Posso mandar promoção no WhatsApp para meus clientes? O que a LGPD e a Meta permitem em 2026

Pode — para quem pediu para receber. A LGPD exige uma base legal para cada tipo de mensagem (consentimento para promoção, execução de contrato para o que é transacional), e a política da Meta exige, além disso, que a pessoa tenha te dado o número e autorizado o contato antes do primeiro envio. Na prática, quem pune primeiro não é a ANPD: é a própria Meta, limitando ou banindo o seu número.

Essa é uma das dúvidas mais caras que existem em pequeno negócio, porque a resposta errada custa o canal inteiro. Um número banido não é uma multa que você paga e segue: é a sua base de conversas, o seu histórico de clientes e o telefone que está impresso no seu material publicitário — tudo de uma vez. E, diferente de uma conta de anúncios, não existe "criar outro e continuar de onde parou".

Este guia separa o que a lei diz do que a plataforma cobra, mostra qual base legal cabe em cada tipo de mensagem e o que precisa estar registrado para você conseguir provar isso depois. Não é parecer jurídico — para o caso concreto da sua empresa, principalmente se você trata dado de saúde, de criança ou de adolescente, consulte um advogado.

São duas regras ao mesmo tempo — e a segunda te pega primeiro

Quem usa WhatsApp para vender está sujeito a dois conjuntos de regras que se parecem, mas não são a mesma coisa:

• A LGPD (Lei nº 13.709/2018) é lei. Diz que todo tratamento de dado pessoal — e o número de celular do seu cliente é dado pessoal — precisa se apoiar em uma das hipóteses do art. 7º. Quem fiscaliza é a ANPD, e o processo é administrativo, com defesa e prazos.
• A Política de Mensagens do WhatsApp Business é contrato. Você aceitou ao usar o produto. Diz, na letra: "você só pode contatar pessoas no WhatsApp se: (a) elas tiverem fornecido o número de celular delas; e (b) você tiver recebido permissão de opt-in do destinatário confirmando que ele deseja receber mensagens ou chamadas suas".

A diferença que importa para a sua operação é a velocidade. A ANPD abre procedimento, notifica, dá prazo de defesa. A Meta não faz nada disso: ela mede o comportamento do seu número — quantas pessoas bloqueiam, quantas denunciam, quantas marcam como spam — e a própria política avisa que "nossos sistemas vão limitar a quantidade de mensagens que uma empresa pode enviar" quando o nível de qualidade fica baixo por tempo prolongado. Em outro trecho, ela é ainda mais direta sobre quem "envia mensagens em escala de maneira não autorizada": a plataforma se reserva o direito de limitar ou remover o acesso.

Ou seja: a discussão jurídica é real, mas o risco imediato é operacional. A campanha de disparo que parece ter funcionado na terça pode ter derrubado o número na quinta.

Qual base legal cabe em cada tipo de mensagem

Este é o ponto que quase todo mundo erra: a base legal não é da empresa, é de cada finalidade. O mesmo contato pode estar perfeitamente amparado para receber a confirmação do pedido e completamente desamparado para receber a promoção de fim de semana. A tabela abaixo é o mapa prático.

Enquadramento a partir do texto da Lei nº 13.709/2018 e do Guia Orientativo da ANPD sobre legítimo interesse (nov/2024). Casos concretos podem exigir análise específica.

Duas leituras dessa tabela merecem atenção. A primeira: legítimo interesse não é curinga. O guia da ANPD é explícito ao dizer que essa hipótese "tende a ser mais apropriada em situações nas quais há uma relação prévia e direta do controlador com os titulares". Cliente que comprou semana passada é relação prévia e direta. Alguém que nunca ouviu falar de você, não. E o art. 37 da LGPD exige registro das operações de tratamento, especialmente quando baseadas em legítimo interesse — o teste de balanceamento não é opcional, e a ANPD publica um modelo dele.

A segunda: mensagem transacional dispensa consentimento pela LGPD, mas não dispensa a permissão da Meta. Você pode ter todo o direito legal de avisar que o pedido saiu para entrega e ainda assim estar violando o contrato da plataforma se nunca pediu autorização para iniciar conversa com aquele número.

O teste rápido antes de apertar "enviar"

Três portas. Se travar em qualquer uma, a mensagem não sai.

O que faz um opt-in valer (e o que o anula)

A LGPD é curta e desconfortável nesse ponto: o art. 8º, § 2º diz que o ônus da prova de que o consentimento foi obtido corretamente é do controlador — ou seja, seu. Não basta o cliente ter dito "pode mandar". Você precisa conseguir mostrar quando, como e para quê ele disse isso.

