Assinar PDF pelo WhatsApp viola a LGPD? Entenda onde o arquivo fica

Não, assinar um PDF pelo WhatsApp ou enviá-lo por e-mail não viola automaticamente a LGPD. A conformidade depende do conteúdo do documento, da finalidade do tratamento, dos acessos permitidos e das medidas de segurança adotadas. Um contrato de trabalho, por exemplo, pode conter nome, CPF, endereço, salário e dados bancários. Ao fazer upload desse arquivo em uma plataforma de assinatura ou enviá-lo a terceiros, a empresa precisa saber onde o documento fica, quem o processa e quando ele será excluído.

A Lei Geral de Proteção de Dados Pessoais (LGPD) se aplica ao tratamento de dados pessoais em meios digitais. Isso inclui coletar, armazenar, acessar, transmitir, compartilhar e eliminar documentos usados em processos de assinatura.

O que acontece com o PDF enviado por WhatsApp ou e-mail?

O arquivo não fica necessariamente em um único lugar. Dependendo do fluxo utilizado, ele pode existir simultaneamente em vários ambientes:

no computador ou celular de quem enviou o documento;
no dispositivo do destinatário;
no servidor do provedor de e-mail ou do aplicativo de mensagens;
em backups automáticos, como cópias na nuvem;
na plataforma usada para fazer o upload e coletar as assinaturas;
em registros técnicos, como histórico de acesso, notificações e logs;
em pastas de download, lixeira ou sistemas internos da empresa.

Por isso, apagar a mensagem do WhatsApp ou do e-mail não significa necessariamente apagar todas as cópias do documento. A empresa deve mapear o fluxo mínimo necessário para entender quais sistemas participam do tratamento e quais prestadores têm acesso ao PDF.

Enviar documento por WhatsApp é seguro?

O WhatsApp pode ser usado como canal de comunicação, mas não deve ser tratado como arquivo oficial ou repositório permanente de documentos sensíveis. O risco aumenta quando o PDF contém dados pessoais em excesso, informações médicas, dados financeiros, documentos de identidade ou informações de crianças e adolescentes.

Antes de enviar um arquivo por WhatsApp, avalie se o canal é realmente necessário. Quando possível, prefira um link de acesso individual a uma plataforma de assinatura, com autenticação, prazo de validade e registro das ações realizadas. Também é recomendável confirmar o número do destinatário, evitar grupos, restringir o encaminhamento e não enviar senhas no mesmo canal do documento.

Se o WhatsApp for usado apenas para avisar que existe um documento pendente, uma alternativa mais segura é enviar uma mensagem curta com um link para o ambiente de assinatura. Assim, o PDF não precisa circular como anexo em várias conversas e dispositivos.

Como a LGPD se aplica ao upload de documento para assinatura?

O upload é uma operação de tratamento de dados. A empresa que envia o documento normalmente atua como controladora quando decide por que e como os dados serão utilizados. A plataforma de assinatura pode atuar como operadora se tratar essas informações seguindo as instruções da contratante. A definição concreta depende do contrato e do funcionamento do serviço, conforme as orientações da ANPD sobre agentes de tratamento.

Na prática, o responsável pelo processo deve verificar:

Finalidade: por que o documento está sendo enviado e assinado?
Necessidade: todos os dados presentes no PDF são indispensáveis?
Transparência: o titular sabe como seus dados serão tratados?
Acesso: somente pessoas autorizadas conseguem visualizar o arquivo?
Retenção: por quanto tempo o documento e seus registros serão mantidos?
Segurança: existem controles contra acesso indevido, perda, alteração ou vazamento?

Nem todo tratamento depende de consentimento. A base legal deve ser definida de acordo com a finalidade, como execução de contrato, cumprimento de obrigação legal ou exercício regular de direitos. Em caso de dúvida, o jurídico ou o responsável pela proteção de dados deve avaliar o contexto específico.

Onde o arquivo fica em uma plataforma de assinatura?

A resposta depende da política e da arquitetura do fornecedor. Um serviço pode manter o documento original, a versão assinada, evidências de autenticação, carimbo de tempo, registros de IP, e-mails, telefones e logs de acesso. Alguns dados podem ser armazenados por prazo necessário à execução do contrato; outros podem ser conservados para auditoria, prevenção de fraude ou defesa em processos.

Antes de contratar ou utilizar uma plataforma, a PME deve consultar a política de privacidade, os termos de tratamento de dados e as informações sobre suboperadores. Também é importante verificar se há controle de permissões, criptografia em trânsito e em repouso, autenticação, trilhas de auditoria, exportação do documento e procedimento para exclusão.

A ANPD recomenda medidas de segurança da informação proporcionais aos riscos e à realidade de cada organização. Isso inclui políticas internas, controle de acesso, atualização de sistemas, treinamento e resposta a incidentes.

Assinatura digital protege o conteúdo do PDF?

É importante separar assinatura e sigilo. A assinatura digital ajuda a demonstrar autoria e integridade: se o documento for alterado depois da assinatura, a validação poderá indicar a modificação. Porém, a assinatura não torna automaticamente o arquivo confidencial nem impede que uma cópia seja encaminhada.

Segundo o ITI, a assinatura digital baseada em certificado ICP-Brasil não é sinônimo de criptografia do conteúdo. Para proteger o sigilo, podem ser necessários controles adicionais, como criptografia, autenticação e restrição de acesso.

Também não é obrigatório usar certificado ICP-Brasil em todo documento. A assinatura eletrônica simples pode ser adequada para situações de menor risco; a avançada utiliza fatores capazes de vincular o signatário ao documento com mais segurança; e a qualificada é realizada com certificado digital ICP-Brasil. A escolha deve considerar a lei aplicável, o tipo de negócio, o risco de fraude e a necessidade de prova.

Checklist para enviar um documento sem criar risco desnecessário

Remova dados que não sejam necessários para a finalidade do contrato.
Confirme a identidade e o contato do destinatário antes do envio.
Prefira link individual de assinatura a anexos encaminhados em grupos.
Defina prazo de acesso e permissões para cada participante.
Evite enviar senha, código ou documento de identidade no mesmo canal.
Registre onde o arquivo será armazenado e por quanto tempo.
Verifique o contrato e a política de privacidade do fornecedor.
Elimine cópias excedentes quando não forem mais necessárias.

Em resumo, o problema não é simplesmente usar WhatsApp, e-mail ou upload. O risco está em compartilhar documentos sem necessidade, sem controle de acesso e sem saber onde as cópias permanecem. Para uma PME, um fluxo com plataforma de assinatura, permissões limitadas, prazo de retenção e política clara costuma ser mais organizado do que circular o PDF por várias conversas. No AssinarDigital, a assinatura pode ser feita diretamente no navegador, sem exigir certificado ICP-Brasil quando o caso não exigir assinatura qualificada; ainda assim, a empresa continua responsável por definir a finalidade, os acessos e o prazo de guarda dos documentos.