Pela LGPD, a clínica pode usar o WhatsApp com dados de pacientes, mas não de qualquer jeito. Agendar, confirmar horário e mandar lembretes com informações genéricas é aceitável. Enviar resultado de exame, discutir sintomas ou compartilhar prontuário exige base legal, confirmação de identidade e canal seguro. Usar o celular pessoal da recepcionista ou criar grupos com pacientes são erros que expõem a clínica a sanções da Lei nº 13.709/2018 (LGPD) e a processo ético no CRM.
A seguir, o guia explica por partes o que a lei exige, onde estão os riscos e como montar uma rotina segura.
Por que dado de saúde no WhatsApp é tratado com mais rigor
A LGPD classifica informação sobre saúde como dado pessoal sensível, no art. 5º, inciso II. Isso inclui diagnóstico, exames, imagens de procedimentos e até o simples registro de que alguém foi atendido. Para esse tipo de dado, o tratamento só pode ocorrer nas hipóteses do art. 11, que pede condições específicas, como consentimento destacado ou a tutela da saúde, com obrigação de sigilo profissional.
Na prática, cada mensagem trocada com um paciente é uma operação de tratamento de dados. Coletar o nome para agendar, guardar o histórico da conversa e reenviar uma receita são atos regulados pela lei.
O art. 46 da LGPD impõe medidas de segurança técnicas e administrativas para proteger essas informações contra acessos indevidos. Já o Código de Ética Médica, aprovado pela Resolução CFM nº 2.217/2018, art. 73, veda ao médico revelar informações sobre pacientes sem autorização. A norma não distingue papel de tela: vale para consultório, telefone e aplicativo de mensagem.
Os princípios que guiam cada mensagem
O art. 6º da LGPD traz princípios que se aplicam diretamente ao atendimento por WhatsApp:
- Finalidade: o dado coletado para agendar consulta não pode ser usado para outro fim sem base legal. O consentimento para realizar um exame não autoriza mensagem de marketing.
- Necessidade: colete e envie só o indispensável. Um lembrete precisa de data, hora e local, não do motivo da consulta.
- Segurança: a clínica precisa adotar medidas eficazes contra acessos não autorizados e vazamentos.
Quem pensa em usar a lista de contatos para divulgar serviços também deve observar as regras éticas de publicidade, explicadas em o que mudou com a Resolução CFM 2.336. Uma coisa é a comunicação assistencial; outra, a comunicação comercial, e as duas não devem se misturar.
Bases legais: consentimento não é a única porta
O consentimento previsto na LGPD deve ser livre, informado e inequívoco, e o paciente pode revogá-lo a qualquer momento. Mas ele não é a única base possível. A lei também admite o tratamento para tutela da saúde, com dever de sigilo. O ponto central é identificar e documentar qual base sustenta cada tipo de mensagem:
- Comunicação assistencial (agendamento, confirmação, orientação administrativa): pode se apoiar em bases como execução de contrato ou legítimo interesse, conforme a análise jurídica da clínica.
- Lembretes e cobranças: exigem análise caso a caso. Misturar cobrança com comunicação clínica na mesma conversa é apontado como fonte de risco.
- Marketing: depende de consentimento explícito.
Um alerta importante: um termo genérico assinado na recepção não autoriza o envio de informações clínicas por canais não criptografados. O consentimento precisa ser específico para a finalidade e documentado.
A ANPD, no Guia Orientativo para Agentes de Tratamento de Pequeno Porte (2023), reforça que a informação sobre o tratamento de dados precisa estar acessível ao titular antes da coleta. Ou seja: o paciente deve saber, desde o primeiro contato, como seus dados serão usados.
Quem responde por um vazamento
A LGPD define três papéis:
- Controlador: quem decide sobre o uso dos dados. Pode ser o médico autônomo ou a clínica.
- Operador: quem executa o tratamento em nome do controlador, como a empresa que hospeda o prontuário eletrônico ou a plataforma de mensagens.
- Encarregado: a pessoa que faz a ponte entre a clínica, os pacientes e a ANPD.
A responsabilidade não fica só com o médico. Pelo art. 42 da LGPD, quem participa do tratamento pode responder por danos. E o risco interno é real: dados da Verizon citados em análise sobre clínicas indicam que ao menos 27% dos vazamentos partem de quem já tem acesso às informações. Um print da tela do computador da recepção pode circular em segundos.
