Atendimento no WhatsApp e LGPD: o que não enviar e como proteger o dado do paciente

O que a LGPD considera dado sensível de saúde?

Dado de saúde é qualquer informação que revele a condição física ou mental de uma pessoa, incluindo diagnóstico, prontuário, resultado de exame, prescrição e até o nome da especialidade que ela consulta em certos contextos.

A Lei 13.709/2018 trata esse grupo como dado pessoal sensível no art. 11, o que exige consentimento específico e destacado do paciente ou outra hipótese legal prevista na própria lei, como tutela da saúde exercida por profissional de saúde. Isso vale para qualquer canal, papel, sistema ou aplicativo de mensagem, o WhatsApp incluído.

Na prática, isso significa que a clínica precisa separar dois tipos de mensagem: a administrativa (agenda, confirmação, cobrança) e a clínica (diagnóstico, conduta, resultado). Só a primeira deveria trafegar pelo WhatsApp da recepção.

Consentimento e base legal para confirmação de horário

Confirmar data e horário de consulta não exige consentimento específico do paciente, porque essa mensagem se apoia na execução de contrato ou na tutela da saúde, hipóteses já previstas na lei para o vínculo entre clínica e paciente. O problema legal aparece quando a mensagem sai do administrativo e entra no clínico.

A execução de contrato cobre o que é necessário para prestar o serviço agendado: nome, data, horário, profissional e local. Isso não é dado sensível isolado e não precisa de formulário de aceite separado para ser tratado por WhatsApp. Já qualquer informação que revele condição de saúde, como motivo da consulta, hipótese diagnóstica ou resultado de exame, se encaixa no art. 11 da Lei 13.709/2018 e exige consentimento específico e destacado, coletado de forma clara, com finalidade explícita e sem estar escondido em termo de uso genérico.

Na prática, a clínica não precisa de checkbox de consentimento para mandar "sua consulta está confirmada para quinta às 15h". Precisa de consentimento específico se quiser, por exemplo, enviar lembrete de retorno citando o tipo de tratamento, ou se quiser usar o histórico de mensagens para outra finalidade além do agendamento, como campanha de reativação segmentada por condição de saúde. Misturar as duas bases legais numa mesma mensagem é o erro mais comum: a recepção confirma o horário (execução de contrato) e, no mesmo texto, cita o motivo da consulta (dado sensível, exige consentimento específico que raramente foi coletado para aquele fim).

Por que o WhatsApp não é canal seguro para dado clínico?

O WhatsApp comum não foi desenhado para armazenamento seguro de dado sensível e não oferece rastro de acesso por usuário dentro da equipe, controle de retenção nem canal formal de auditoria como um prontuário eletrônico.

O aplicativo criptografa a mensagem entre os dispositivos, mas o histórico fica salvo no celular de quem atende, muitas vezes sem senha, sem backup criptografado e sem separação entre conversa pessoal e profissional. Se o celular da secretária for perdido, roubado ou trocado, toda a conversa com pacientes vai com ele.

O uso do WhatsApp para atendimento é dominante no Brasil: em pesquisa da Panorama Mobile Time/Opinion Box sobre mensageria no Brasil, o aplicativo aparece como o canal de contato com empresas mais usado pelo consumidor brasileiro. O volume de uso não torna o canal adequado para dado sensível, torna a atenção com o conteúdo da mensagem ainda mais necessária.

O que a clínica nunca deve enviar por WhatsApp?

Alguns conteúdos não deveriam aparecer em texto solto numa conversa de WhatsApp, seja com paciente, seja em grupo interno da equipe:

O critério prático é simples: se a informação, isolada, já revela algo sobre a saúde do paciente, ela não deveria estar na mensagem de WhatsApp. Nome, data e horário podem ficar. Motivo da consulta, não.

Qual modelo de mensagem usar para confirmar consulta?

Modelo seguro (use este)

Uma mensagem de confirmação segura informa data, horário, nome do profissional e local, sem citar o motivo da consulta nem qualquer termo clínico. Este é o texto que a recepção deveria copiar e usar como padrão:

Olá, Ana. Sua consulta com o Dr. Carlos está confirmada para quinta-feira, dia 14, às 15h, na unidade Centro. Para confirmar, responda SIM. Para remarcar, responda REMARCAR.

Esse modelo funciona porque se apoia só na execução de contrato: nome, profissional, data e local são o mínimo necessário para o paciente saber onde e quando comparecer. Nada ali revela condição de saúde.

