Neste conteúdo (8 partes)
Este guia explica a LGPD aplicada ao disparo em massa, com as fontes oficiais no fim da página. É informação, não aconselhamento jurídico: a decisão sobre o seu caso é da sua empresa, com apoio de um advogado. Para os textos de pedido de permissão, veja o guia de opt-in no WhatsApp; aqui o foco é o que a lei pede de quem dispara.
O que a LGPD pede de quem faz disparo em massa?
O número de telefone ligado a uma pessoa é dado pessoal, e enviar mensagem para ele é tratar esse dado. A Lei 13.709/2018 (LGPD) exige que esse tratamento tenha uma base legal, uma finalidade clara e respeite os direitos de quem é dono do dado. Na prática, antes de qualquer campanha, a empresa precisa responder quatro perguntas:
- Em qual base legal eu me apoio para falar com essa pessoa? Consentimento ou legítimo interesse, na maioria das campanhas de marketing.
- Posso provar de onde veio o contato e quando a pessoa aceitou? O registro é a sua defesa.
- Sei atender quem pedir para sair, corrigir ou apagar o dado? São direitos previstos em lei.
- Quem trata a base para mim, e sob quais instruções? É a relação entre controlador e operador.
Além da LGPD, a política do WhatsApp Business exige que a pessoa tenha informado o número e aceitado receber mensagens da empresa. As duas camadas se somam: cumprir a lei não dispensa a regra da plataforma, e o contrário também vale.
Qual base legal usar: consentimento ou legítimo interesse?
As duas bases mais citadas em marketing são o consentimento (art. 7º, I) e o legítimo interesse (art. 7º, IX, com limites no art. 10). Elas funcionam de formas diferentes.
| Ponto | Consentimento | Legítimo interesse |
|---|---|---|
| Como funciona | A pessoa aceita receber as mensagens para uma finalidade | A empresa justifica o contato por um interesse legítimo e protege os direitos da pessoa |
| O que a empresa precisa mostrar | Quando, onde e com qual texto a pessoa aceitou | Teste de balanceamento em três fases: finalidade, necessidade e balanceamento com salvaguardas |
| Revogação | A pessoa pode retirar o consentimento a qualquer momento (art. 8º, § 5º) | A pessoa pode se opor ao tratamento |
| Dado sensível | Tem regras próprias | Não se aplica a dado pessoal sensível, segundo a ANPD |
| Combina melhor com | Campanhas para base captada com formulário, checkout ou balcão | Comunicação previsível com quem já é cliente, com avaliação documentada |
Quais direitos do titular a empresa precisa atender?
O art. 18 da LGPD lista o que o titular pode pedir. Quando o assunto é disparo, os pedidos mais comuns chegam por resposta à própria mensagem, e o time precisa saber reconhecê-los.
| Direito (art. 18) | Como aparece no disparo |
|---|---|
| Confirmação e acesso | “Vocês têm meu número? De onde vieram os meus dados?” |
| Correção | “Meu nome está errado” ou “esse não é mais o meu número” |
| Anonimização, bloqueio ou eliminação | “Apaguem meus dados”, “não quero mais nada de vocês” |
| Portabilidade | Pedido de cópia dos dados em formato utilizável |
| Informação sobre compartilhamento | “Com quem vocês dividem meu número?” |
| Revogação do consentimento | “Parem de me mandar mensagem”, “SAIR” |
| Oposição | Contestação do tratamento feito com base em legítimo interesse |
O pedido de saída é o mais frequente e o mais simples de tratar. A política do WhatsApp diz que a empresa deve respeitar toda solicitação para parar de receber, feita dentro ou fora do WhatsApp. O passo a passo está em opt-out no WhatsApp.
Quem é o controlador e quem é o operador no disparo terceirizado?
A LGPD distingue o controlador (quem decide sobre o tratamento dos dados) do operador (quem trata os dados em nome do controlador). O art. 39 diz que o operador trata os dados conforme as instruções do controlador. Como conceito, em um disparo terceirizado a empresa dona da base costuma ocupar o papel de controladora, e quem executa o envio por instrução dela, o de operador. Como esse arranjo se aplica a cada contrato depende do que está escrito nele.
Isso tem consequência prática: o cliente garante que a base autorizou receber mensagens da empresa dele e que o uso do dado cabe na finalidade informada; quem executa o disparo usa a lista só para a campanha combinada. Se você ainda não sabe se terceirizar faz sentido, veja o guia de disparo em massa terceirizado.
O que a empresa precisa registrar para provar que está em dia?
Quem consegue mostrar a origem do contato resolve a maior parte dos questionamentos. Guarde, no mínimo, os itens do modelo abaixo. A página sobre registro de consentimento detalha como armazenar cada um.
