Anonimização de dados em chatbot WhatsApp pra LGPD em 2026

LGPD permite anonimização como base legal alternativa. Esse post mostra como anonimizar conversa antiga, manter analytics e ficar livre de obrigações sobre dado pessoal.

O contexto legal em 2026

LGPD entrou em vigor em 2020 e em 2026 tem 5 anos de jurisprudência. ANPD já aplicou multas significativas. Pra PME, o risco maior não é multa direta (raramente PME paga grande), e sim processo individual de cliente, denúncia em Procon e custo de reparação.

O chatbot precisa estar adequado em 4 frentes: 1) base legal pra tratar dado, 2) transparência ao cliente, 3) segurança técnica, 4) respeito a direitos do titular (acesso, exclusão, portabilidade).

Checklist prático de conformidade

1. Política de privacidade pública: link visível no perfil WhatsApp Business + site da empresa.
2. Aviso de coleta na 1ª mensagem: bot informa que está coletando dado e qual a finalidade.
3. Base legal definida: consentimento, execução de contrato ou legítimo interesse, com registro.
4. Retenção limitada: dado fica armazenado pelo prazo necessário, depois é excluído ou anonimizado.
5. Segurança técnica: criptografia em trânsito (TLS 1.3) e repouso (AES-256), acesso por senha forte + 2FA.
6. DPO ou contato responsável: e-mail visível pra cliente exercer direitos.
7. Subprocessadores listados: se usa Anthropic, AWS ou outro, divulga publicamente.

Como o Atendente24h ajuda

Atendente24h vem com 8 dos 10 pontos prontos no setup. Dados em AWS São Paulo, criptografia ativada por padrão, política pública linkada, DPO interno designado e contato de exercício de direitos no e-mail contato@atendente24h.com.

Os 2 pontos que ficam com a PME: 1) política da empresa específica (template fornecido), 2) divulgar consentimento na 1ª mensagem com texto adaptado ao tom da marca.

Riscos comuns e como evitar

3 riscos mais comuns: 1) bot armazenar foto enviada por cliente sem retenção definida, 2) IA usar conversa pra treinar modelo (Atendente24h não faz), 3) compartilhar dado com terceiro sem informar.

Mitigação: ativar guard rail de retenção (Atendente24h apaga foto após 30 dias por default), exigir cláusula de não treino no contrato com fornecedor, listar subprocessadores publicamente.

Quando consultar advogado

Sempre que o tratamento envolver dado sensível (saúde, religião, biometria) ou cruzar com regulação setorial (CRM-CFM em medicina, CMN em finanças). Esse post é informativo, não substitui consulta jurídica.

Perguntas frequentes