LGPD no WhatsApp: o que muda quando um robô atende
A LGPD no WhatsApp não proíbe automação. Ela pede que a empresa saiba quais dados coleta, por que coleta, onde guarda e por quanto tempo, e que conte isso ao cliente com clareza. Quando um robô passa a atender, essas perguntas ficam mais concretas: ele grava conversas, entende áudios, lê fotos e, numa clínica, ouve falar de dor, exame e medicamento.
Este guia explica, em linguagem de dono de negócio, o que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) exige de um atendimento automático, com atenção especial aos dados de saúde no WhatsApp. No final, há um checklist para clínicas e consultórios. Um aviso honesto: este texto é informativo e não substitui a orientação de um advogado ou do seu encarregado de dados.
Quem é quem: controlador, operador e titular
A LGPD divide responsabilidades em três papéis. Entender o seu evita a maior parte dos erros.
| Papel | Quem é, no atendimento pelo WhatsApp | Responsabilidade principal |
|---|---|---|
| Titular | O cliente ou paciente que manda mensagem | Tem direitos sobre os próprios dados |
| Controlador | A sua empresa, que decide para que os dados servem | Definir finalidade, base legal, transparência e segurança |
| Operador | Fornecedores que tratam dados em seu nome, como a ferramenta de atendimento | Seguir as instruções do controlador e proteger os dados |
Trocando em miúdos: contratar um robô não transfere a responsabilidade. A sua empresa continua respondendo pelo que acontece com os dados dos clientes, e precisa escolher fornecedores que deem garantias adequadas.
LGPD chatbot: qual base legal usar
Cada tratamento de dados precisa de uma base legal. No atendimento automático, as mais usadas são:
- Execução de contrato ou procedimentos preliminares a pedido do titular: o cliente pediu orçamento ou horário, e você usa nome, telefone e serviço desejado para atender. É a base natural do agendamento.
- Consentimento: necessário para mensagens que o cliente não pediu naquele momento, como campanhas de reativação, novidades e promoções. Deve ser livre, informado e fácil de retirar.
- Legítimo interesse: pode cobrir alguns contatos de relacionamento, como pedir avaliação depois do serviço, desde que respeite a expectativa do cliente e haja forma simples de recusar.
Escolher a base certa não é burocracia. Ela define o que você pode fazer depois: um cliente que só pediu horário não autorizou receber a promoção de Black Friday. Registre, para cada tipo de mensagem, qual base legal sustenta o envio.
Para lembretes de consulta, muitas empresas combinam a execução do serviço com uma confirmação clara de que o cliente quer receber avisos. É também o que a Meta exige para mensagens fora da janela de 24 horas: só para quem aceitou receber.
Dados de saúde no WhatsApp: a parte mais sensível
A LGPD classifica dado referente à saúde como dado pessoal sensível. Isso inclui sintomas, diagnósticos, exames, medicamentos e até o tipo de consulta quando ele revela uma condição. O tratamento desses dados tem regras mais restritas (art. 11), e um vazamento pesa muito mais.
Na prática, clínicas e consultórios devem:
- Minimizar: o robô de agendamento precisa de nome, telefone, profissional e horário. Não precisa de sintomas. Configure a IA para não pedir e para passar à equipe quando o paciente começar a contar o caso.
- Separar canais: exames e laudos devem circular pelo sistema da clínica ou por canal seguro definido, não em conversa aberta.
- Cuidar dos lembretes: "Sua consulta com a Dra. Paula é amanhã às 14h" basta. Evite "sua consulta de acompanhamento oncológico".
- Respeitar o sigilo profissional: as regras dos conselhos de saúde valem também no WhatsApp.
Veja como isso se aplica ao atendimento de clínicas médicas.
