O que mudou na LGPD para quem vende e atende pelo WhatsApp em 2026

Em 2026 a pergunta que mais chega é: “a LGPD mudou?”. A resposta curta é que o que mudou foi o entorno da lei, quem fiscaliza e o que a fiscalização prioriza. Este guia põe as datas em ordem, traduz cada uma para a rotina de vendas e termina com um plano de 30 dias. É conteúdo informativo, não aconselhamento jurídico: para o seu caso, fale com um advogado de proteção de dados.

O que mudou de verdade na LGPD em 2026?

Mudou a autoridade. A Lei 15.352, de 25 de fevereiro de 2026, converteu a Medida Provisória 1.317/2025 e transformou a ANPD em agência reguladora, com autonomia e uma carreira própria de regulação e fiscalização. As regras que o comercial usa no dia a dia, como bases legais, direitos do titular e dever de informar, seguem nos mesmos artigos da Lei 13.709/2018.

Na prática, uma ANPD mais estruturada tende a significar mais processos, mais orientação e mais regulamentos. Não é motivo para alarme, e sim para organizar a casa antes de a pergunta chegar. Quem já sabe de onde veio cada contato e por que pode falar com ele está quase todo o caminho andado.

Qual é a linha do tempo da ANPD que importa para vendas?

Cinco marcos, todos com fonte oficial, ajudam a entender o momento. A tabela mostra a data, o que aconteceu e o que significa para quem vende.

Segundo a Teletime, as ações de fiscalização do eixo de inteligência artificial do mapa estão concentradas em 2027. Isso dá um ano para quem usa IA no atendimento ajustar avisos, registros e a passagem para humano. O guia sobre IA e LGPD no atendimento detalha esses cuidados.

Onde a LGPD aparece no dia a dia de quem vende?

Em cinco pontos: quando o contato entra, quando a empresa manda mensagem, quando uma IA responde, quando o cliente faz um pedido sobre os próprios dados e quando algo dá errado. Cada um tem uma pergunta simples que a equipe deveria saber responder.

• Entrada do contato: de onde veio e o que ele esperava receber? Formulário, anúncio, indicação, balcão e lista comprada têm histórias diferentes. A página sobre LGPD no CRM mostra o que guardar e por quanto tempo.
• Mensagem ativa: a empresa pode falar com essa pessoa sobre esse assunto? Entram a base legal e o legítimo interesse no marketing. No WhatsApp, a política da plataforma também exige permissão, como explica o guia de opt-in.
• Atendimento com IA: a pessoa sabe que fala com um sistema e consegue chegar a um humano? Veja também o marco legal da IA e o atendimento.
• Pedido do titular: o cliente pode pedir acesso, correção ou eliminação. O fluxo está em pedido do titular no atendimento.
• Incidente: vazamento ou acesso indevido. A comunicação à ANPD e aos titulares tem prazo de três dias úteis a partir do conhecimento de que dados pessoais foram afetados, segundo a Resolução CD/ANPD nº 15/2024.

O que fazer em cada área do comercial?

Para cada ponto, uma ação pequena e verificável. A tabela serve como lista de tarefas para o gestor comercial e para quem cuida do CRM.

Como fica numa empresa pequena? Um exemplo resolvido

A Casa Alvorada Móveis, empresa fictícia, tem 1.800 contatos no CRM, quatro vendedores e usa o WhatsApp para orçamentos. Em uma tarde, o gestor fez uma auditoria de cinco passos. Nenhum passo exige ferramenta nova.

1. 1
   Contou os contatos por origem

   Mil deles vinham de formulário e anúncio, 500 eram clientes antigos, 200 vinham de indicação e cem não tinham origem registrada.

2. 2
   Separou os sem origem

   Os cem contatos sem origem saíram das campanhas até alguém confirmar de onde vieram. Os que ninguém reconheceu foram revisados para eliminação.

3. 3
   Revisou o texto da primeira mensagem

   Passou a dizer quem fala, por que a pessoa recebeu a mensagem e como parar de receber.

4. 4
   Nomeou um responsável por pedidos de titular

   Um e-mail e um número internos receberam o fluxo e o modelo de resposta.

5. 5
   Anotou a regra de IA

   O robô de triagem avisa que é um sistema e a palavra “atendente” leva a conversa para uma pessoa.

O resultado não é uma certificação, e sim um caderno de decisões datado. Se a ANPD ou um cliente perguntar, a empresa mostra o que decidiu, quando e por quê.

Que modelos copiáveis ajudam a registrar isso?

Dois bastam para começar: a ficha mínima do contato e a resposta-padrão a um pedido de titular. Ajuste ao seu caso e peça revisão jurídica antes de usar em larga escala.

Nome:
Telefone ou identificador do WhatsApp:
Origem (formulário, anúncio, indicação, balcão, evento, cliente antigo):
Data de entrada:
Base legal usada para contato comercial (consentimento, execução de contrato, legítimo interesse, outra):
Permissão para receber campanhas (sim, não, não perguntado) e data:
Última interação:
Responsável:
Observações sobre pedidos do titular (acesso, correção, eliminação, oposição) e data da resposta:

Olá, [NOME]. Aqui é a [EMPRESA]. Recebemos seu pedido sobre os seus dados pessoais em [DATA].
Para sua segurança, precisamos confirmar que é você: [PERGUNTA DE CONFIRMAÇÃO].
Assim que confirmarmos, vamos [ACESSO / CORREÇÃO / ELIMINAÇÃO] e responderemos por aqui até [DATA, conforme a norma aplicável e a orientação jurídica da empresa].
Seu pedido foi registrado com o número [PROTOCOLO]. Se preferir, fale com o nosso responsável por proteção de dados em [CONTATO].

Onde o CRM ajuda nesse trabalho?

Nenhuma ferramenta torna a empresa “em conformidade” sozinha, mas um CRM bem configurado facilita três coisas: saber a origem de cada contato, separar quem pode receber campanha e guardar o histórico da conversa. O DataCrazy tem BI com conversão por origem e multiatendimento com fila, distribuição e SLA, o que ajuda a enxergar de onde vêm os contatos e quem atendeu cada um.

O que fazer nos próximos 30 dias?

Sete tarefas, distribuídas por semana, que uma pessoa do comercial e uma da operação conseguem cumprir sem consultoria. A ideia é terminar o mês com origem, permissão e responsáveis definidos e registrados.

1. Semana 1: exportar a base, contar contatos por origem e separar os sem origem.
2. Semana 1: escolher o responsável por pedidos de titular e por incidentes.
3. Semana 2: revisar a primeira mensagem de campanha (quem fala, por que recebeu, como sair).
4. Semana 2: conferir o aviso de IA e o comando para falar com uma pessoa.
5. Semana 3: listar as ferramentas que guardam dado de cliente e quem tem acesso.
6. Semana 3: treinar o time com dois exemplos de pedido de titular.
7. Semana 4: arquivar o que foi decidido, com data, e marcar a próxima revisão para janeiro de 2027.

O que acompanhar até 2027?

Quatro frentes: o resultado da consulta sobre fiscalização (contribuições até 26/10/2026), a consulta sobre dosimetria e sanções, a Agenda Regulatória 2027-2028 e as ações do eixo de IA. Em caso de infração, a LGPD prevê sanções que vão de advertência a multa de até R$ 50 milhões por infração, além de bloqueio e eliminação dos dados (art. 52). A rotina simples e documentada é o caminho mais leve: custa pouco e deixa a empresa tranquila.