E o § 4º do mesmo artigo mata a prática mais comum do mercado: "o consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas". Aquele checkbox de "aceito receber comunicações" no rodapé do formulário é, pela letra da lei, nulo. O padrão de manifestação que a ANPD descreve no seu guia sobre cookies vale como referência de rigor: o consentimento precisa ser "inequívoco, o que demanda a obtenção de uma manifestação de vontade clara e positiva do titular", e a autoridade diz não ser recomendável "a utilização de banners de cookies com opções de autorização pré-selecionadas ou a adoção de mecanismos de consentimento tácito".

Traduzindo para o balcão da sua loja e para o formulário do seu site:

• Caixa pré-marcada não é opt-in. A pessoa tem que marcar.
• "Aceito os termos" não é opt-in de marketing. São finalidades diferentes, e cada uma precisa da sua.
• Preencher o formulário não é opt-in de marketing. Deixar o telefone para receber um orçamento autoriza você a mandar o orçamento, não a promoção de Natal.
• Cliente antigo não é opt-in. Ter comprado em 2023 não é permissão para entrar na lista de transmissão de 2026.
• Revogar tem que ser fácil e de graça. O art. 8º, § 5º fala em "procedimento gratuito e facilitado". Se sair da sua lista exige ligar para a loja em horário comercial, não é facilitado.

Um opt-in que se sustenta tem mais ou menos esta cara, e não precisa ser mais longo do que isso:

Quero receber ofertas e novidades da [Nome da Empresa] pelo WhatsApp. Posso cancelar quando quiser respondendo SAIR.

E o que precisa ficar guardado, por contato: data e hora, o número, a origem (qual formulário, qual página, qual atendente), o texto exatamente como ele foi exibido e a versão da política de privacidade vigente naquele dia. Isso não é burocracia — é literalmente a prova que o art. 8º, § 2º manda você ter. Um CRM decente guarda isso sozinho; planilha também serve, desde que alguém a alimente de verdade.

Por que a lista comprada é o erro mais caro de todos

Vale isolar esse caso, porque ele continua sendo vendido como atalho de crescimento.

Uma lista comprada, "enriquecida" ou raspada de grupos não tem base legal por eliminação: não há consentimento (você não coletou nada), não há contrato (a pessoa nunca foi sua cliente) e não há legítimo interesse (não existe relação prévia nem expectativa razoável de ser contatada por você). Não sobra hipótese no art. 7º.

Mas o problema prático chega antes do jurídico. Repare no que a política da Meta exige: a pessoa precisa ter fornecido o número de celular dela. A lista comprada falha já nesse primeiro requisito, antes mesmo da questão do opt-in. E como o disparo para base fria gera bloqueio e denúncia numa proporção muito maior que o normal, ele ativa exatamente o sinal que a plataforma monitora para reduzir o limite de envio e, na sequência, banir a conta.

O cálculo honesto é esse: você troca o ativo mais difícil de reconstruir do seu negócio — o número em que os clientes já sabem te achar — por uma taxa de resposta que, em base fria, costuma ser irrisória. Se a sua base atual tem origem duvidosa, o caminho não é continuar disparando torcendo para não ser pego: é parar, e rodar uma campanha de re-permissão pedindo opt-in explícito a quem você tem alguma relação real.

A pegadinha do anúncio de clique para WhatsApp

Vale um parágrafo à parte porque essa confusão é frequente e custa caro.

Quando alguém clica no seu anúncio e te manda mensagem, essa pessoa iniciou a conversa. Isso abre a janela de atendimento de 24 horas em que você responde livremente, sem template aprovado — a política da Meta é clara: "você pode responder à mensagem de um usuário sem usar um Template de Mensagem desde que seja dentro de 24 horas da última mensagem do usuário".

O que não acontece automaticamente: essa pessoa não virou assinante da sua lista de promoções. Ela pediu um orçamento. Iniciar a conversa resolve a janela de 24 horas; não é o consentimento específico de marketing que o art. 8º, § 4º exige para você mandar oferta daqui a três semanas. Se você quer esse direito, peça — dentro daquela mesma conversa, que é o melhor momento que vai existir. Sobre por que esse tipo de lead exige um cuidado extra de qualificação, vale a leitura de por que o lead mais barato de clique para WhatsApp costuma ser o que menos vende.

Vale lembrar também que, desde 1º de outubro de 2026, a lógica de cobrança do canal muda e passa a considerar as mensagens que você envia — o que torna disparo mal-direcionado não só arriscado, mas caro. Tratamos disso em quanto a nova cobrança do WhatsApp custa para a sua empresa.

