LGPD e automação de atendimento: quem responde pelos dados

Imobiliária regional com 32 pessoas, a locação inteira passando pelo WhatsApp: vistoria, contrato, cobrança, repasse pro proprietário. A automação está desenhada, o escopo está fechado — e a última pergunta antes de assinar não é sobre preço.

É essa: se um programa começar a responder meus clientes, quem responde pelos dados deles?

É uma boa pergunta, e ela quase sempre chega tarde. Normalmente aparece com o projeto já pronto, quando o sócio mais cauteloso ou o advogado levanta a mão. A gente prefere responder antes.

Um aviso antes de começar: o que vem abaixo é orientação pra você conversar com quem entende, não parecer jurídico. Cada dispositivo citado está linkado no texto oficial da lei. A decisão sobre o seu caso é do seu advogado, não deste artigo.

Dois termos vão aparecer o tempo todo, então vale traduzir agora. Tratamento, na linguagem da LGPD, é praticamente qualquer coisa que se faça com um dado: coletar, guardar, usar, compartilhar, apagar. E titular é o dono do dado — no seu caso, o cliente.

A resposta curta: automatizar o atendimento não transfere a responsabilidade

A responsabilidade continua sendo da sua empresa. Antes e depois de automatizar.

Isso não é leitura nossa. A Lei 13.709/2018, a LGPD, chama de controlador a pessoa ou empresa "a quem competem as decisões referentes ao tratamento de dados pessoais" (art. 5º, VI). Quem decide coletar o telefone do cliente, pra quê, por quanto tempo e com quem compartilhar é você. Isso não muda porque quem digita a resposta deixou de ser a atendente.

E repara que a lógica já valia antes de qualquer automação. Quando uma empresa contrata um atendimento terceirizado, a responsabilidade pelos dados continua com quem contratou. Contratar um programa não é um desenho jurídico diferente de contratar um terceiro — é o mesmo desenho.

O que a automação muda é outra coisa, e essa é boa: fica registrado o que foi feito, quando e com qual dado. Já chego lá.

Controlador e operador: o que a LGPD separa

A lei separa dois papéis. Controlador é quem decide (art. 5º, VI). Operador é quem "realiza o tratamento de dados pessoais em nome do controlador" (art. 5º, VII).

Quem constrói e roda a automação entra como operador. E operador não é livre: o art. 39 diz que ele "deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria".

Vale reler a segunda metade dessa frase, porque é a parte que pega. Verificar é obrigação sua, controlador. A lei não te deixa entregar o dado e virar as costas.

A ANPD publicou um guia orientativo sobre esses papéis (versão 2.0, abril de 2022) e é direta: "o operador só pode agir no limite das finalidades determinadas pelo controlador". O guia usa um exemplo que parece escrito pra esta conversa — uma empresa que repassa os dados dos seus clientes pra um call center terceirizado. A empresa é a controladora, o call center é o operador, e se o call center tratar os dados fora do que foi orientado, ele pode ser responsabilizado.

Esse "pode ser responsabilizado" tem endereço na lei. O art. 42, §1º, I diz que o operador responde solidariamente pelos danos quando descumpre a legislação de proteção de dados ou quando não segue as instruções lícitas do controlador — e nessa hipótese "o operador equipara-se ao controlador". O guia da ANPD trata isso como exceção: em regra, a responsabilidade é do controlador.

Traduzindo pro seu contrato: o fornecedor não assume o seu lugar. Ele entra junto na responsabilidade quando erra fora das suas instruções. Você continua na frente.

Uma ressalva honesta: o guia da ANPD é orientativo. Ele orienta, não decide. A própria ANPD registra no documento que a LGPD "deixa espaços para interpretações".

Onde a conversa do seu cliente fica guardada

Aqui a pergunta deixa de ser jurídica e vira técnica. A resposta depende inteiramente de por onde a automação conversa.