CAMPANHA: ______________ DATA PREVISTA: ___/___/______ [ ] 1. Finalidade da campanha descrita em uma frase (ex.: avisar clientes da nova coleção) [ ] 2. Base legal escolhida: ( ) consentimento ( ) legítimo interesse [ ] 3. Se legítimo interesse: teste de balanceamento escrito (finalidade, necessidade, salvaguardas) [ ] 4. Origem de cada contato registrada (site, loja, evento, indicação) com data [ ] 5. Texto aceito pela pessoa guardado, com o nome da empresa [ ] 6. Lista de quem pediu saída conferida e fora da planilha [ ] 7. Nenhum dado pessoal sensível usado para segmentar [ ] 8. Consulta a cadastros estaduais de bloqueio (ex.: Não Me Ligue, de São Paulo) [ ] 9. Responsável por atender pedidos do titular definido, com prazo interno [ ] 10. Quem executa o disparo recebeu só os dados necessários, com as instruções por escrito
O Não Me Perturbe e o Não Me Ligue valem para WhatsApp?
O Não Me Perturbe é a plataforma nacional das operadoras e dos bancos e cobre ligações de telemarketing (ofertas de telefonia, TV, internet, crédito consignado e cartão consignado). Ele não é uma lista que vale para o WhatsApp de qualquer empresa.
Alguns estados têm cadastros próprios. Em São Paulo, a Lei estadual 17.334/2021 ampliou o “Não Me Ligue” do Procon-SP para incluir SMS e mensagens por aplicativo, o WhatsApp por exemplo, para quem se cadastrou. Se a sua base tem consumidores paulistas, cruze a lista com esse cadastro. Outros estados podem ter regras parecidas: confira no Procon do seu estado.
Quais são as consequências de descumprir a LGPD e a política do WhatsApp?
- Sanções da LGPD (art. 52): advertência, multa simples com teto de R$ 50 milhões por infração, entre outras. A aplicação é da ANPD.
- Regras da plataforma: a Meta pode limitar ou remover o acesso à API quando a política é descumprida, e o recurso é feito pela Central de Ajuda da Meta.
- Qualidade do número e dos templates: bloqueios e denúncias derrubam a qualidade, e template ruim é pausado. É o que o guia de qualidade do número no WhatsApp API acompanha.
- Reputação: quem recebe mensagem sem ter autorizado costuma denunciar, e isso volta contra a marca.
Para entender se disparar é permitido do ponto de vista geral, veja disparo em massa é permitido?. E, se a tentação é montar a base de outro jeito, leia por que lista comprada não resolve.
Perguntas frequentes
A LGPD proíbe o disparo em massa de WhatsApp?
Não. A LGPD exige base legal, finalidade clara e respeito aos direitos do titular, e não proíbe o envio de mensagens. Para o WhatsApp, a política da Meta ainda pede que o contato tenha aceitado receber mensagens da empresa.
Posso usar legítimo interesse para disparar mensagens de marketing?
Em alguns casos, sim, mas a ANPD pede o teste de balanceamento em três fases e não admite a hipótese para dado sensível. Além disso, a regra de opt-in da Meta continua valendo para o WhatsApp. Por isso, o consentimento registrado é o caminho mais simples de provar.
Quem é responsável pela LGPD quando eu terceirizo o disparo?
Como conceito, a empresa dona da base é a controladora e responde pela origem e pela finalidade do tratamento; quem executa o envio é o operador e trata os dados conforme as instruções dela (art. 39). O contrato define os detalhes de cada caso.
O Não Me Perturbe vale para mensagens de WhatsApp?
O Não Me Perturbe nacional cobre ligações de telemarketing das operadoras e dos bancos, segundo o Ministério das Comunicações. Já o Não Me Ligue do Procon-SP, pela Lei 17.334/2021, inclui mensagens por aplicativo para quem se cadastrou em São Paulo.
Qual é a multa da LGPD para quem manda mensagem sem autorização?
A multa simples da LGPD tem teto de R$ 50 milhões por infração (art. 52), e a ANPD decide a sanção conforme o caso. Fora a lei, a Meta pode limitar ou remover o acesso à API de quem descumpre a política.
- Lei 13.709/2018 (LGPD), texto oficial no Planalto (consultado em 31/10/2026)
- ANPD: guia orientativo sobre legítimo interesse (02/02/2024) (consultado em 31/10/2026)
- Ministério das Comunicações: plataforma Não Me Perturbe (consultado em 31/10/2026)
- Procon-SP: Não Me Ligue ampliado (Lei estadual 17.334/2021) (consultado em 31/10/2026)
- WhatsApp Business: Política de Mensagens (consultado em 31/10/2026)
- Meta: como obter opt-in no WhatsApp (consultado em 31/10/2026)