- Pedido fora do comum: Reclamação, reembolso ou caso especial
- Recepcionista com IA: Sabe quando parar
- Responde com suas dúvidas frequentes: Serviços, horários e preços / Passa a conversa: Sua equipe é avisada
- Sua equipe responde: Mesma conversa, histórico completo
Transparência: o cliente precisa saber o quê
O titular tem direito a informações claras sobre o tratamento (art. 9º). Para o atendimento automático, isso significa:
- avisar, na primeira mensagem, que um assistente automático está atendendo e que dá para falar com uma pessoa;
- manter uma política de privacidade acessível, com link no perfil comercial do WhatsApp e no site;
- explicar na política quais dados a conversa coleta, para que servem, com quem são compartilhados (inclusive a Meta e o fornecedor do robô) e por quanto tempo ficam guardados;
- informar como o cliente exerce seus direitos: acesso, correção, eliminação e revogação do consentimento (art. 18).
Exemplo de primeira mensagem: "Oi! Sou a assistente virtual da Clínica Vida. Posso marcar horários, tirar dúvidas e passar pedidos de remarcação para a equipe. Se preferir falar com a recepção, é só pedir. Saiba como tratamos seus dados: [link]."
Guarda de conversas: quanto tempo e onde
A LGPD não fixa um prazo único. A regra é guardar enquanto houver finalidade, e eliminar ou anonimizar depois, salvo obrigação legal. Para o WhatsApp, defina por escrito:
| Tipo de dado | Pergunta a responder |
|---|---|
| Histórico de conversas | Por quanto tempo ele ajuda o atendimento? Seis meses? Um ano? |
| Áudios e fotos | Precisam ficar guardados ou basta o registro do agendamento? |
| Agendamentos | Há obrigação contábil ou regulatória de manter? |
| Lista de consentimento | Guarde a prova de quem aceitou receber mensagens |
Dados que saem do Brasil, como os que trafegam por servidores da Meta ou de fornecedores estrangeiros, estão sujeitos às regras de transferência internacional. A ANPD regulamentou o tema em 2024. Pergunte ao fornecedor quais garantias ele oferece.
Pequenas empresas: regras mais simples, não ausência de regras
A ANPD tem um regulamento específico para agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups (Resolução CD/ANPD nº 2/2022). Ele simplifica obrigações: por exemplo, dispensa a indicação formal de encarregado, desde que a empresa mantenha um canal de comunicação com os titulares. Mas atenção: quem trata dados sensíveis em larga escala pode não se beneficiar das simplificações. Clínicas devem verificar o enquadramento com cuidado no site da ANPD.
Em caso de incidente de segurança que possa gerar risco relevante aos titulares, a empresa deve comunicar a ANPD e os afetados. As sanções vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
O que pedir ao fornecedor do robô de atendimento
- Contrato ou termos que descrevam o fornecedor como operador e limitem o uso dos dados ao seu atendimento.
- Informação sobre onde os dados ficam armazenados e por quanto tempo.
- Possibilidade de exportar e excluir conversas quando o cliente pedir.
- Controle de acesso: quem da sua equipe vê o histórico.
- Conexão pela API oficial do WhatsApp, que segue os termos empresariais da Meta, em vez de conexões não oficiais.
- Passagem fácil para atendimento humano.
A NextReply conecta pelo canal oficial, permite configurar o que a IA pode ou não responder e passa a conversa para a equipe quando o assunto sai do roteiro. Detalhes sobre o tratamento de dados estão na política de privacidade. Sobre o produto, veja os recursos e como funciona.
Checklist de LGPD para clínicas que usam WhatsApp
- Política de privacidade atualizada, citando o atendimento automático e os fornecedores.
- Primeira mensagem do robô avisando que é um assistente e como falar com uma pessoa.
- IA configurada para não pedir sintomas, exames ou documentos.
- Passagem automática para a equipe quando o paciente fala de saúde.
- Lembretes com o mínimo: profissional, data, hora e endereço.
- Registro de consentimento para campanhas e reativações.
- Prazo de guarda de conversas definido por escrito.
- Acesso ao histórico restrito a quem precisa.
- Canal para o paciente pedir acesso, correção ou exclusão dos dados.
- Plano simples de resposta a incidente, com responsável definido.
Com isso em ordem, o agendamento pelo WhatsApp e a resposta automática fora do horário deixam de ser risco e passam a ser processo. As mesmas regras vão valer para o Instagram, o Messenger e o Telegram, canais que estão em breve na NextReply (veja canais). Compare os planos ou veja exemplos por segmento.