Se ela usa a API oficial do WhatsApp — a Cloud API da Meta —, dá pra responder com documentação pública. A Meta declara que, ao prover o serviço da Cloud API, "acts as a data processor/service provider on behalf of the business": atua como processadora de dados em nome da empresa. As mensagens são processadas em servidores dos data centers da Meta, ficam criptografadas em repouso e têm retenção máxima de 30 dias, prazo que existe pra sustentar reenvio e as funções básicas do serviço. Os identificadores de usuário são apagados em até 30 dias depois da última atualização de status da mensagem.

Ou seja: o conteúdo não fica morando lá pra sempre. Mas alguma coisa fica em algum lugar — e por isso a pergunta "onde ficam os dados?" precisa de três respostas, não de uma:

1. Por onde a mensagem trafega e é processada. No caminho oficial, servidores da Meta; a Meta também oferece um armazenamento local, com os dados em data centers de outro país designado.
2. Onde a sua automação guarda o que precisa guardar: o cadastro do cliente, o histórico, o registro de cada ação. Isso é infraestrutura contratada por você, e você precisa saber o nome dela.
3. O que continua passando por celular de atendente, planilha e print no grupo. Porque na maioria das empresas é aí que o dado mais delicado está — e ninguém está olhando.

O terceiro item é o incômodo. A operação que roda em WhatsApp pessoal, com foto de documento circulando em grupo, já trata dado pessoal hoje. Só que sem registro, sem controle de acesso e sem como provar nada depois. O art. 46 manda os agentes de tratamento adotarem medidas técnicas e administrativas de segurança, e o §2º acrescenta que elas valem "desde a fase de concepção do produto ou do serviço até a sua execução". Concepção. Não depois do incidente.

Aqui entra a única coisa que eu vou falar da BASE neste texto. A gente é provedora de tecnologia registrada na Meta e trabalha pela API oficial. Isso não é selo de qualidade nem promessa de segurança — é uma escolha de caminho, e ela importa pro assunto. No caminho oficial existe documentação pública do que acontece com a mensagem e existe rastro de quem tratou o quê. Numa conexão por fora, com celular espelhado ou biblioteca não oficial, o dado do seu cliente passa por um percurso que você não consegue documentar nem auditar. E o art. 6º, X da LGPD chama de prestação de contas justamente a capacidade de demonstrar que as regras foram cumpridas. Não dá pra demonstrar o que não deixou rastro.

O que a LGPD cobra da sua empresa na automação de atendimento

Como controlador, algumas obrigações são suas independentemente de quem construiu a automação. Quatro que valem conferir uma a uma, cada uma com o artigo do lado:

1. Finalidade declarada. O art. 6º, I exige tratamento para propósitos "legítimos, específicos, explícitos e informados ao titular". Se o cliente mandou mensagem pra saber o valor do aluguel, o dado dele não vira lista de disparo depois.
2. Registro das operações de tratamento (art. 37). A obrigação é do controlador e do operador.
3. Encarregado indicado (art. 41), com identidade e contato divulgados publicamente, "preferencialmente no sítio eletrônico do controlador" (§1º). O §3º prevê que a ANPD pode estabelecer hipóteses de dispensa conforme a natureza e o porte da entidade ou o volume de operações — pergunte ao seu advogado se o seu caso se encaixa.
4. Comunicação de incidente de segurança que possa acarretar risco ou dano relevante, à autoridade nacional e ao titular (art. 48). O prazo é o definido pela autoridade nacional (§1º) — confirme com o jurídico qual regra está valendo hoje, porque essa parte é regulamentada pela ANPD e muda.

Sobre a ANPD: em fevereiro de 2026 foi sancionada a Lei 15.352, que transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, com autonomia funcional, técnica, decisória, administrativa e financeira, além de criar cargos de especialista em regulação de proteção de dados. Isso não muda nenhuma obrigação sua hoje. Muda quem está do outro lado do balcão.

