Blog
LGPD e WhatsApp no consultório médico: checklist de privacidade para clínicas
O WhatsApp pode facilitar o contato com pacientes, mas conversas clínicas frequentemente contêm informações pessoais sensíveis: sintomas, medicamentos, fotografias, exames e detalhes de histórico de saúde. Por isso, organizar o atendimento exige mais do que decidir quem responde às mensagens. Também é necessário definir como esses dados são acessados, utilizados, armazenados e compartilhados.
A Lei Geral de Proteção de Dados Pessoais (LGPD) considera dados referentes à saúde como dados pessoais sensíveis e estabelece regras específicas para seu tratamento. A adequação depende do contexto e da hipótese legal aplicável; não existe uma única configuração técnica que torne qualquer uso automaticamente regular. Este material é informativo e não substitui orientação jurídica especializada.
1. Mapeie quais dados entram pelo WhatsApp
Comece identificando o que a clínica recebe e para qual finalidade. Uma mensagem pode conter nome, telefone, informações sobre sintomas, imagem clínica ou dados de terceiros, como um responsável que escreve em nome de uma criança.
Para cada categoria, pergunte:
- O dado é necessário para atender à solicitação?
- Qual é a finalidade do tratamento?
- Quem precisa ter acesso?
- Onde a informação fica armazenada?
- Ela precisa ser registrada no prontuário ou em outro sistema?
- Por quanto tempo deve ser mantida, conforme as obrigações aplicáveis?
- O que acontece quando a finalidade é concluída ou o dado deixa de ser necessário?
O objetivo é evitar coleta e circulação de informações sem propósito definido.
2. Defina papéis e responsabilidades
A clínica deve entender quais entidades decidem as finalidades e os meios essenciais do tratamento e quais atuam sob instruções de outra parte. Esses papéis não devem ser presumidos apenas pelo nome comercial do fornecedor; precisam ser analisados conforme as atividades efetivas e os contratos.
Ao contratar uma solução de atendimento ou IA, verifique quais empresas participam do processamento, quais dados recebem, para que os utilizam e quais responsabilidades assumem. Solicite documentação contratual e técnica suficiente para avaliar o fluxo de dados.
3. Controle o acesso às conversas
Nem toda pessoa da equipe precisa ver todo o histórico clínico. Considere permissões por função, autenticação apropriada, remoção de acessos quando alguém deixa a clínica e regras para uso de dispositivos pessoais.
Também é importante ter um processo para lidar com perda de aparelho, credenciais comprometidas, acesso indevido ou envio de informação ao destinatário errado. A equipe precisa saber a quem comunicar o incidente e como preservar os registros relevantes.
4. Evite transformar cada canal em um arquivo paralelo
Mensagens podem continuar no WhatsApp, em dispositivos, em cópias exportadas e em outras plataformas. Sem uma política definida, fica difícil saber qual sistema é a fonte oficial, quem pode acessar cada cópia e quando ela pode ser eliminada.
Defina como informações relevantes para o cuidado serão registradas no sistema apropriado. Estabeleça regras de retenção e descarte para cada categoria, considerando obrigações legais, regulatórias e profissionais. Não apague registros indiscriminadamente nem mantenha dados indefinidamente por conveniência: a política deve ser analisada no contexto da clínica.
5. Avalie fornecedores de automação e IA
Antes de conectar mensagens a uma ferramenta, pergunte:
- Quais dados são enviados ao fornecedor e a eventuais suboperadores?
- Os dados são usados para treinar modelos? Em quais condições e com que controles?
- Onde os dados são processados e armazenados?
- Como funcionam acesso, autenticação, logs e suporte administrativo?
- Quais são os prazos de retenção e os procedimentos de exclusão?
- Como incidentes e solicitações dos titulares são tratados?
- Existe contrato que descreva finalidades, instruções e responsabilidades?
- Como a integração é suspensa e as credenciais são revogadas?
Não confie apenas em expressões como “seguro”, “criptografado” ou “compatível com a LGPD”. Peça explicações verificáveis sobre o fluxo específico contratado.
6. Seja transparente com o paciente
A clínica deve comunicar, de forma apropriada, como funciona o atendimento digital, quais canais são utilizados, quais são os limites da automação e como o paciente pode pedir esclarecimentos. A informação deve refletir o processo real — não prometa monitoramento humano contínuo se ele não existe.
O tratamento de dados precisa ter uma hipótese legal aplicável e respeitar os princípios da LGPD. Consentimento não é uma resposta universal para toda situação; a base apropriada depende da finalidade e do contexto. Dúvidas sobre bases legais, direitos dos titulares e obrigações específicas devem ser avaliadas com assessoria especializada.
7. Tenha um plano para incidentes e indisponibilidade
A clínica deve saber como agir se o sistema ficar fora do ar, se uma mensagem importante não for encaminhada ou se houver suspeita de acesso indevido. O plano precisa definir responsáveis, canais alternativos, critérios de escalonamento e documentação do ocorrido.
No contexto clínico, também é essencial separar a continuidade do atendimento da continuidade tecnológica. O paciente não deve ser induzido a acreditar que uma ferramenta automatizada substitui serviços de urgência. Estabeleça uma orientação clara para situações emergenciais e para períodos em que a equipe não está disponível.
Checklist de privacidade
- O fluxo de dados e suas finalidades foram mapeados.
- A hipótese legal aplicável foi avaliada.
- Papéis e responsabilidades dos fornecedores estão documentados.
- O acesso é limitado às pessoas que precisam dele.
- Existe uma política de retenção, registro e descarte.
- A equipe sabe como relatar incidentes.
- O paciente recebe informações claras sobre o canal e seus limites.
- As integrações foram avaliadas antes de usar dados reais.
- O processo foi revisado com apoio jurídico ou de privacidade quando necessário.
Como avaliar o MediWhats
O MediWhats apresenta foco em privacidade e operação de fluxos clínicos sensíveis, além de integração com sistemas de saúde conforme disponibilidade e configuração. Antes de utilizar dados reais, peça a documentação aplicável sobre o tratamento de dados, os fornecedores envolvidos, os controles de acesso, a retenção, as integrações e os procedimentos de incidentes. A análise deve considerar a configuração efetivamente contratada, não somente a página comercial.
para conhecer o fluxo e esclarecer como os dados são tratados no cenário do seu consultório.
Perguntas frequentes
Posso atender pacientes pelo WhatsApp e cumprir a LGPD?
O uso do canal não determina, por si só, conformidade ou desconformidade. É preciso avaliar finalidade, hipótese legal, transparência, segurança, acesso, retenção, contratos e o tratamento concreto dos dados.
Dados de saúde são dados sensíveis?
Sim. A LGPD inclui dados referentes à saúde na categoria de dados pessoais sensíveis, que possuem regras específicas de tratamento.
Usar uma ferramenta que declara ser compatível com a LGPD resolve a responsabilidade da clínica?
Não automaticamente. A clínica precisa avaliar seu próprio papel, o fluxo concreto, os contratos e as práticas de uso. A declaração do fornecedor é apenas um elemento da análise.
Fontes oficiais
Próximo passo
Agendar uma demonstração do MediWhats