LGPD na clínica: anamnese, fotos e WhatsApp não são a mesma coisa
Um mapa prático para separar cuidado, atendimento e divulgação sem depender de um consentimento que autoriza tudo.
Por Marcelo Saltori
O problema não começa no vazamento
Uma paciente preenche a anamnese em papel, envia uma foto pelo WhatsApp e autoriza o uso de uma imagem no Instagram. A ficha fica no balcão. A conversa permanece no celular pessoal da recepcionista. A foto vai para a galeria, para a agência e para uma pasta compartilhada. Meses depois, ninguém sabe dizer qual arquivo servia ao atendimento, qual estava autorizado para divulgação e quem ainda deveria ter acesso.
Esse cenário não nasce de uma invasão sofisticada. Ele nasce quando informações diferentes entram na clínica pelo mesmo caminho e passam a ser tratadas como se tivessem a mesma finalidade. A LGPD não proíbe a clínica de coletar dados, falar pelo WhatsApp ou mostrar um resultado. Ela exige que cada uso tenha motivo, limite, proteção e responsabilidade demonstráveis.
Na prática, a pergunta mais útil não é “temos um termo de LGPD?”. É outra: para que precisamos deste dado agora, quem pode vê-lo, onde ele ficará e quando deixará de ser necessário?
Anamnese, foto e telefone não são a mesma coisa
A LGPD define dado pessoal como informação ligada a uma pessoa identificada ou identificável. Ela classifica como sensível o dado referente à saúde e o dado biométrico quando vinculado a uma pessoa. Por isso, alergias, medicamentos, gravidez, condições clínicas e histórico de procedimentos exigem atenção especial. Uma imagem identificável pode ser dado pessoal; ela pode também revelar saúde. Isso não transforma toda foto comum em biometria, que depende do uso técnico para identificação. [C01]
O nome e o telefone usados para confirmar um horário têm uma função administrativa. A anamnese serve para avaliar condições relacionadas ao procedimento. Uma foto pode ser registro de evolução, documentação interna, material educativo ou publicidade. O mesmo arquivo muda de risco conforme o que mostra, para que é usado e com quem é compartilhado.
Os princípios de finalidade, adequação e necessidade exigem propósito específico e limitação ao mínimo necessário. Transparência, segurança e prestação de contas completam essa obrigação. Coletar tudo “para o caso de precisar depois” contraria a lógica da lei. [C02]
O caminho mais simples é criar um inventário curto. Para cada campo ou arquivo, a clínica registra finalidade, hipótese legal, acesso, local de armazenamento, compartilhamentos e prazo de revisão. Isso revela duplicidades e atalhos perigosos antes que virem um incidente.
O consentimento não é um passe livre
Muitas clínicas tentam resolver tudo com uma frase ampla: “autorizo o uso dos meus dados e imagem”. O problema é que cuidado, gestão do atendimento, portfólio, rede social, anúncio pago e aula são finalidades diferentes. A paciente pode aceitar o procedimento e recusar aparecer em uma campanha.
Quando o consentimento é a hipótese utilizada, a LGPD permite que ele seja fornecido por escrito ou por outro meio capaz de demonstrar a manifestação de vontade. A clínica tem o ônus de provar que o obteve corretamente. Autorizações genéricas são nulas, a finalidade deve ser determinada e a revogação precisa ser gratuita e facilitada. [C03]
Isso corrige dois extremos. Uma resposta no WhatsApp não é automaticamente inválida só porque não está em papel. Ao mesmo tempo, escrever “sim” depois de uma explicação vaga não comprova autorização específica para todos os usos futuros. O registro precisa mostrar quem respondeu, quando, qual texto recebeu, qual finalidade aceitou e qual versão estava vigente.
Para dados sensíveis, o artigo 11 prevê consentimento específico e destacado e também outras hipóteses, entre elas tutela da saúde quando o tratamento for indispensável e realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Essa possibilidade não autoriza usar a anamnese para marketing nem transforma consentimento na única resposta para toda operação. [C04]
Uma prática mais clara separa documentos e escolhas. O termo do procedimento explica riscos e cuidados. O aviso de privacidade informa o tratamento de dados. A autorização de imagem trata de canais e finalidades de divulgação. Mesmo que estejam no mesmo fluxo digital, cada decisão aparece de forma compreensível e registrável.
