LGPD para provedor de internet: o que o ISP precisa fazer na prática

A LGPD para provedor de internet não é assunto só do advogado — é operação. Um ISP trata, todo dia, uma montanha de dado pessoal: CPF, endereço de instalação, telefone, histórico de pagamento, conversas de WhatsApp, dados de navegação. A Lei Geral de Proteção de Dados (Lei 13.709/2018) define regras claras pra isso, e o descumprimento sai caro — multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. A boa notícia: estar em conformidade é mais sobre processo do que sobre burocracia.

Quais dados pessoais um provedor trata

Mapear é o primeiro passo da LGPD. Num ISP típico, os dados pessoais passam por:

• Cadastro: nome, CPF/CNPJ, RG, endereço, telefone, e-mail.
• Financeiro: histórico de pagamento, inadimplência, dados de cobrança.
• Atendimento: conversas de WhatsApp, chamados, gravações, reclamações.
• Técnico: dados de conexão e, em alguns casos, registros de acesso (que o Marco Civil obriga a guardar por 1 ano).

Você não precisa parar de usar esses dados — precisa usá-los com base legal e responsabilidade.

As bases legais que o ISP mais usa

Todo tratamento de dado precisa de uma justificativa prevista na lei. Pra provedor, as mais comuns são:

• Execução de contrato: cobrar, instalar, prestar o serviço. A base mais usada — não exige consentimento separado.
• Obrigação legal: guardar registros que o Marco Civil ou a Anatel exigem.
• Legítimo interesse: prevenir fraude, melhorar o serviço — com cuidado e avaliação.
• Consentimento: necessário pra marketing e usos não essenciais (ex: mandar oferta). Tem que ser livre, claro e revogável.

Erro comum: pedir "consentimento pra tudo". Na maior parte, o tratamento do ISP se sustenta em execução de contrato — consentimento fica pro marketing.

Os direitos do assinante (que viram chamado no seu atendimento)

A LGPD dá ao titular direitos que, na prática, chegam como solicitação no seu WhatsApp: confirmar quais dados você tem, corrigir, excluir (quando cabível), saber com quem você compartilha, revogar consentimento. Você precisa de um processo pra responder isso em prazo razoável — não dá pra ignorar. Um atendimento organizado já resolve a maioria.

Cuidados específicos no atendimento por WhatsApp

O canal favorito do ISP é também onde mais se escorrega na LGPD:

• Minimização: não peça print de documento que você não precisa guardar.
• Acesso restrito: nem todo atendente precisa ver todo dado do cliente.
• Retenção: conversa e dado têm prazo — não guarde pra sempre "por via das dúvidas".
• Marketing: disparo de oferta exige base legal (consentimento ou legítimo interesse bem fundamentado).

Plataformas de atendimento sérias ajudam aqui: controle de acesso por perfil, registro de quem viu o quê, e organização do dado. É um ponto onde o Framework 4As e um CRM próprio pra ISP trabalham a seu favor — centralizam o dado com governança em vez de espalhá-lo em planilhas e celulares pessoais.

Um checklist mínimo de conformidade

1. Mapeie os dados que você trata e por quê.
2. Defina a base legal de cada tratamento.
3. Publique uma Política de Privacidade clara no site.
4. Tenha um canal e um processo pra atender direitos do titular.
5. Indique um encarregado (DPO) — pode ser interno.
6. Controle acesso aos dados e registre tratamentos.
7. Tenha um plano de resposta a incidentes (vazamento exige comunicação à ANPD).

Pra a fonte oficial, consulte a ANPD (autoridade nacional) e o texto da LGPD. Este conteúdo é informativo e não substitui orientação jurídica.

LGPD e automação: aliada, não inimiga

Automatizar atendimento e cobrança, bem feito, ajuda na LGPD em vez de atrapalhar: centraliza o dado num lugar com controle de acesso, registra os tratamentos, padroniza a retenção e evita o cliente enviando documento pra celular pessoal de atendente. A bagunça é que é insegura — dado espalhado em mil planilhas e zaps é o verdadeiro risco de LGPD num provedor.

Perguntas frequentes

Preciso de consentimento do cliente para tratar os dados no meu provedor?

Para o serviço em si (cadastro, cobrança, instalação, suporte), normalmente a base legal é execução de contrato — não exige consentimento separado. O consentimento é necessário para usos não essenciais, como envio de marketing e ofertas. Pedir consentimento para tudo é um erro comum.

Qual a multa da LGPD para um ISP?

A LGPD prevê multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, além de advertências e outras sanções. Mais comum que a multa máxima são exigências de adequação e sanções proporcionais ao porte e à gravidade.

Posso guardar as conversas de WhatsApp dos clientes?

Pode, com base legal e responsabilidade: acesso restrito a quem precisa, prazo de retenção definido e minimização (não guardar dado desnecessário). O risco está em conversa e documento espalhados em celulares pessoais, sem controle.

O que fazer quando o cliente pede para excluir os dados dele?

Você precisa de um processo para atender o direito do titular em prazo razoável. A exclusão nem sempre é total: dados que a lei obriga a guardar (registros de acesso pelo Marco Civil, obrigações fiscais) podem ser mantidos pelo período exigido. O que não tem base para continuar deve ser eliminado.

Automatizar o atendimento ajuda ou atrapalha na LGPD?

Bem feito, ajuda. Centralizar o dado numa plataforma com controle de acesso por perfil, registro de tratamentos e retenção padronizada é muito mais seguro que dado espalhado em planilhas e WhatsApp pessoal — que é o verdadeiro risco de LGPD num provedor.