Modelo inseguro (evite este)

Compare com um modelo problemático, que aparece com frequência em clínicas que não revisaram o texto padrão. Este é o exemplo do que a equipe deve eliminar de qualquer fluxo automático ou manual:

Olá, Ana. Sua consulta de retorno para acompanhamento do exame de mama está confirmada para quinta-feira às 15h com o Dr. Carlos, oncologista.

A segunda versão expõe especialidade e contexto clínico da paciente para qualquer pessoa que tenha acesso ao celular, à notificação na tela de bloqueio ou ao histórico da conversa. Isso vale mesmo quando a mensagem sai de um número corporativo, porque a exposição acontece no dispositivo de quem recebe, não só no sistema de origem.

O mesmo cuidado se aplica a mensagens automáticas geradas por secretária virtual com inteligência artificial. O texto de resposta precisa ser configurado para nunca repetir o motivo do agendamento, ainda que o paciente tenha digitado isso na conversa. Para entender os limites e o momento certo de transferir a conversa para um humano, veja como funciona a secretária virtual com IA no WhatsApp e quando ela deve escalar o atendimento.

Como proteger a conversa no dia a dia da recepção?

Proteger a conversa depende menos de tecnologia sofisticada e mais de rotina consistente na recepção, com regras claras sobre o que se digita e quem tem acesso ao número.

Algumas práticas reduzem o risco de exposição:

1. Usar conta comercial da clínica, nunca o número pessoal da secretária, para separar o histórico da vida profissional da pessoa.
2. Bloquear a tela do celular ou computador usado para atendimento com senha ou biometria, e desativar a pré-visualização de mensagem na tela de bloqueio.
3. Criar modelos de mensagem padronizados e revisados, para que a equipe não improvise texto com informação clínica na hora do atendimento.
4. Definir política interna de quem pode ver o histórico de conversas e por quanto tempo ele fica armazenado.
5. Apagar prints de documento e de exame trocados por engano assim que identificados, e registrar o incidente internamente.

A integração da conversa com a agenda e o prontuário ajuda a reduzir a tentação de resolver tudo por texto solto no aplicativo. Na Salte, a confirmação de horário sai automática pelo WhatsApp, mas o conteúdo clínico fica registrado no prontuário, sem circular pela conversa com o paciente. Quem usa a WhatsApp Business API para clínica também ganha controle de usuário mais granular do que o WhatsApp Business comum, o que ajuda a separar quem pode acessar o histórico.

O formulário de agendamento online pode pedir dado de saúde?

O formulário de agendamento ou o link de captação de lead não deveria pedir sintoma, condição de saúde ou motivo detalhado da consulta antes de existir consentimento específico do paciente para esse tratamento de dado sensível.

Formulário bem desenhado

Um formulário adequado limita a coleta ao essencial para agendar: nome completo, telefone com WhatsApp, tipo de atendimento genérico (por exemplo, "consulta", "retorno" ou "avaliação", sem detalhar motivo clínico) e disponibilidade de horário preferida. Nenhum desses campos, isolado ou combinado, revela condição de saúde da pessoa. A clínica pode tratar esse conjunto com base na execução de contrato, sem precisar de consentimento específico separado.

Formulário mal desenhado

O ponto de risco recorrente é o campo de "observações" aberto, sem limite de caracteres nem orientação de preenchimento. Nesse campo, o paciente escreve por conta própria frases como "tenho dor no peito há três dias" ou "quero repetir o exame de próstata", sem que a clínica tenha pedido essa informação e sem que exista consentimento específico coletado para esse tratamento. Esse texto vira dado sensível dentro da base de leads, exposto a quem tiver acesso à planilha ou ao painel do formulário, muitas vezes sem o mesmo controle de acesso do prontuário.

A recomendação prática é remover o campo de observação livre do formulário público ou substituí-lo por uma opção fechada, sem texto livre, e deixar qualquer detalhe de saúde para ser coletado dentro do prontuário, já com o consentimento apropriado e por profissional habilitado. Se a clínica quiser manter um campo de texto livre por necessidade operacional, o ideal é acompanhar de um aviso curto orientando o paciente a não descrever sintoma ali, e de um texto de consentimento específico visível antes do envio, não escondido em termo de uso genérico.

Quem responde se o paciente reclamar de um vazamento pelo WhatsApp?