Antes e depois precisa de duas revisões
Uma foto de resultado atravessa pelo menos duas camadas. A primeira é proteção de dados e direito de imagem: identificação, finalidade, autorização quando aplicável, acesso e circulação. A segunda é a regra profissional de quem realiza e divulga o procedimento.
Na publicidade médica, o CFM permite o uso educativo de imagens de pacientes sob critérios próprios. A imagem não pode ser manipulada ou melhorada, o paciente não deve ser identificado e demonstrações de antes e depois precisam apresentar contexto, possíveis evoluções e complicações. O conselho também exige autorização para publicação quando a imagem vem do arquivo do médico ou do estabelecimento. [C05]
Essa regra é médica. Ela não vira licença automática para dentista, biomédico, enfermeiro, fisioterapeuta, esteticista ou profissional de micropigmentação. Cada atividade precisa consultar seu conselho ou regime aplicável. A camada da LGPD continua existindo em qualquer caso.
Também convém separar portfólio interno de publicação. Uma foto guardada para acompanhar evolução não deve migrar para Instagram, anúncio, site, apresentação ou treinamento de equipe sem que essa nova finalidade esteja definida. A autorização pode ser granular: rede social orgânica, mídia paga, site, aula, identificação permitida ou anonimização.
Revogação não apaga o passado de forma mágica, nem garante recolher cópias feitas por terceiros. Ela exige que a clínica interrompa os usos futuros sob consentimento revogado e execute o procedimento aplicável aos canais que controla. Por isso, quanto menos lugares recebem a imagem, mais realista fica cumprir a decisão da paciente.
WhatsApp é porta de entrada, não arquivo clínico improvisado
O WhatsApp facilita confirmação de horário, lembrete e conversa inicial. O risco aparece quando o canal vira prontuário, galeria de fotos, formulário de anamnese e grupo interno ao mesmo tempo. Criptografia de transporte, sozinha, não define quem acessa o aparelho, o backup, a conta conectada, a exportação ou o sistema integrado.
Uma clínica pode manter no chat informações administrativas necessárias para conduzir o atendimento. Quando a conversa entra em alergia, condição clínica, documento, fotografia íntima ou histórico detalhado, um formulário ou sistema com acesso controlado costuma oferecer melhor estrutura. O WhatsApp envia o link, confirma o recebimento e informa o próximo passo.
O artigo 9º da LGPD garante acesso facilitado a informações sobre finalidade, duração, controlador, contato, compartilhamentos e direitos do titular. A mensagem de privacidade não precisa ser um contrato enorme, mas precisa permitir que a pessoa compreenda o tratamento antes de continuar. [C06]
Uma abertura útil identifica a clínica, explica o objetivo do canal, aponta o aviso de privacidade e orienta a não enviar detalhes clínicos desnecessários pelo chat. Se um dado sensível chegar espontaneamente, a equipe não deve copiá-lo para várias ferramentas. Ela encaminha para o fluxo adequado e limita o que permanece na conversa.
Quem pode ver precisa estar decidido antes
A clínica deve distinguir acesso necessário de acesso conveniente. Recepção pode precisar ver nome, contato, horário e pendência. O profissional responsável pode precisar da anamnese e do registro clínico. Agência de marketing não precisa receber ficha de saúde. Um fornecedor de automação não ganha autorização ilimitada só porque integra o atendimento.
A ANPD descreve controle de acesso por três processos: autenticação, autorização e auditoria. Em linguagem direta, é saber quem entrou, o que essa pessoa podia fazer e o que efetivamente fez. A orientação também desencoraja contas e senhas compartilhadas. [C07]
Isso pode começar pequeno: conta individual, autenticação em dois fatores, permissões por função, retirada de acesso quando alguém sai, revisão periódica e registro dos sistemas usados. Fotos não devem morar apenas na galeria de um celular. Fichas em papel também precisam de armário, chave, rotina de empréstimo e descarte seguro.
A ANPD oferece um modelo simplificado de registro de operações para agentes de pequeno porte. Ele reúne contato, categorias de titulares e dados, compartilhamentos, medidas de segurança, período de armazenamento, processo, finalidade e hipótese legal. Uma clínica pequena pode começar por esse mapa sem criar uma estrutura corporativa desproporcional. [C08]
Prazo de guarda não pode ser copiado de outra profissão
Não existe um único prazo da LGPD para toda anamnese, foto ou conversa. A retenção pode depender de obrigação legal ou regulatória, exercício de direitos, natureza do serviço, conselho profissional e finalidade. O prazo aplicável a prontuário médico não deve ser transferido automaticamente para qualquer atividade de estética.
