LGPD e envio de mensagens: o que sua empresa precisa para disparar SMS e WhatsApp
Consentimento, legítimo interesse e execução de contrato: qual base legal cobre cada tipo de mensagem.
Neste artigo
Resumo: a LGPD não proíbe enviar SMS ou WhatsApp para clientes, mas exige uma base legal para cada finalidade. Mensagens de serviço costumam se apoiar na execução de contrato; marketing pede consentimento ou legítimo interesse bem documentado. Em todos os casos, a empresa precisa ser transparente, registrar a origem dos dados e atender pedidos de saída.
Desde que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) entrou em vigor, uma dúvida se repete em times de marketing, CRM e cobrança: "posso mandar mensagem para esse contato?". A resposta depende menos do canal e mais de para que você está enviando e como obteve o número.
Este artigo organiza os pontos práticos da LGPD no envio de mensagens. Ele não substitui a orientação do jurídico ou do encarregado de dados (DPO) da sua empresa, mas ajuda a fazer as perguntas certas.
Telefone é dado pessoal
O número de celular identifica uma pessoa, portanto é dado pessoal. Enviar uma mensagem, guardar o número em uma lista ou cruzar com o histórico de compras são formas de tratamento de dados, e todo tratamento precisa de uma das bases legais previstas no artigo 7º da lei.
As bases legais que mais aparecem na comunicação com clientes
| Base legal | Quando se aplica | Exemplos |
|---|---|---|
| Execução de contrato | A mensagem é necessária para cumprir algo que o cliente contratou | Confirmação de pedido, status de entrega, lembrete de consulta agendada, aviso de vencimento |
| Cumprimento de obrigação legal ou regulatória | Uma norma obriga a empresa a comunicar | Avisos exigidos por regulação setorial |
| Consentimento | A pessoa autorizou de forma livre, informada e inequívoca, para uma finalidade específica | Newsletter, ofertas, campanhas para leads |
| Legítimo interesse | Há um interesse legítimo da empresa, que não se sobrepõe aos direitos e expectativas do titular | Oferta relacionada ao que o cliente já compra, com possibilidade fácil de recusa |
| Proteção do crédito | Tratamento ligado à concessão e cobrança de crédito, dentro da legislação | Comunicações de cobrança |
Atenção: o legítimo interesse não é um "coringa". A empresa precisa demonstrar que a comunicação era esperada pelo titular, que ele pode se opor facilmente e que o interesse foi avaliado. A ANPD publicou orientações específicas sobre essa base legal.
Como coletar consentimento do jeito certo
Quando a base for o consentimento, ele precisa ser:
- Livre: não pode ser condição para comprar algo que não depende dele.
- Informado: a pessoa precisa saber quem vai enviar, por qual canal e com que finalidade.
- Inequívoco: uma ação clara, como marcar uma caixa que não vem pré-marcada.
- Específico: autorizar "receber o status do pedido" não é autorizar "receber ofertas".
Guarde o registro: data e hora, canal de coleta (site, loja, atendimento), texto exibido e identificação do contato. Esse histórico é a prova de que a comunicação tinha base legal.
Opt-out: o direito de parar de receber
A LGPD garante ao titular o direito de revogar o consentimento e de se opor ao tratamento. Na prática, toda mensagem de marketing deveria oferecer um caminho simples de saída, e a empresa precisa cumprir o pedido em todos os sistemas que disparam mensagens.
- No SMS: "Responda SAIR para não receber mais".
- No WhatsApp: um botão de resposta rápida "Não quero receber ofertas".
- Centralize a lista de bloqueio para que um descadastro no WhatsApp também valha para o SMS de marketing, se essa for a vontade expressa do cliente.
Além da lei, as próprias plataformas exigem isso. A Meta, por exemplo, pede opt-in para mensagens iniciadas pela empresa, como explicamos no guia de disparo em massa no WhatsApp.
Listas compradas e bases antigas
Comprar listas de telefones para campanhas é um dos maiores riscos, porque a empresa não tem como demonstrar como aqueles dados foram obtidos nem se as pessoas esperavam o contato. Além do risco jurídico, a taxa de denúncias derruba a reputação do número e do remetente.
Bases antigas de clientes também merecem cuidado: se o último contato foi há anos, a expectativa de receber mensagens é baixa. Uma campanha de reengajamento, com opção clara de saída, é mais segura do que retomar os disparos de uma vez.
Dados sensíveis nas mensagens
Alguns setores lidam com dados sensíveis, como informações de saúde. A LGPD dá proteção reforçada a eles. Uma boa prática simples: a mensagem não deve revelar mais do que o necessário. "Sua consulta está confirmada para amanhã às 14h" é suficiente; não é preciso citar especialidade, exame ou diagnóstico, já que o celular pode ser visto por outras pessoas. O tema aparece em detalhe no artigo sobre lembretes de consulta.
O que a lei prevê em caso de infração
As sanções da LGPD, aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD), vão de advertência a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados envolvidos. Na esfera do consumidor, o Procon e o Judiciário também podem ser acionados.
Checklist rápido de conformidade
- Cada tipo de mensagem tem uma base legal definida e documentada.
- Marketing só vai para quem consentiu ou para quem está coberto por legítimo interesse avaliado.
- A origem de cada contato está registrada.
- Toda mensagem de marketing tem opção de saída, e os pedidos são cumpridos em todos os sistemas.
- As mensagens não expõem dados sensíveis.
- A política de privacidade explica o uso de SMS e WhatsApp.
- Os fornecedores de envio têm contrato com cláusulas de proteção de dados.
Próximo passo: faça um inventário simples, com uma linha por tipo de mensagem, a base legal usada e onde fica a prova. Leve para o seu DPO validar.
Perguntas frequentes
Preciso de consentimento para mandar SMS para meus clientes?
Nem sempre. Mensagens necessárias para cumprir um contrato, como confirmação de pedido ou aviso de agendamento, podem se apoiar na execução do contrato. Para marketing, a empresa precisa de consentimento ou de legítimo interesse bem avaliado e documentado.
Posso usar legítimo interesse para enviar ofertas?
Pode, em situações em que o cliente razoavelmente espera a comunicação, como ofertas ligadas ao que ele já compra, desde que a empresa documente a avaliação e ofereça uma forma fácil de recusar.
Qual é a multa da LGPD?
A multa simples pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. A ANPD também pode aplicar advertência, publicização da infração e bloqueio ou eliminação de dados.
Posso comprar uma lista de contatos para campanha?
É uma prática de alto risco: a empresa não consegue demonstrar a origem legítima dos dados nem a expectativa das pessoas. Além do risco legal, costuma gerar denúncias e prejudicar a reputação do remetente.
Fontes e leituras
Quer aplicar isso na sua operação?
Converse com um especialista sobre volume, canais e integrações. A conversa é sem compromisso e você sai com um diagnóstico.
Continue lendo
A política de IA do WhatsApp em 2026: o que muda para chatbots de empresas
A proibição mira assistentes de uso geral. Bots de atendimento da própria empresa continuam liberados.
Disparo em massa no WhatsApp: como enviar sem ter o número bloqueado
O que separa uma campanha que entrega de uma que derruba o número, segundo as regras atuais da Meta.
Quanto custa a API oficial do WhatsApp: a cobrança por mensagem explicada
Tarifa da Meta, taxa da plataforma e as mensagens que saem de graça, em linguagem de planilha.