Sim: o RGPD aplica-se a todas as conversas em que a sua empresa atende um cliente no WhatsApp, e quem responde pelo tratamento é a empresa, não a Meta. As regras não são teóricas: as autoridades europeias já produziram decisões concretas — uma coima de centenas de milhões à própria WhatsApp Ireland e fichas práticas da CNIL que definem quando é preciso consentimento para enviar mensagens. Este guia resume o que essas decisões mudam, na prática, para quem atende clientes em Portugal.
O que as autoridades já decidiram
A WhatsApp Ireland tem sede em Dublin, pelo que a Data Protection Commission (DPC) irlandesa é a autoridade de controlo principal do serviço na União Europeia, com decisões que atravessam o mecanismo de coerência do Conselho Europeu de Proteção de Dados e valem para todos os Estados-membros. A sanção mais conhecida foi das maiores já aplicadas ao abrigo do RGPD: a autoridade irlandesa multou a WhatsApp Ireland em 225 milhões de euros por incumprimento das obrigações de transparência — informações claras sobre que dados eram tratados, com que finalidades e partilhados com que empresas do grupo. Em janeiro de 2023, uma segunda decisão da DPC acrescentou uma coima de 5,5 milhões de euros e ordenou à empresa que regularizasse o tratamento no prazo de seis meses.
Para quem atende, a leitura útil não é o valor da coima, mas o princípio por trás dela: a transparência sobre o tratamento é uma obrigação autónoma. Se a sua empresa guarda números, nomes e moradas enviadas nas conversas, tem de saber dizer ao cliente, de forma clara, o que guarda, porque guarda e durante quanto tempo — o mesmo padrão que a DPC exigiu à plataforma.
Consentimento: a regra base da CNIL
A CNIL, autoridade francesa, publica as fichas práticas mais completas sobre comunicações eletrónicas a clientes e prospects, e elas refletem o RGPD e as regras europeias de comunicações eletrónicas aplicáveis também em Portugal. A regra base é simples de enunciar e exigente de cumprir: o envio de mensagens comerciais a particulares exige consentimento prévio, que tem de ser livre, específico, esclarecido e inequívoco. Isso significa uma ação positiva do cliente — uma caixa de opção dedicada, nunca marcada de origem; a aceitação de condições gerais não serve. Existe uma exceção estreita: cliente já existente, para produtos ou serviços semelhantes aos já comprados, com direito de oposição simples em cada mensagem.
Nem toda a mensagem de trabalho é prospeção. As mensagens transacionais — confirmar uma marcação, enviar um recibo — baseiam-se na execução do contrato. As relacionais — um lembrete de consulta ou um aviso de encerramento da empresa no WhatsApp — baseiam-se no interesse legítimo, desde que não misturem conteúdo promocional significativo. A fronteira decide-se mensagem a mensagem: juntar um desconto a um lembrete transforma o lembrete em prospeção e ativa o dever de consentimento.
Do lado da oposição, cada mensagem tem de permitir identificar quem a envia e recusar novas solicitações por um meio simples. A CNIL recomenda ainda manter uma lista de oposição interna — a «liste repoussoir» — para que um pedido de paragem seja respeitado em todas as frentes da empresa. Automatizar o atendimento pela API oficial do WhatsApp não muda nada disto: o bot envia mensagens em nome da empresa, e a base legal de cada uma continua a ser responsabilidade de quem atende.
Agenda de contactos: o risco escondido
Instalar o WhatsApp Business no telemóvel pessoal de um colaborador e sincronizar a agenda envia para a plataforma os números de todos os contactos guardados — incluindo pessoas que nunca aderiram ao serviço. Foi exatamente este ponto que a investigação irlandesa detalhou: o número de telefone de quem não utiliza o serviço continua a ser dado pessoal e foi tratado pela plataforma na qualidade de responsável de tratamento. Para uma clínica ou um gabinete, isto significa que a agenda pessoal de alguém da equipa não é matéria-prima legítima para listas de envio: os contactos têm de ter sido recolhidos pela empresa, com informação e base legal próprias, e mantidos num número de telefone da empresa.
Checklist de conformidade em Portugal
Em Portugal, a fiscalização cabe à CNPD, que aplica o mesmo regulamento e a Lei n.º 58/2019; um utente pode ainda reclamar pelo livro de reclamações eletrónico. A tabela resume a base legal típica por tipo de mensagem e o procedimento seguinte transforma o princípio em rotina de equipa.
| Tipo de mensagem | Exemplo | Base legal típica | Consentimento prévio? |
|---|---|---|---|
| Transacional | Confirmação de marcação, recibo de pagamento | Execução do contrato | Não |
| Relacional | Lembrete de consulta, aviso de encerramento | Interesse legítimo | Não, mas com oposição fácil |
| Prospeção a particulares | Oferta de um novo serviço | Consentimento | Sim |
| Prospeção a empresas | Proposta a um gabinete parceiro | Interesse legítimo, se ligado à profissão | Não, mas com oposição fácil |
- Inventariar todos os tipos de mensagem que a empresa envia no WhatsApp, incluindo as enviadas por bot.
- Atribuir a cada tipo a base legal — contrato, interesse legítimo ou consentimento — e registar a decisão.
- Recolher o consentimento por ação positiva, com caixa de opção nunca marcada de origem, e guardar a prova.
- Criar e manter a lista de oposição, verificada antes de cada campanha de envio.
- Usar apenas contactos recolhidos pela empresa e um número de WhatsApp associado ao negócio, nunca agendas pessoais.
- Definir prazos de conservação dos dados das conversas e eliminá-los quando a finalidade cessa.
