O que a LGPD exige no atendimento automatizado?

Publicado em 22 de julho de 2026 · por Sanderson Palmeira de Oliveira

Os princípios da LGPD traduzidos para o chatbot

O artigo 6º da LGPD lista dez princípios. Quatro deles aparecem em quase toda decisão de projeto de um atendimento automatizado, e a tabela mostra o que cada um significa na prática.

Uma observação de nome: desde a Lei 15.352/2026, a ANPD passou a se chamar Agência Nacional de Proteção de Dados, como autarquia de natureza especial. A sigla e o papel de fiscalizar a LGPD continuam os mesmos.

Qual base legal usar em cada etapa

O consentimento é só uma das hipóteses do artigo 7º, e muitas vezes não é a mais adequada. No atendimento, as mais comuns são estas três.

Execução de contrato ou de procedimentos preliminares a pedido do titular (art. 7º, V): responder a um orçamento, agendar um horário, informar o status de um pedido. A pessoa procurou a empresa para isso.

Legítimo interesse (art. 7º, IX): por exemplo, o follow-up de um orçamento ou a análise das conversas para melhorar o atendimento. A ANPD publicou em fevereiro de 2024 um guia orientativo sobre essa hipótese, com um teste de balanceamento em três fases: finalidade, necessidade, e balanceamento com salvaguardas. O artigo 37 pede registro das operações, especialmente quando a base é o legítimo interesse.

Consentimento (art. 7º, I): quando nenhuma outra base cabe, como enviar ofertas a quem só pediu uma informação. Registre quando e com que texto a pessoa aceitou.

Clínicas e consultórios lidam com dado sensível, porque dado referente à saúde está na lista do artigo 5º, inciso II. O artigo 11 restringe as hipóteses; uma delas é a tutela da saúde em procedimento realizado por profissionais de saúde ou serviços de saúde. Aqui, mais do que em qualquer outro setor, vale confirmar o enquadramento com um profissional jurídico.

O que informar ao cliente e como atender aos pedidos dele

O artigo 9º dá ao titular acesso facilitado a informações como finalidade, forma e duração do tratamento, identificação e contato do controlador, uso compartilhado e seus direitos. Numa conversa de WhatsApp ninguém lê um texto longo, então a solução prática é em camadas: uma frase na primeira mensagem (“usamos seus dados para responder e agendar; veja como tratamos em…”) e o link para a política de privacidade completa. Dizer que a pessoa está falando com um assistente automatizado não está escrito na LGPD, mas é coerente com o princípio da transparência e evita mal-entendidos.

O artigo 18 lista os direitos do titular, entre eles confirmação da existência de tratamento, acesso, correção, eliminação de dados desnecessários, informação sobre compartilhamento e revogação do consentimento. O artigo 19 prevê resposta simplificada imediata ou declaração completa em até 15 dias. E o artigo 20 garante a revisão de decisões tomadas unicamente por tratamento automatizado que afetem os interesses da pessoa.

No chatbot, isso se resolve com um caminho claro: se a pessoa escreve algo como “quero saber quais dados vocês têm” ou “apaguem meus dados”, o assistente registra o pedido e encaminha para o responsável, em vez de tentar responder sozinho.

Pequenas empresas têm regras próprias. A Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte de indicar encarregado, mas exige que ele mantenha um canal de comunicação com o titular, e concede prazos em dobro em várias obrigações. A dispensa não vale para quem faz tratamento de alto risco, que a resolução define combinando critérios como larga escala com uso de tecnologia inovadora, decisões automatizadas ou dados sensíveis. Sobre decisões automatizadas e o papel do humano, veja automação vs. atendimento humano.

IA de terceiros, servidores fora do Brasil e contratos

Quando o chatbot usa um modelo de IA de outra empresa, a sua empresa continua sendo a controladora dos dados, e o fornecedor normalmente atua como operador. Pelo artigo 39, o operador trata os dados segundo as instruções do controlador. Na prática, isso precisa estar num contrato ou termo que diga o que o fornecedor pode fazer com as conversas, por quanto tempo guarda e, ponto importante, se usa os dados para treinar os próprios modelos.

