crescer ainda mais. O que dá para resolver hoje, sem depender de ninguém: etiquetar a base por origem, garantir que a palavra de saída funcione de verdade e parar de comprar lista pronta. A extensão Zapext ajuda a organizar esse controle — etiquetas, CRM Kanban e envio segmentado, a partir de R$29,90/mês com 7 dias de garantia —, mas a base legal do disparo continua sendo responsabilidade de quem envia, não da ferramenta.

Fontes

1. [1] Guia Orientativo — LGPD para pequenas empresas — ANPD (Autoridade Nacional de Proteção de Dados) (2022). acessado em 2026-05-19.
2. [2] WhatsApp Business Messaging Policy — WhatsApp (2024). acessado em 2026-05-19.