Quando atende clientes no WhatsApp, cada conversa guarda dados pessoais: nome, número de telemóvel, morada de entrega, histórico de marcações e, nalguns casos, informação de saúde. Quem usa a aplicação para fins profissionais é responsável pelo tratamento desses dados e responde perante a CNPD. O consentimento tem de ser dado por um ato afirmativo claro: silêncio, caixas pré-marcadas ou inatividade não valem como consentimento, segundo o RGPD. A conformidade cabe numa rotina de quatro passos: saber o que guarda, pedir consentimento válido, conservar o mínimo durante o mínimo de tempo e manter o registo de tratamento atualizado.
O que conta como dado pessoal
Um número de telemóvel sozinho já é um dado pessoal, porque identifica uma pessoa concreta. A conversa acrescenta o que essa pessoa escreveu, quando escreveu e o que a sua equipa respondeu. Se exporta esses contactos para uma folha de cálculo, um CRM ou uma ferramenta de automação — como na API oficial do WhatsApp em Portugal — o tratamento continua a ser decidido por si; a ferramenta é apenas um subcontratante que executa instruções. O quadro seguinte resume o que normalmente aparece numa conversa de atendimento:
| Dado na conversa | Exemplo típico | Cuidado principal |
|---|---|---|
| Número e nome | Contacto guardado após um pedido de orçamento | Informar o cliente no primeiro contacto |
| Marcações e histórico | Data, hora e serviço pedido | Definir prazo de guarda |
| Morada e pagamentos | Morada de entrega, recibo MB WAY | Restringir acesso e eliminar cedo |
| Saúde | Sintomas, exames, relatórios | Categoria especial: regime mais exigente |
Em negócios com reservas, como os restaurantes que recebem reservas no WhatsApp, a lista de marcações do dia é um ficheiro de clientes: não deve circular em grupos pessoais nem ficar no telemóvel de quem já saiu da equipa.
Consentimento: o que a lei exige
Atender um cliente que lhe escreveu não exige consentimento: existe uma relação contratual em curso. O problema começa quando quer usar o número para outra coisa — campanhas, novidades, promoções. Aí precisa de uma base legal, e o consentimento válido é um “sim” ativo, específico e informado: o cliente tem de saber quem trata os dados, com que fim, e poder recusar ou retirar o acordo sem prejuízo no atendimento. Guarde a prova desse “sim” com data e texto. Distinga sempre a política da plataforma das obrigações legais: as regras da Meta sobre mensagens em massa e risco de bloqueio não substituem o RGPD, e cumprir o RGPD não o protege de o número ser bloqueado por envios considerados spam.
Minimização e prazo de guarda
Os dados conservados têm de ser adequados, relevantes e limitados ao que é necessário para o fim que justificou a recolha, e o tempo de guarda deve ser reduzido ao mínimo. Na prática: escreva um prazo para cada tipo de informação e aplique-o de forma consistente. Exemplo hipotético, não um caso medido: uma clínica pode decidir guardar o histórico de marcações até dois anos após a última visita, para continuidade do atendimento, e eliminar a conversa detalhada antes disso. A decisão do prazo é sua, mas tem de estar escrita, justificada e ser aplicada — “ficou no telemóvel” não é política de conservação.
Dados de saúde exigem mais cuidado
Se trabalha em clínica, farmácia ou saúde, os dados relativos à saúde trocados por mensagem — sintomas, resultados, relatórios — mudam o enquadramento: o RGPD trata-os como categoria especial, com uma proibição geral de tratamento salvo exceções previstas na lei, como o consentimento explícito. Duas consequências práticas: peça o mínimo possível por mensagem (prefira “chegou? ligue-nos” a “envie o exame”) e nunca use esses dados para comunicações promocionais, mesmo com cliente já conhecido. O dever de sigilo profissional acumula-se com o RGPD, não o substitui.
Registo de tratamento para a CNPD
O registo das atividades de tratamento imposto pelo artigo 30.º do RGPD aplica-se também a organizações com menos de 250 trabalhadores, e a CNPD considera absolutamente excecionais as circunstâncias que permitem dispensar o registo. Os registos são feitos por escrito e facultados à CNPD a seu pedido; a própria CNPD disponibiliza um modelo pronto a usar. Para começar sem advogado: uma linha por tipo de tratamento (atendimento, marcações, campanhas), com a finalidade, os dados, o prazo e quem tem acesso. A CNPD divulga um guia de proteção de dados para pequenas e médias empresas, com exemplos e checklists, disponível em português; consulte o guia para PMEs antes de contratar consultoria.
Checklist de conformidade em 7 pontos
- Liste tudo o que guarda das conversas: contactos, marcações, moradas, pagamentos, saúde.
- Escreva a informação que dá ao cliente no primeiro contacto: quem é, para que usa os dados, como pedir a eliminação.
- Separe atendimento de marketing: consentimento para um não vale para o outro.
- Defina prazos de guarda por tipo de dado e elimine em prazo razoável o que expirou.
- Restrinja o acesso da equipa ao número profissional e reveja quem tem o telemóvel quando alguém sai.
- Preencha o registo de tratamento com o modelo da CNPD, mesmo com uma equipa pequena.
- Reveja semestralmente: dados a mais, prazos a passar e contactos sem base legal são os erros mais comuns.
