O paper trata cada grupo empresarial como uma operação de tratamento de dados, começando pelo número e pelo perfil de cada membro. Em termos de arquitetura, isso significa que qualquer camada de automação de grupos no WhatsApp também é tratamento: ela processa no mínimo números e eventos de participação. O estudo pede que esse uso apareça no registro de operações e, quando a ferramenta trata dados em nome da organização, em contrato de operador (LGPD art. 39, GDPR art. 28). Ela herda as permissões e os limites da conta conectada.
A regra de retenção proposta no paper combina três mecanismos: mensagens temporárias configuradas no grupo e travadas para que só admins as alterem, remoção periódica de membros cuja finalidade terminou e exportação da conversa quando a empresa precisa de registro. Remover quem encerrou um chamado ou um contrato de revenda é a parte que mais sofre com o trabalho manual. Esse tipo de rotina, como a remoção programada de inativos, está entre as tarefas que uma moderação assistida por bot pode aplicar de forma consistente. Cópias guardadas nos aparelhos dos membros continuam fora do alcance.
Na LGPD, o consentimento precisa ser livre, informado e inequívoco, e o ônus da prova é do controlador. A política de mensagens do WhatsApp exige opt-in próprio. O paper observa que são coisas diferentes, mas que um fluxo de entrada bem desenhado atende às duas: explicar a finalidade do grupo e a visibilidade dos números antes da entrada. Na prática, isso se conecta a como você configura a aprovação de novos participantes e a mensagem fixada ou de boas-vindas com o link para o aviso de privacidade.
Fonte: Ivan Schroll (2026), Personal Data Protection in Business-Operated WhatsApp Groups: Controller Duties, Lawful Basis, Phone-Number Exposure, Retention and Incident Response under the LGPD and the GDPR. DOI 10.17605/OSF.IO/ZG9U7.
Top comments (0)