Se a sua empresa é pequena, a régua é mais leve — mas não é isenta

Aqui mora um mal-entendido caro no outro sentido: muito dono de negócio pequeno acha que LGPD é assunto de empresa grande e ignora tudo. Errado. Mas também é errado achar que a régua é a mesma da Itaú.

A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 criou um regime próprio para "agentes de tratamento de pequeno porte" — microempresas, empresas de pequeno porte, startups e MEIs, entre outros. O que ela flexibiliza:

• Encarregado (DPO) não é obrigatório (art. 11). Mas você continua obrigado a manter um canal de comunicação com o titular dos dados. E, se indicar um encarregado mesmo sem precisar, isso conta a seu favor como política de boas práticas na hora de dosar uma eventual sanção (art. 52, § 1º, IX da LGPD).
• Registro das operações de tratamento pode ser simplificado (art. 9º). O registro do art. 37 continua existindo — só não precisa ter cara de documento corporativo.
• Prazo em dobro para o cumprimento de determinadas obrigações previstas na resolução.

O que ela não flexibiliza: base legal, opt-out, direitos do titular, dever de segurança. E há uma letra miúda relevante — a flexibilização não é automática. A própria resolução prevê que a ANPD pode determinar ao agente de pequeno porte o cumprimento das obrigações dispensadas, considerando a natureza e o volume das operações e o risco aos titulares. Uma clínica pequena que trata dado de saúde não está no mesmo patamar de risco que uma loja de roupas do mesmo porte.

Quanto custa errar, na prática

O número que circula em post de LinkedIn é "multa de até R$ 50 milhões". Ele é real, está no art. 52, e é praticamente irrelevante para a sua empresa. Vale entender a escada inteira:

Mais importante que a lista: o § 1º do art. 52 diz que as sanções são aplicadas "de forma gradativa" e lista o que a autoridade leva em conta — entre outros, a boa-fé do infrator, a cooperação, "a adoção de política de boas práticas e governança" e "a pronta adoção de medidas corretivas". Na prática isso significa que ter o básico documentado — política de privacidade publicada, registro de opt-in, canal de contato funcionando — não é só prevenção: é atenuante escrito na lei.

E, de novo: para a maioria dos negócios pequenos, a punição que chega primeiro e dói mais não vem da ANPD. Vem da Meta, sem processo administrativo, sem prazo de defesa e sem aviso.

O mesmo raciocínio vale para o rastreamento do seu site

Se você chegou até aqui concordando com a lógica do opt-in no WhatsApp, ela se aplica igual ao Pixel, ao GA4 e ao banner de cookies — e esse é um ponto que quase ninguém conecta.

No Guia Orientativo sobre cookies, a ANPD afirma que "o legítimo interesse dificilmente será a hipótese legal mais apropriada nas hipóteses em que os dados coletados por meio de cookies são utilizados para fins de publicidade", especialmente quando envolve cookies de terceiros e formação de perfis comportamentais — e conclui que o consentimento tende a ser a base mais adequada nesse caso. A autoridade também considera que oferecer ao titular uma opção única, sem possibilidade de recusar cookies não necessários, "contraria a exigência de que o consentimento seja livre".

Ou seja: banner com um botão "aceitar" só, ou com "recusar" escondido em um segundo nível, é o mesmo problema do checkbox pré-marcado do formulário. Vale revisar isso junto com a sua configuração de rastreamento — o assunto conversa diretamente com por que Pixel, API de Conversões e GA4 nunca batem os números, porque parte da perda de sinal que todo anunciante sente vem exatamente daí.

Erros comuns

• Tratar a base inteira como uma coisa só. "Meus clientes autorizaram" quase nunca é verdade para todos, e nunca é verdade para todas as finalidades.
• Usar app paralelo de disparo em massa. Além de violar a política da plataforma, é o caminho mais rápido conhecido para o banimento.
• Opt-out manual. Se sair da lista depende de um atendente lembrar de anotar, uma hora ele não lembra — e o cliente que pediu para sair e recebeu de novo é justamente quem denuncia.
• Opt-out que só vale para um fluxo. A pessoa saiu da lista de promoções e continua recebendo o "aproveite o cupom": para a plataforma e para o titular, é a mesma empresa insistindo.
• Disparar de madrugada e no domingo. Não é só falta de educação: é o que gera bloqueio, e bloqueio é o que derruba o número.
• Achar que ser MEI isenta. A Resolução 2/2022 alivia obrigações estruturais, não a necessidade de base legal.
• Não ter política de privacidade publicada. É o item mais barato da lista e o primeiro que qualquer fiscalização vai procurar.