A clínica responde como controladora do dado, e a responsabilidade recai sobre quem decide a finalidade do tratamento, ainda que o vazamento tenha ocorrido no aplicativo de mensagem de um funcionário.

A Lei 13.709/2018 prevê que o controlador responde por dano causado em razão do tratamento de dado pessoal que viole a lei. A Autoridade Nacional de Proteção de Dados divulga notícias e deliberações públicas sobre fiscalização e orientação às empresas, incluindo o setor de saúde, e é o canal oficial para acompanhar entendimentos e eventuais sanções.

Para reduzir esse risco, toda clínica precisa indicar um encarregado de dados (o DPO), mesmo que seja a própria pessoa responsável pela recepção ou pela gestão, com um canal de contato visível para o paciente que quiser esclarecer dúvida ou fazer reclamação sobre o tratamento do seu dado. Esse canal também deve receber, com prioridade, qualquer relato de mensagem que tenha exposto informação de saúde por engano.

Incidente de vazamento: como registrar e reportar

Se uma mensagem com diagnóstico, exame ou outro dado sensível for enviada por engano, sejapara o paciente errado, para um grupo interno ou para qualquer destinatário indevido, a equipe deve seguir um roteiro curto, sem depender de decisão improvisada no momento:

1. Notificar o encarregado de dados (DPO) em até 24 horas a partir do momento em que o erro foi identificado, mesmo que o conteúdo já tenha sido apagado da conversa.
2. Documentar o incidente por escrito: data, horário, quem enviou, quem recebeu, qual dado foi exposto e se houve tentativa de apagar a mensagem.
3. Avaliar, junto ao DPO, se há risco relevante ao paciente, considerando se o destinatário indevido teve acesso real ao conteúdo e se o dado exposto pode causar dano, como discriminação ou constrangimento.

Esse registro interno serve tanto para orientar a resposta ao paciente afetado quanto para documentar a boa-fé da clínica caso a Autoridade Nacional de Proteção de Dados solicite esclarecimento. Guardar apenas na memória de quem atendeu não é suficiente: o registro por escrito, com data e responsável, é o que permite reconstruir o que aconteceu semanas depois.

Como a equipe deve ser treinada para atender pelo WhatsApp?

A equipe precisa receber uma lista curta e objetiva do que pode e do que não pode digitar, e não apenas uma orientação genérica de "ter cuidado com dado sensível".

Um roteiro simples de treinamento cobre:

• Quais modelos de mensagem estão aprovados e por que eles evitam citar motivo clínico.
• O que fazer quando o próprio paciente manda print de exame ou pergunta sobre resultado pelo WhatsApp (a resposta padrão deve remeter ao profissional, sem comentar o conteúdo).
• Como identificar e reportar um incidente, seguindo o roteiro de notificação ao DPO descrito acima.
• Onde consultar o modelo de mensagem de confirmação já revisado, para não improvisar texto na hora.

Acompanhar as métricas do WhatsApp na clínica e a taxa de resposta considerada aceitável também ajuda a proteger o dado do paciente, embora de forma indireta: se a taxa de resposta cair depois que a equipe trocou o modelo de mensagem por um texto mais genérico, isso é sinal de que o paciente não está entendendo o que precisa fazer, não de que a clínica deveria voltar a citar motivo da consulta para "deixar a mensagem mais clara". O ajuste correto é rever a redação e o botão de resposta, não o conteúdo clínico da mensagem.

Checklist de implementação em 3 passos

1. Dia 1: revisar modelos de mensagem. Reúna a equipe e leia em voz alta cada modelo salvo no WhatsApp Business ou no sistema de agendamento. Risque qualquer frase que cite motivo de consulta, especialidade sensível, exame ou medicamento. Substitua pelo modelo seguro apresentado neste guia e salve como padrão único da recepção.
2. Dia 2: auditar o formulário de agendamento. Abra o formulário usado no site ou na página de captação e liste todos os campos. Remova ou converta em opção fechada qualquer campo de texto livre que possa captar sintoma, como "observações" sem limite. Adicione um aviso curto orientando o paciente a não descrever motivo de saúde ali.
3. Dia 3: designar e divulgar o encarregado de dados. Defina por escrito quem é o DPO da clínica, ainda que seja o próprio gestor ou a recepcionista responsável, e publique o contato (e-mail ou telefone) num lugar visível, como o rodapé do site ou a mensagem de boas-vindas do WhatsApp. Combine com a equipe o prazo de 24 horas para notificar esse canal em caso de incidente.