Tempo de leitura: 11 min · Atualizado em 03/09/2026
Sim. Quando uma empresa contrata um serviço de cobrança automatizada, ela continua responsável pela forma como os dados dos seus clientes são usados, mesmo que o erro tenha partido da terceirizada. Se a cobrança expôs dívidas em mensagens de WhatsApp em massa, de forma vexatória ou visível a terceiros, a empresa pode responder junto com o prestador — e só depois discutir o reembolso com quem falhou.
O que costuma acontecer nesses casos
É cada vez mais comum empresas terceirizarem a cobrança de clientes inadimplentes para plataformas que disparam mensagens automáticas por WhatsApp em grande volume. O problema aparece quando a automação sai do controle: a mensagem menciona o valor da dívida em um grupo, é enviada ao número errado, chega ao empregador ou a um familiar do devedor, ou usa um texto agressivo que expõe a situação financeira da pessoa para quem não deveria ver. Nesses casos, o alvo natural da reclamação costuma ser a empresa que vendeu o produto ou serviço, e não a plataforma de cobrança que o cliente nunca ouviu falar.
De quem são os dados: da empresa ou da terceirizada?
Na prática, os dados dos clientes inadimplentes pertencem à relação entre eles e a empresa credora. A terceirizada de cobrança só recebe esses dados porque foi contratada para uma finalidade específica. Isso coloca a empresa contratante, normalmente, no papel de quem decide como os dados podem ser usados — e a terceirizada no papel de quem executa essa decisão dentro dos limites definidos. Essa divisão de papéis é justamente o que se avalia quando se apura quem responde por um uso indevido: quem definiu as regras, e quem as aplicou.
Contratar um terceiro não é o mesmo que transferir a culpa
Um erro comum é achar que, ao contratar uma empresa especializada em cobrança, a responsabilidade pelo que ela faz com os dados dos clientes sai automaticamente das mãos de quem contratou. Não é assim. A empresa que definiu o que a cobrança automatizada deveria fazer — quais dados usar, por quais canais, com que linguagem, sob quais limites — segue no centro da análise quando algo dá errado. Se a orientação passada à terceirizada foi vaga, se não havia qualquer supervisão sobre os disparos em massa, ou se a empresa sabia da prática e não interveio, a chance de ela ser chamada a responder junto aumenta bastante. É um raciocínio parecido com o que vale quando uma prestadora de TI terceirizada vaza dados de clientes: quem contratou não se livra só por apontar o dedo para o fornecedor.
O que pesa na hora de apurar a responsabilidade
Alguns pontos costumam ser decisivos quando se discute se a empresa contratante responde por uma exposição de dívidas feita pela terceirizada:
- Se existia um contrato detalhando o que a cobrança podia e não podia fazer — como proibir o envio para grupos ou contatos que não fossem o próprio devedor;
- Se a empresa fiscalizava como as mensagens eram enviadas na prática, ou simplesmente delegou tudo sem acompanhamento;
- Se havia sinais anteriores de que o disparo em massa causava problemas e a empresa manteve o uso mesmo assim;
- Se a empresa reagiu rápido ao saber do problema, suspendendo os disparos, ou deixou a cobrança abusiva continuar.
Quanto mais a empresa mostrar que definiu regras claras e cobrava o cumprimento delas, mais fácil separar o que foi decisão dela do que foi falha exclusiva do prestador.
Quando a cobrança em massa também é cobrança abusiva
Além da questão dos dados pessoais, existe outro problema: expor a dívida de um cliente para terceiros — colegas de trabalho, familiares, um grupo de WhatsApp, qualquer pessoa que não seja o próprio devedor — pode configurar cobrança abusiva por si só, mesmo sem vazamento de dado sensível. Cobrar é legítimo; fazer isso de um jeito que constrange ou expõe publicamente a situação financeira do devedor não é. Uma mensagem automática enviada em massa, sem filtro de destinatário, tem justamente esse potencial — e é a empresa que contratou o serviço quem costuma ser procurada primeiro pelo cliente insatisfeito.
Responsabilidade solidária: o que isso significa na prática
Quando duas empresas contribuem para o mesmo problema — uma que definiu (ou deveria ter fiscalizado) as regras, e outra que executou o disparo indevido — é comum que ambas possam ser chamadas a responder perante o cliente prejudicado. O cliente cobrado de forma vexatória não precisa provar qual das duas errou mais: pode acionar quem for mais acessível, geralmente a empresa contratante, que é quem ele conhece. Depois, entre as duas empresas, é possível discutir quem paga o quê, com base no contrato entre elas e no grau de participação de cada uma no erro.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Cobrar da terceirizada depois: é possível
Responder perante o cliente não significa ficar com o prejuízo sozinha. Se o contrato com a empresa de cobrança tiver cláusulas claras sobre responsabilidade e reembolso em caso de uso indevido dos dados ou de prática abusiva, a empresa contratante pode, depois de indenizar o cliente, cobrar esse valor de quem efetivamente cometeu o erro. É o que transforma um problema jurídico em algo administrável: cumpre-se com o cliente primeiro, e o acerto de contas com o fornecedor vem depois, com base no que foi combinado.