O checklist mínimo

Se você fizer só isto, já sai da faixa de risco alto:

1. Política de privacidade publicada no site, mencionando o WhatsApp como canal.
2. Canal de contato para assuntos de privacidade, visível e que alguém realmente leia.
3. Base legal definida por tipo de mensagem — use a tabela da seção 2 como ponto de partida.
4. Opt-in ativo, específico para promoção, com registro de data, número, origem e texto exibido.
5. Opt-out em toda mensagem ativa, processado automaticamente e válido para todos os fluxos.
6. Uso da API oficial (direta ou via provedor), com templates aprovados, em vez de aplicativo paralelo.
7. Nenhuma lista comprada, herdada ou de origem desconhecida em uso.
8. Prazo e responsável definidos para atender pedidos de acesso, correção e exclusão (art. 18).
9. Registro das operações de tratamento — simplificado, se você for de pequeno porte.
10. Banner de cookies com recusa no mesmo nível do aceite.

Perguntas frequentes

Posso mandar promoção para quem já é meu cliente?
Depende do que ele autorizou. Ter comprado cria base para mensagens ligadas àquela compra (confirmação, entrega, cobrança) e, com teste de balanceamento documentado, possivelmente para relacionamento pós-venda. Promoção é finalidade nova e pede consentimento específico. Se você nunca pediu, peça — a campanha de re-permissão para uma base de clientes reais costuma ter adesão alta.

Meu cliente me chamou primeiro. Preciso de opt-in?
Para responder, não — ele iniciou o contato e a janela de 24 horas está aberta. Para voltar a falar com ele depois, por iniciativa sua e com conteúdo promocional, sim.

Lista de transmissão do WhatsApp comum resolve?
Não muda nada do ponto de vista legal — continua sendo mensagem ativa que exige base legal — e do ponto de vista prático é pior, porque a lista de transmissão só entrega para quem tem o seu número salvo, e o app comum não tem os controles de opt-out, template e auditoria que a versão oficial oferece.

Se eu comprar uma lista mas mandar mensagem "educada", tem problema?
Tem. O problema não é o tom da mensagem, é a ausência de base legal e a ausência do requisito mais básico da política da Meta: a pessoa não te deu o número.

Preciso contratar um DPO?
Se a sua empresa se enquadra como agente de tratamento de pequeno porte pela Resolução ANPD 2/2022, não é obrigatório — mas você precisa manter um canal de comunicação com o titular, e indicar um encarregado conta como boa prática na dosimetria de eventual sanção.

Isso vale para SMS e e-mail também?
A parte da LGPD, sim, integralmente: base legal por finalidade, opt-in válido, opt-out fácil, registro. O que muda é a camada de contrato — cada canal tem a sua política e o seu mecanismo de punição. No WhatsApp essa segunda camada é bem mais severa que no e-mail.

Conclusão

A pergunta que abre este artigo tem uma resposta curta e uma longa. A curta: pode mandar para quem pediu para receber. A longa é a tabela da seção 2, porque o que decide não é a sua empresa nem o seu cliente — é a finalidade de cada mensagem, uma por uma.

O que costuma destravar isso na prática não é um projeto de compliance de seis meses. É uma tarde separando a base por origem, um opt-in específico no formulário e no checkout, um opt-out que funciona sozinho e um lugar onde essas informações ficam guardadas. Feito isso, você para de operar no escuro no canal que mais vende no Brasil — e ganha uma base que continua sendo sua no mês que vem.

Se você usa WhatsApp para vender e não sabe dizer, agora, de onde vieram os números que estão na sua lista de disparo, esse é o problema a resolver antes de aumentar qualquer verba de mídia. A GDA olha esse caminho inteiro — do anúncio ao lead, do lead ao CRM — e é justamente aí, entre a campanha e a conversa, que costuma estar o dinheiro que ninguém está vendo. Se quiser essa análise com os seus números, é só chamar.

Fontes

• Brasil. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais) — arts. 7º, 8º, 18, 37 e 52. Acesso em 6 de setembro de 2026.
• ANPD. Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 — regime dos agentes de tratamento de pequeno porte. Acesso em 6 de setembro de 2026.
• ANPD. Guia Orientativo — Hipóteses legais de tratamento de dados pessoais: Legítimo Interesse, novembro de 2024. Acesso em 6 de setembro de 2026.
• ANPD. Guia Orientativo — Cookies e proteção de dados pessoais. Acesso em 6 de setembro de 2026.
• Meta. WhatsApp Business Messaging Policy — requisito de opt-in, janela de 24 horas, nível de qualidade e enforcement. Última atualização informada na página: maio de 2026. Acesso em 6 de setembro de 2026.