A clínica precisa separar categorias. Registros necessários ao cuidado ou a uma obrigação podem permanecer pelo prazo justificável. Dados de marketing, cópias duplicadas, conversas exportadas e imagens não utilizadas não precisam seguir a mesma regra. Cada categoria recebe um evento de revisão, como fim do atendimento, revogação, encerramento contratual ou vencimento do prazo definido.
Descarte também inclui fornecedores e backups dentro dos limites técnicos e legais. O contrato com plataforma, agência e operador deve dizer como ocorre devolução, eliminação, retenção e resposta a pedidos. Uma planilha simples de sistemas e responsáveis já mostra onde a mesma foto foi replicada.
E se a foto ou a ficha for enviada para a pessoa errada?
Primeiro, a equipe contém o problema, preserva evidências e informa o responsável interno. Depois identifica quais dados foram afetados, quantas pessoas, quem teve acesso, quais riscos existem e quais medidas já foram tomadas. Apagar mensagens sem registrar o ocorrido pode destruir informações necessárias para avaliar o incidente.
Pela regulamentação da ANPD, o controlador comunica a Autoridade e os titulares em até três dias úteis quando o incidente confirmado com dados pessoais puder causar risco ou dano relevante. Nem todo erro precisa ser comunicado, mas todo incidente deve ser avaliado. O operador deve informar o controlador sem demora injustificada e fornecer os dados necessários. [C09]
O prazo curto exige nomes e canais definidos antes da crise. Quem decide? Quem fala com a plataforma? Onde estão os contatos dos titulares? Quem redige uma comunicação clara? A clínica não precisa improvisar essas respostas enquanto tenta entender o que aconteceu.
Um plano prático para sair do improviso
Na primeira semana, liste os dados que entram por formulário, papel, WhatsApp, agenda, câmera, site e redes sociais. Na segunda, ligue cada item a uma finalidade e a uma hipótese legal com apoio profissional quando necessário. Na terceira, revise acesso, armazenamento, fornecedores e descarte. Na quarta, teste pedido de acesso, revogação de imagem e resposta a um envio incorreto.
O resultado não é uma pasta cheia de termos. É uma operação capaz de responder perguntas simples: quem controla o dado, quem opera, por que ele existe, quem acessou, para onde foi e quando será revisto.
Clínicas pequenas podem usar documentos simples. O que não pode ser simplificado é a correspondência entre o que foi informado e o que realmente acontece. Um aviso de privacidade bonito não protege uma ficha esquecida no balcão nem uma foto espalhada em celulares pessoais.
Limites da pesquisa
Esta matéria não define um prazo de retenção único para esteticistas e profissionais de micropigmentação, porque o período depende da profissão, da natureza do registro e das normas aplicáveis ao caso.
Esta matéria não afirma que uma resposta no WhatsApp seja sempre um consentimento válido. A prova depende do conteúdo apresentado, da identificação, da liberdade de escolha, da especificidade e da qualidade do registro.
As regras do CFM citadas tratam de publicidade médica. Profissionais não médicos precisam verificar o conselho, a profissão e o enquadramento aplicáveis à própria atividade.
Uma fotografia comum não é automaticamente dado biométrico. Sua classificação depende da informação revelada, da possibilidade de identificar a pessoa e de eventual tratamento técnico voltado à identificação única.
Este conteúdo é informativo e não substitui análise jurídica, do encarregado ou do responsável técnico sobre a operação concreta da clínica.
Proteção de dados é organização do cuidado
LGPD não deve aparecer apenas na assinatura de um termo. Ela precisa acompanhar a informação desde o momento em que entra até a revisão, eliminação ou preservação justificada. Quanto mais cedo a finalidade é definida, menos cópias desnecessárias surgem e mais fácil fica explicar a operação à paciente.
Anamnese serve ao cuidado. Dados de agenda servem à operação. Imagem publicitária serve à divulgação. WhatsApp é um canal, não uma hipótese legal. Quando essas fronteiras ficam claras, a clínica reduz risco, melhora o atendimento e deixa de depender de um documento genérico que ninguém consegue cumprir.
A pergunta final é simples: se a paciente pedir hoje uma explicação sobre sua foto, sua ficha e sua conversa, a clínica consegue responder com clareza e prova? Se a resposta ainda for não, esse é o ponto certo para começar.