LGPD na Prática para SMS e RCS: o Checklist de Documentação Antes do Primeiro Disparo

Por que a LGPD cobra antes, não depois

Muitas empresas ainda tratam a conformidade com a Lei Geral de Proteção de Dados como uma tarefa para depois da campanha ir ao ar. Esse raciocínio tem um custo concreto: multas de até 2% do faturamento, bloqueios de shortcodes e longcodes pelas operadoras, e dano de reputação difícil de reverter junto a bases que já receberam mensagens indevidas. SMS e RCS têm particularidades que canais como e-mail não têm — o número de telefone está diretamente vinculado à identidade do titular, é portado entre operadoras e pode ser reutilizado, o que cria riscos jurídicos inexistentes no mundo do e-mail. Documentar antes de disparar não é paranoia jurídica; é a única forma de operar em escala com segurança.

O que a LGPD exige especificamente para mensageria

A LGPD não menciona SMS ou RCS pelo nome, mas seus princípios se aplicam integralmente. A base legal mais usada em campanhas de mensageria é o consentimento (art. 7º, I) — livre, informado, inequívoco e específico para o canal. O legítimo interesse (art. 7º, IX) pode ser invocado em contextos transacionais, mas exige teste de proporcionalidade documentado e não dispensa aviso ao titular.

Um ponto que poucos abordam: o titular do número nem sempre é o titular do dado. Números portados entre operadoras ou reutilizados após cancelamento de linha podem chegar a uma pessoa diferente daquela que deu consentimento originalmente. Isso significa que a evidência de consentimento precisa ser amarrada ao número e à identidade verificada do titular, não apenas ao cadastro. Para entender as implicações práticas das normas para envio de SMS marketing no Brasil, vale consultar o cenário regulatório completo antes de estruturar qualquer campanha.

SMS vs. RCS sob a ótica da LGPD: as diferenças que mudam o que você documenta

SMS é tecnologicamente simples: entregou ou não entregou, leu ou não leu — e mesmo o status de leitura raramente está disponível. RCS é outra história. A plataforma entrega confirmações de leitura, cliques em botões, interações com carrosséis e respostas rápidas, todos como dados rastreáveis associados ao número do destinatário. Isso transforma cada interação com um elemento rico do RCS em um dado pessoal comportamental que precisa ser registrado no seu Registro de Atividades de Tratamento (ROPA).

Na prática, isso significa que sua entrada de ROPA para uma campanha de RCS promocional é estruturalmente mais complexa do que a de um SMS de texto puro: você precisa declarar quais metadados de interação são coletados, por quanto tempo ficam armazenados, em quais sistemas e com qual finalidade. Ignorar esses metadados ricos é a armadilha mais comum em auditorias de empresas que migraram do SMS para o RCS sem revisar a documentação de privacidade. Adotar as boas práticas de opt-in em campanhas de RCS desde o início já reduz boa parte desse risco.

O checklist de documentação pré-disparo

Este é o núcleo operacional do post. Cada item abaixo é acionável — não é teoria, é o que precisa existir no seu sistema de gestão de privacidade antes de o primeiro disparo sair.

• Registro de consentimento auditável: precisa constar canal de coleta (formulário web, URA, ponto de venda), data e hora com fuso horário, versão exata do texto aceito pelo titular e fingerprint ou evidência técnica que permita reproduzir a prova em caso de questionamento. Captura de tela não é suficiente; o dado precisa estar em log imutável.
• Finalidade declarada e base legal no ROPA: descreva corretamente cada tipo de campanha. SMS OTP tem base legal e finalidade diferentes de SMS marketing; RCS transacional (confirmação de pedido) difere de RCS promocional (oferta de produto). Misturar finalidades em uma única entrada de ROPA é erro grave. Entenda bem a diferença entre SMS Marketing e SMS OTP para fazer esse registro com precisão.
• Política de privacidade linkável na mensagem: SMS tem limitação de caracteres, então o link precisa ser encurtado — mas use um encurtador próprio ou rastreável pela sua plataforma, nunca um serviço genérico que pode sair do ar ou mascarar o destino real da URL.
• Mecanismo de opt-out documentado: o fluxo técnico de descadastramento precisa estar mapeado, com SLA de execução (ANPD entende que 48 horas é razoável), evidência de execução em log de supressão e processo de teste periódico. Saber como reduzir opt-out em campanhas de SMS com boas práticas de conteúdo também ajuda a manter a lista saudável sem depender só do processo de descadastramento.
• Lista de supressão (blocklist) atualizada: documente a origem de cada entrada (opt-out voluntário, reclamação de spam, número inválido), a frequência de atualização e como ela se integra com sua plataforma de envio antes de cada campanha — não depois.
• Contrato com operadora/plataforma como Operador (DPA): o Data Processing Agreement é obrigatório pela LGPD sempre que um terceiro trata dados em nome do Controlador. Muitas empresas assinam o contrato comercial com a plataforma de mensageria e esquecem do DPA. Sem ele, você está exposto em uma auditoria, mesmo que todo o resto esteja em ordem.
• Avaliação de risco (DPIA) quando necessária: campanhas em massa para bases acima de determinado volume, campanhas que usam dados sensíveis ou que envolvem perfilamento comportamental (especialmente com os metadados ricos do RCS) podem exigir um Relatório de Impacto à Proteção de Dados. Não é sempre obrigatório, mas o critério precisa estar documentado.

Armadilhas que a auditoria da ANPD vai encontrar

Três situações recorrentes em empresas que operam mensageria em escala sem documentação adequada:

• Bases de leads compradas: sem evidência de consentimento específico para SMS ou RCS, a base inteira é inválida sob a LGPD — independentemente de o fornecedor garantir que os dados são “opt-in”.
• Opt-in genérico de site que não cobre mensagem de texto: aceitar receber “comunicações da empresa” via checkbox no cadastro não equivale a consentimento para disparo de SMS ou RCS. A finalidade e o canal precisam ser explícitos.
• Campanhas RCS sem registro dos dados de interação: empresas que migram do SMS para o RCS sem revisar o ROPA ficam com metadados de interação sendo coletados pela plataforma sem qualquer amparo documental.

Como fazer a documentação nascer automaticamente do fluxo de consentimento

O cenário ideal é que nenhum dado de consentimento precise ser inserido manualmente. Isso é possível quando a integração entre plataforma de mensageria, CRM e sistema de gestão de privacidade gera logs de auditoria automaticamente a cada opt-in, opt-out e disparo. Plataformas estruturadas permitem exportar esses logs em formato auditável, o que transforma a conformidade em uma consequência natural da operação — não em uma tarefa separada. Para operações que já querem entender onde estão os gargalos de entregabilidade nesse processo, saber como medir a taxa de entrega real em campanhas de SMS é o ponto de partida para correlacionar qualidade de lista com performance de campanha.

Conformidade não é burocracia — é entregabilidade

Empresas com documentação de privacidade em ordem sofrem menos bloqueios de shortcode pelas operadoras, têm melhor reputação de remetente e, consequentemente, taxas de entrega superiores. Não é coincidência: operadoras e agregadores de mensageria monitoram reclamações e padrões de envio, e listas limpas com consentimento documentado geram menos ruído. Saber como garantir alta taxa de entrega e conversão em SMS Marketing passa, necessariamente, pela qualidade da base — e qualidade de base começa em documentação de consentimento.

Se você quer estruturar suas campanhas de SMS e RCS com conformidade real e entregabilidade consistente, fale com o time da Pushfy. Nossa plataforma foi construída para quem opera mensageria em escala e precisa de rastreabilidade em cada etapa do processo.