WhatsApp corporativo e LGPD: o que a empresa precisa organizar

Por que o WhatsApp entra na conta da LGPD

A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer tratamento de dados pessoais feito pela empresa, inclusive em conversas de WhatsApp. Coletar o CPF de um cliente, guardar um comprovante ou repassar um telefone para outro time são tratamentos de dados.

Isso vale tanto para os dados dos clientes que aparecem nas conversas quanto para os dados dos próprios colaboradores, quando a empresa acompanha os números corporativos.

Finalidade e base legal

Todo tratamento precisa de uma finalidade clara e de uma base legal. No atendimento, a base costuma ser a execução de contrato ou o cumprimento de obrigação legal ou regulatória; em outros casos, o legítimo interesse, que exige avaliar o equilíbrio entre o interesse da empresa e os direitos das pessoas.

Para o acompanhamento das conversas, a empresa precisa documentar por que faz isso (por exemplo, prevenir vazamento de dados ou cumprir regras do seu setor) e qual base legal usa. Essa definição é jurídica e varia de caso a caso.

Minimização: acompanhar só o necessário

A LGPD pede que se trate apenas o mínimo de dados necessário para a finalidade. Em vez de arquivar todas as conversas indefinidamente, defina regras que sinalizem só o que importa e guarde a evidência mínima para a revisão.

• Regras específicas no lugar de leitura integral de tudo.
• Telefones mascarados nas listagens.
• Conteúdo visível apenas na ocorrência sinalizada, para quem tem permissão.

Dados sensíveis pedem cuidado extra

Dados de saúde, biometria, origem racial, religião e outros considerados sensíveis pela lei têm regras mais restritas. Se a sua equipe recebe exames, laudos ou fotos de documentos pelo WhatsApp, vale ter regras que sinalizem esse tipo de envio e uma orientação clara sobre o canal correto para recebê-los.

Quem acessa, e o registro de cada acesso

Controle de acesso por papel é uma das medidas de segurança mais importantes. Defina quem pode ler conversas, quem só vê indicadores e quem administra as regras. Registre cada acesso ao conteúdo e cada decisão: se houver um incidente ou uma solicitação do titular, a empresa consegue mostrar o que aconteceu.

Por quanto tempo guardar

Dados não devem ser guardados para sempre. Defina um prazo de retenção compatível com a finalidade e com eventuais obrigações legais do seu setor, e garanta que o expurgo aconteça de fato.

Direitos dos titulares e transparência

Clientes e colaboradores têm direito de saber quais dados a empresa trata e para quê, e podem pedir acesso, correção ou eliminação, nos limites da lei. A política de privacidade e a política interna de uso do WhatsApp devem explicar o tratamento em linguagem clara.

Onde o VigiaZap ajuda (e onde não substitui)

O VigiaZap organiza a parte operacional: regras versionadas para sinalizar o que a sua política define, revisão humana com justificativa, acesso por papel e trilha de auditoria. Ele não define a base legal nem declara conformidade com a LGPD por você. Essas decisões continuam sendo da sua organização.

Este conteúdo é informativo e não substitui orientação jurídica. A definição de base legal, retenção e acesso aos dados cabe a cada organização, com apoio do seu jurídico ou encarregado de dados.