O que exigir de quem constrói a automação

Checklist pra levar pra reunião. É binário: ou o fornecedor responde, ou você anotou um risco.

• O contrato descreve o papel de cada parte — quem é controlador, quem é operador — e o regime de responsabilidades? A ANPD registra que a LGPD não obriga esse contrato, mas o trata como boa prática, porque as cláusulas "impõem limites à atuação do operador" e "fixam parâmetros objetivos para a alocação de responsabilidades entre as partes".
• Está escrito que o fornecedor trata os dados só nas finalidades que você determinou, e nada além (art. 39)?
• Ele avisa antes de subcontratar terceiros? A ANPD lista, entre as obrigações do operador, "dar ciência ao controlador em caso de contrato com suboperador".
• Você consegue listar, num papel só, todos os lugares onde o dado do seu cliente vai parar: provedor de mensagem, banco de dados, serviço de IA, backup?
• Existe controle de quem acessa o quê, e registro de quem acessou?
• No encerramento do contrato, os dados são devolvidos ou apagados, em quanto tempo, e como isso é comprovado?
• Se acontecer um incidente, qual é o combinado: quem avisa quem, e em quanto tempo?

Se o fornecedor travar em três ou mais, o problema não é preço. É maturidade.

O que levar pro advogado antes de assinar

Este texto te deu vocabulário, não veredito. Leve estas quatro perguntas pra quem pode responder juridicamente pelo seu caso:

1. Qual base legal do art. 7º sustenta esse atendimento automatizado, e ela exige consentimento?
2. A nossa política de privacidade e o aviso no primeiro contato descrevem esse tratamento como ele é de fato?
3. As cláusulas de proteção de dados do contrato cobrem instruções, subcontratação, incidente e encerramento?
4. Precisamos indicar encarregado, e como isso vai ser divulgado?

E se a resposta do fornecedor pra qualquer uma delas for "relaxa, é tudo seguro", esse é o sinal de alerta. Segurança não é adjetivo: é mecanismo com nome, registro e cláusula.

Onde a gente entra

A gente monta o atendimento automatizado pela API oficial e com registro de cada ação, pra que a pergunta "quem tratou esse dado, e quando?" tenha resposta em vez de silêncio. E a gente conversa com o seu advogado — não no lugar dele.

Me conta como o atendimento funciona hoje: quem responde, por qual número, onde a informação para. Numa conversa de 30 minutos dá pra mapear por onde o dado do seu cliente está passando sem registro.

Este artigo é informativo e não substitui orientação jurídica. Decisão sobre o seu caso passa por um advogado.

Fontes consultadas

• Brasil, "Lei nº 13.709, de 14 de agosto de 2018 (LGPD)" — texto oficial, Presidência da República/Planalto. Consultado em 22/07/2026. Dispositivos citados no artigo, conferidos literalmente: art. 5º, VI, VII e X; art. 6º, I e X; art. 37; art. 39; art. 41 e §§ 1º e 3º; art. 42, §1º, I; art. 46 e §2º; art. 48 e §1º.
• ANPD, "Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado", versão 2.0, abril de 2022 — Consultado em 22/07/2026. Itens 53, 54, 55 e 62 e Exemplo 9 (call center). Documento orientativo, não vinculante.
• Meta, "Data Privacy & Security — WhatsApp Business Platform / Cloud API" — Consultado em 22/07/2026. Papel de processadora, processamento em data centers da Meta, criptografia em repouso, retenção máxima de 30 dias, exclusão de identificadores e Local Storage.
• Meta, "Become a Tech Provider — WhatsApp Business Platform" — Consultado em 22/07/2026. Definição oficial do papel de Tech Provider.
• Agência Senado, "Sancionada lei que cria a Agência Nacional de Proteção de Dados" — 26/02/2026, consultado em 22/07/2026. Lei 15.352/2026 e a nova natureza institucional da ANPD.

Pesquisa e redação auxiliadas por agente; revisão editorial humana.