WhatsApp, atendimento empresarial e proteção de dados: onde estão os principais riscos
O WhatsApp faz parte da rotina de atendimento, vendas, cobrança, suporte e gestão de equipes de muitas empresas.
O uso da ferramenta não é proibido pela Lei Geral de Proteção de Dados Pessoais, mas a facilidade de enviar mensagens, documentos, fotos e cadastros pode transformar o aplicativo em um ponto relevante de risco jurídico e operacional.
Para a empresa, o problema não está apenas no aplicativo utilizado.
O risco está principalmente em quais dados são tratados, por qual finalidade, quem possui acesso, por quanto tempo as informações são mantidas e quais medidas existem para evitar exposição indevida.
WhatsApp na empresa é proibido pela LGPD?
Não.
A LGPD não proíbe o uso de WhatsApp, e-mail, sistemas de CRM ou outras ferramentas de comunicação empresarial.
O que a lei exige é que o tratamento de dados pessoais observe uma hipótese legal adequada, os princípios previstos no art. 6º da Lei nº 13.709/2018 e medidas de segurança compatíveis com os riscos envolvidos.
Nome, número de telefone, fotografia, endereço, CPF, histórico de atendimento, mensagens e documentos vinculados a uma pessoa identificada ou identificável podem constituir dados pessoais.
Informações sobre saúde, biometria, origem racial ou étnica, convicção religiosa e outros dados previstos no art. 5º, II, da LGPD recebem proteção específica como dados pessoais sensíveis.
Por isso, uma conversa aparentemente simples pode envolver quantidade significativa de informação protegida.
A empresa precisa pedir consentimento para tudo no WhatsApp?
Não.
Consentimento é apenas uma das hipóteses legais previstas na LGPD.
Dependendo da finalidade, o tratamento pode estar fundamentado, por exemplo, na execução de contrato ou de procedimentos preliminares relacionados a contrato, no cumprimento de obrigação legal ou regulatória, no exercício regular de direitos ou no legítimo interesse, desde que os requisitos de cada hipótese sejam efetivamente atendidos.
Para dados pessoais sensíveis, as hipóteses legais são específicas e estão previstas no art. 11 da LGPD.
O erro comum é tratar o consentimento como autorização genérica para qualquer uso futuro.
A empresa precisa primeiro definir qual é a finalidade concreta do tratamento e somente depois identificar a base jurídica adequada.
A ANPD orienta que o legítimo interesse, quando utilizado, deve passar por análise de finalidade, necessidade, balanceamento e salvaguardas, e essa hipótese não se aplica aos dados pessoais sensíveis.
Atendimento de clientes pelo WhatsApp exige organização
Uma conversa comercial pode começar com um nome e um telefone e terminar com documentos, dados financeiros, endereço, comprovantes e informações sobre terceiros.
Quanto maior o volume de dados, maior a necessidade de controle.
A empresa deve limitar a coleta ao que efetivamente precisa para atender, contratar, entregar, cobrar ou cumprir outra finalidade legítima.
Esse cuidado decorre diretamente do princípio da necessidade, que exige limitação do tratamento ao mínimo necessário para a finalidade pretendida.
Solicitar documentos completos quando apenas uma informação seria suficiente aumenta a exposição sem necessariamente melhorar o processo.
Usar o WhatsApp pessoal do empregado aumenta o risco?
Pode aumentar.
Quando o atendimento empresarial ocorre exclusivamente em aparelhos e contas pessoais, a organização perde parte do controle sobre cópias, backups, contatos, históricos e permanência dos dados depois do encerramento do vínculo de trabalho.
O problema fica mais evidente quando o empregado deixa a empresa e continua com conversas, documentos ou dados de clientes armazenados no próprio aparelho.
Por isso, sempre que possível, é recomendável estruturar canais corporativos, definir responsáveis e limitar acessos conforme a função exercida.
Quando houver uso de aparelho pessoal, a empresa deve estabelecer regras internas objetivas sobre dados corporativos, armazenamento, transferência, confidencialidade, incidentes e desligamento.
Essa governança precisa ser compatível com os limites da relação de trabalho e não autoriza acesso indiscriminado ao conteúdo pessoal do empregado.
Grupos de WhatsApp merecem cuidado especial
Ao inserir pessoas em um grupo, a empresa pode tornar visíveis números de telefone, nomes e fotografias de perfil a outros participantes.
Isso exige avaliação sobre necessidade e finalidade.
Um grupo criado apenas por conveniência administrativa pode expor dados a pessoas que não precisariam ter acesso a eles.
Em grupos internos, é importante definir quem pode adicionar participantes, quais informações podem circular e quando ex-empregados devem ser removidos.
Em grupos com clientes, fornecedores ou terceiros, a exposição recíproca de contatos deve ser considerada antes da criação do grupo.
Quando a mesma finalidade puder ser atingida por comunicação individual ou outro canal com menor exposição, essa alternativa merece ser avaliada.
Documentos pessoais não devem circular sem critério
RG, CPF, contratos, laudos, atestados, dados bancários, folhas de pagamento e documentos contendo informações de familiares são exemplos de arquivos que podem circular pelo WhatsApp em rotinas administrativas.
O envio deve ocorrer apenas quando necessário e ao destinatário correto.
A empresa deve evitar que documentos permaneçam indefinidamente em galerias, pastas de download ou aparelhos compartilhados sem controle de acesso.