Sanções previstas
O art. 52 da LGPD lista as penalidades aplicadas pela ANPD:
- advertência, com prazo para adequação;
- multa de até 2% do faturamento, limitada a R$ 50 milhões por infração;
- multa diária em caso de descumprimento contínuo;
- publicização da infração;
- bloqueio ou eliminação dos dados;
- suspensão parcial ou total do tratamento e, em situações extremas, das atividades.
Além disso, o paciente pode buscar indenização por danos morais e materiais, e a violação de sigilo gera responsabilidade ética perante o CRM.
Exemplos: o que pode e o que não pode
Pode, com cuidado
- Enviar lembrete com data, hora e endereço, sem mencionar especialidade, exame ou motivo da consulta.
- Confirmar presença e tratar assuntos administrativos.
- Avisar que um resultado está disponível em portal com login, sem incluir o conteúdo na mensagem.
- Enviar documentos clínicos ou receita só depois de confirmar a identidade do paciente, com consentimento formal registrado e por canal seguro com criptografia.
Não pode
- Usar o WhatsApp pessoal de funcionários para falar com pacientes. Não há controle de acesso nem trilha de auditoria.
- Criar grupos com pacientes para avisos coletivos. Mesmo com texto genérico, nomes e números ficam expostos a todos.
- Escrever algo como "o resultado do seu exame de HIV saiu" em canal não seguro.
- Discutir sintomas ou detalhes clínicos sem confirmar que está falando com o titular.
- Usar a base de contatos de atendimento para campanha comercial sem consentimento específico.
- Manter o histórico de conversas com dados de saúde indefinidamente, sem prazo de exclusão.
WhatsApp comum ou API oficial?
O WhatsApp comum não oferece logs de acesso administrativo nem controle centralizado de permissões. Por isso, especialistas recomendam soluções corporativas, como a API oficial do WhatsApp Business integrada ao sistema da clínica, que permitem registrar envios, separar perfis de acesso e manter histórico vinculado ao cadastro do paciente. Ao contratar, leia o contrato antes de assinar: verifique cláusulas de conformidade com a LGPD, responsabilidade em caso de invasão e onde os dados ficam armazenados, já que o tratamento no exterior traz exigências adicionais.
Direitos do paciente que chegam pelo WhatsApp
Os arts. 17 a 22 da LGPD garantem ao paciente acesso aos seus dados, correção de informações erradas, exclusão quando não houver mais necessidade de guarda, portabilidade e revogação do consentimento. É comum esses pedidos chegarem justamente pela conversa no aplicativo. A equipe precisa saber reconhecer a solicitação e encaminhá-la ao encarregado, em vez de responder no improviso.
Na prática (checklist)
- Mapeie a rota dos dados. Liste por onde passam as informações dos pacientes: WhatsApp, telefone, e-mail, prontuário, papel. Anote quem acessa cada canal.
- Classifique as mensagens por sensibilidade. Administrativa (agenda, lembrete) e clínica (resultado, receita, orientação) devem ter canais e regras diferentes.
- Documente a base legal de cada finalidade. Agendamento, cobrança e marketing não usam a mesma justificativa.
- Elimine números pessoais. Centralize o atendimento em conta corporativa, de preferência integrada ao sistema de gestão.
- Padronize textos de lembrete. Data, hora e local. Nada de especialidade, exame ou sintoma.
- Confirme identidade antes de qualquer informação clínica. Defina perguntas de verificação e registre o procedimento.
- Registre o consentimento específico para envio de documentos clínicos por mensagem, separado do termo geral de cadastro.
- Defina prazo de retenção das conversas e rotina de exclusão.
- Restrinja acessos por perfil. Recepção não precisa ver resultado de exame.
- Revise contratos com fornecedores de software e mensageria, exigindo cláusulas de LGPD e de responsabilidade.
- Treine toda a equipe, inclusive os médicos, com exemplos concretos do que pode e do que não pode. Repita o treinamento, principalmente se houver rotatividade.
- Formalize uma política interna por escrito e revise periodicamente com apoio jurídico. A ausência de política documentada já é, por si, sinal de não conformidade numa fiscalização.
A LGPD não proíbe o WhatsApp na saúde. Ela condiciona o uso a controles proporcionais ao risco. Clínicas que documentam decisões, registram consentimentos e mantêm logs de acesso conseguem demonstrar diligência se um dia forem questionadas por pacientes, pela ANPD ou pela Justiça.