Boa parte desses serviços processa dados fora do Brasil, o que é transferência internacional (art. 33). A Resolução CD/ANPD nº 19/2024 aprovou cláusulas-padrão contratuais para essas transferências e deu 12 meses, encerrados em agosto de 2025, para quem usa cláusulas contratuais incorporar o texto da ANPD. Pergunte ao fornecedor qual mecanismo ele usa.

E reduza o que vai para a IA. Se o modelo só precisa entender a pergunta, ele não precisa receber CPF, dados de pagamento ou histórico de saúde. Mascarar ou retirar esses dados antes do envio diminui o risco sem afetar a resposta.

Segurança e incidentes: o que fazer antes e depois

O artigo 46 exige medidas de segurança técnicas e administrativas. Em atendimento automatizado, os pontos fracos costumam ser os mesmos: conversas acessíveis por qualquer pessoa da equipe, planilhas com dados de clientes circulando por e-mail, senhas compartilhadas e nenhuma regra para apagar conversas antigas.

Se acontecer um incidente que possa trazer risco ou dano relevante aos titulares, o artigo 48 obriga a comunicar a ANPD e os titulares. A Resolução CD/ANPD nº 15/2024 fixou o prazo em três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. Três dias úteis passam rápido, então defina antes quem decide, quem redige e quem comunica.

Checklist de LGPD para o atendimento automatizado

Use a lista para revisar um atendimento que já está no ar ou para projetar um novo.

• Cada dado que o bot pede tem uma finalidade clara; os que não têm foram retirados.
• Cada uso dos dados (atender, fazer follow-up, enviar ofertas, analisar conversas) tem base legal definida e registrada.
• A primeira mensagem avisa como os dados são usados e leva à política de privacidade.
• Pedidos de acesso, correção e eliminação feitos no chat chegam ao encarregado ou ao canal de privacidade.
• Há contrato com os fornecedores de plataforma e de IA dizendo o que fazem com os dados, onde processam e se treinam modelos.
• Dados sensíveis e documentos não são enviados à IA sem necessidade.
• O acesso às conversas é por usuário individual, com registro.
• Existe prazo definido para apagar conversas e cadastros sem uso.
• Há um roteiro de resposta a incidente, com responsáveis, pensado para o prazo de três dias úteis.

Se o seu atendimento passa dados do WhatsApp para CRM e planilhas, confira também como integrar WhatsApp, CRM e planilhas; é nas integrações que mais aparecem cópias esquecidas de dados. Outros deslizes comuns estão em erros ao automatizar o atendimento.

Como a 2S Digital ajuda

Não fazemos assessoria jurídica. O que fazemos é construir o atendimento automatizado de um jeito que facilita a adequação: coleta mínima, aviso na conversa, encaminhamento de pedidos do titular, controle de acesso, prazos de retenção e, quando faz sentido, sistemas rodando em servidor próprio. As decisões jurídicas ficam com o seu advogado ou encarregado.

Conheça a solução de IA e automação de atendimento ou peça um diagnóstico.

Perguntas frequentes

Chatbot precisa pedir consentimento para coletar dados?

Nem sempre. Se a pessoa procurou a empresa para um orçamento ou agendamento, a base costuma ser a execução de procedimentos preliminares a um contrato (art. 7º, V). O consentimento é necessário quando nenhuma outra base cabe, como para enviar ofertas a quem só pediu informação.

Pequena empresa precisa ter encarregado de dados?

A Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte de indicar encarregado, desde que mantenha um canal de comunicação com os titulares. A dispensa não se aplica a quem realiza tratamento de alto risco.

Posso usar ChatGPT ou outra IA no atendimento sem violar a LGPD?

Pode, com cuidados: contrato que defina o que o fornecedor faz com os dados, verificação do mecanismo de transferência internacional, envio só do necessário ao modelo e aviso ao cliente. Evite mandar dados sensíveis ou documentos sem necessidade.

Qual o prazo para comunicar vazamento de dados à ANPD?

Pela Resolução CD/ANPD nº 15/2024, três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, quando ele puder trazer risco ou dano relevante aos titulares. Os titulares também devem ser comunicados no mesmo prazo.

Continue explorando

• Erros comuns ao automatizar o atendimento
• Como integrar o atendimento ao CRM
• Automação vs. atendimento humano
• Diagnóstico gratuito