Arquivos recebidos para uma finalidade específica precisam seguir a política de retenção aplicável àquele processo, e não simplesmente permanecer no aplicativo porque o armazenamento está disponível.
Dados de empregados no WhatsApp e o papel do RH
O RH costuma tratar dados pessoais para admissão, folha de pagamento, benefícios, controle de jornada, saúde e segurança do trabalho, afastamentos e cumprimento de obrigações legais.
Parte dessas rotinas pode envolver informações sensíveis ou protegidas por deveres adicionais de confidencialidade.
Por isso, grupos informais ou conversas acessíveis a pessoas sem atribuição funcional não são ambiente adequado para circulação irrestrita de atestados, laudos ou informações de saúde.
A empresa deve definir quais assuntos podem ser tratados pelo aplicativo e quais precisam migrar para sistemas, e-mails corporativos ou repositórios com controle de acesso.
Essa lógica complementa a própria organização documental trabalhista.
Para aprofundar esse ponto, veja o conteúdo sobre documentos que ajudam a reduzir riscos trabalhistas na empresa.
Quais medidas de segurança são recomendáveis?
O art. 46 da LGPD determina a adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
Para pequenas empresas, isso não significa necessariamente implantar uma estrutura tecnológica complexa.
Significa adotar controles proporcionais aos dados tratados e ao risco da operação.
- Utilizar autenticação em duas etapas nas contas corporativas.
- Controlar quais pessoas possuem acesso aos aparelhos e sessões conectadas.
- Evitar compartilhamento de senhas e credenciais.
- Bloquear aparelhos com senha ou biometria.
- Manter sistemas e aplicativos atualizados.
- Definir procedimento de desligamento para remoção de acessos e transferência de informações.
- Orientar empregados sobre phishing, links suspeitos e engenharia social.
- Evitar armazenamento desnecessário de documentos em aparelhos pessoais.
- Manter registro mínimo de incidentes e providências adotadas.
A ANPD mantém guia e checklist específicos de segurança da informação voltados a agentes de tratamento de pequeno porte.
O que fazer se uma mensagem ou documento for enviado para a pessoa errada?
O envio equivocado de dados pode caracterizar incidente de segurança, dependendo das informações envolvidas e das circunstâncias concretas.
A primeira providência é conter a exposição, identificar o que foi enviado, para quem, quantos titulares foram afetados e se o conteúdo pode ter sido copiado ou compartilhado.
A empresa deve documentar o ocorrido e avaliar o risco decorrente do incidente.
Nos casos que possam ocasionar risco ou dano relevante aos titulares, a LGPD e o Regulamento de Comunicação de Incidente de Segurança da ANPD estabelecem deveres específicos de comunicação.
A Resolução CD/ANPD nº 15/2024 exige, ainda, manutenção de registro dos incidentes de segurança com dados pessoais pelo período previsto no regulamento.
Pequena empresa está dispensada da LGPD?
Não.
A Resolução CD/ANPD nº 2/2022 prevê tratamento jurídico diferenciado para agentes de tratamento de pequeno porte em determinadas obrigações.
Essa flexibilização não elimina os princípios da LGPD nem o dever de adotar medidas de segurança e proteção dos direitos dos titulares.
Para PMEs de São Miguel do Iguaçu, Foz do Iguaçu e demais municípios do Oeste do Paraná, a adequação pode começar por processos simples, desde que consistentes e documentados.
Checklist para o uso empresarial do WhatsApp
- Mapeie quais setores utilizam WhatsApp para atividades da empresa.
- Identifique quais dados pessoais circulam em cada fluxo.
- Defina a finalidade e a hipótese legal correspondente.
- Separe, quando possível, contas e aparelhos corporativos dos pessoais.
- Revise grupos e remova participantes que não precisam mais de acesso.
- Restrinja o envio de dados sensíveis e documentos completos ao mínimo necessário.
- Crie procedimento de desligamento de empregados e revogação de acessos.
- Ative controles de segurança disponíveis no aparelho e na conta.
- Defina como agir em caso de perda de aparelho, invasão de conta ou envio incorreto.
- Documente regras internas e treine a equipe.
Conclusão
O WhatsApp pode continuar sendo uma ferramenta útil para atendimento e operação empresarial.
O uso seguro, porém, depende de governança sobre dados, acessos, finalidade, armazenamento e resposta a incidentes.
A empresa que trata o aplicativo como parte de seu ambiente de informação, e não apenas como uma ferramenta informal de conversa, reduz exposição desnecessária e melhora sua capacidade de demonstrar conformidade.
A providência prática é revisar como clientes, empregados e fornecedores são atendidos pelo aplicativo e corrigir os pontos em que dados pessoais circulam sem finalidade clara, controle de acesso ou regra de retenção.
Fontes oficiais
- Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais, Presidência da República.
- Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, ANPD.
- Guia Orientativo sobre Legítimo Interesse, ANPD.
- Resolução CD/ANPD nº 2/2022, aplicação da LGPD para agentes de tratamento de pequeno porte.
- Regulamento de Comunicação de Incidente de Segurança, Resolução CD/ANPD nº 15/2024.
Conteúdo atualizado em 10 de setembro de 2026.
Autor: Anderson Fernandes.
Conteúdo de caráter informativo, destinado à compreensão de riscos jurídicos empresariais e medidas preventivas.