Como reduzir o risco antes mesmo de contratar
Empresas que pretendem terceirizar cobrança automatizada reduzem bastante a exposição com alguns cuidados na escolha do prestador:
- Definir por escrito para quem as mensagens podem ser enviadas e o que é proibido (grupos, terceiros, contatos de trabalho);
- Exigir filtros técnicos que impeçam o envio para números que não sejam confirmadamente o do próprio devedor;
- Pedir relatórios periódicos sobre volume e destino dos disparos, revisando amostras reais das mensagens;
- Incluir cláusula de responsabilidade e reembolso, prevendo o que acontece se o prestador descumprir o combinado;
- Manter um canal rápido para suspender os disparos assim que um problema for identificado.
Esse cuidado prévio é parecido com o que já se recomenda quando uma empresa terceira perde documentos com dados pessoais de clientes sob sua guarda: quem contrata precisa negociar e fiscalizar, não só confiar.
O que fazer se a exposição já aconteceu
Se a empresa descobrir que a cobrança expôs dívidas de forma indevida, o primeiro passo é suspender imediatamente os disparos em massa. Em seguida, vale mapear quantos clientes foram afetados, comparar o que a terceirizada fez com o que estava contratado, e avaliar se é o caso de comunicar os clientes atingidos de forma proativa. Empresas que já foram acusadas de compartilhar dados pessoais com terceiros sem autorização sabem que reagir rápido e de forma transparente costuma pesar a favor, enquanto minimizar ou esconder o problema tende a piorar a situação.
| Situação | Empresa contratante | Empresa de cobrança terceirizada |
|---|---|---|
| Definiu as regras de uso dos dados e de envio das mensagens | Normalmente sim | Segue o que foi combinado |
| Executou o disparo que expôs a dívida | Não diretamente | Sim |
| Pode ser cobrada pelo cliente prejudicado | Sim, com frequência em primeiro lugar | Sim, também pode ser incluída |
| Pode buscar reembolso depois | Sim, se o contrato previr | Depende do que ficou provado sobre a falha |
Contrato bem-feito é a principal proteção
Um contrato de cobrança que trate a proteção de dados de forma genérica deixa a empresa mais vulnerável quando algo sai errado. Já um contrato que define claramente as regras, prevê auditoria periódica e estabelece responsabilidade e reembolso funciona como proteção dupla: reduz a chance do problema acontecer e, se acontecer mesmo assim, dá base concreta para discutir o ressarcimento com quem errou. A LGPD leva essa divisão contratual em conta, mas não substitui a fiscalização de fato — só existir no papel não basta se, na prática, ninguém acompanhou o que a terceirizada fazia. O mesmo vale, de forma mais ampla, para qualquer prestador com acesso a dados de clientes: como em prestador de TI que mantém senhas dos sistemas mesmo após o fim do contrato, encerrar a relação sem fechar as pontas soltas é outro risco recorrente.
Perguntas frequentes
A empresa pode se livrar da responsabilidade só por dizer que contratou uma empresa especializada?
Não. O que importa é como a empresa definiu as regras de uso dos dados e se realmente fiscalizou o cumprimento delas na prática.
O cliente cobrado pode processar diretamente a empresa que vendeu o produto, e não a terceirizada?
Sim. Como é a empresa contratante quem tem relação direta com o cliente, é comum que ele a procure primeiro, mesmo sem saber que a cobrança foi terceirizada.
Expor a dívida em um grupo de WhatsApp sempre gera indenização?
Não necessariamente sempre, mas é um forte indício de cobrança vexatória, especialmente quando terceiros sem relação com a dívida têm acesso à informação. Cada caso depende das circunstâncias e do constrangimento causado — os direitos do cliente nesse tipo de situação vão além de uma eventual indenização, como já foi tratado em quais direitos a LGPD garante quando uma empresa vaza dados.
Dá para incluir uma cláusula que transfira toda a responsabilidade para a terceirizada?
É possível prever reembolso entre as empresas por contrato, mas isso regula o acerto de contas entre elas. Perante o cliente prejudicado, a empresa contratante geralmente continua podendo ser cobrada.
Como a empresa contratante pode provar que fiscalizava a terceirizada?
Com registros concretos: contrato detalhado sobre o que era permitido, relatórios periódicos de disparo e histórico de comunicação sobre ajustes pedidos ao prestador.
O que fazer primeiro ao descobrir que a cobrança expôs dados de clientes?
Suspender os disparos em massa imediatamente, levantar quantos clientes foram afetados e avaliar, com apoio jurídico, se é o caso de comunicar os atingidos antes que o problema se espalhe por conta própria.
Conclusão: fiscalizar a terceirizada é parte da responsabilidade da empresa
Contratar uma empresa de cobrança automatizada não transforma a empresa contratante em espectadora do que acontece com os dados dos seus clientes. As instruções dadas ao prestador, a fiscalização sobre como a cobrança é feita e a rapidez em corrigir problemas são o que normalmente definem se a empresa vai responder sozinha, junto com a terceirizada, ou se vai conseguir se proteger com base em um contrato bem construído.
Quando a exposição de dívidas em massa já aconteceu, o caminho mais seguro é reunir a documentação do que foi contratado, entender o alcance real do problema e buscar orientação jurídica antes de decidir como responder aos clientes afetados e como tratar a questão com o fornecedor.
Fontes oficiais consultadas
Artigos relacionados
- Gateway de pagamento sofreu vazamento e expôs dados dos meus clientes: minha empresa também pode ser responsabilizada?
- Clonaram o WhatsApp da minha empresa e clientes fizeram Pix para golpistas: quem responde?
- Perfil de Google Meu Negócio da minha empresa foi suspenso por avaliações falsas em massa de trolls: como obrigar o Google a reativar?
- Empresa terceirizada de TI vazou dados de clientes: quem responde?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
