Nome completo, telefone, data de nascimento, convênio, número da carteirinha, foto do pedido médico e o horário de um exame. Uma única conversa de agendamento pelo WhatsApp pode reunir tudo isso em poucos minutos. Para a Lei Geral de Proteção de Dados, parte dessas informações são dados pessoais sensíveis, porque revelam algo sobre a saúde do paciente.

O WhatsApp facilitou o contato entre clínicas e pacientes, mas também espalhou dados de saúde por celulares, conversas e arquivos sem controle. A adequação à LGPD não impede o uso do canal. Ela exige que a clínica saiba quais dados circulam por ele, com que finalidade, quem tem acesso e o que fazer quando algo dá errado. Os três passos para adequar a clínica à LGPD são o ponto de partida.

O que a LGPD diz sobre dados de saúde

A lei define como dado pessoal sensível, entre outros, o dado referente à saúde (artigo 5º, inciso II). O tratamento desse tipo de dado só pode acontecer nas hipóteses previstas no artigo 11.

Para o atendimento, a hipótese mais relevante é a da tutela da saúde. O artigo 11 permite tratar dados sensíveis sem consentimento quando isso é necessário para procedimento realizado por profissionais de saúde ou serviços de saúde. Isso significa que a clínica não precisa pedir autorização ao paciente para usar o WhatsApp para agendar, lembrar a consulta ou enviar o preparo de um exame.

Isso não dispensa outras obrigações:

• Informação ao paciente: pelo artigo 9º, o titular tem direito a saber a finalidade do tratamento, a forma e a duração, quem é o controlador e com quem os dados são compartilhados.

• Finalidade: os dados coletados para agendar não podem ser usados para outra coisa, como uma campanha de marketing, sem uma base legal própria.

• Segurança: o artigo 46 obriga a clínica a adotar medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e incidentes.

Onde o WhatsApp costuma gerar risco

Celular pessoal da equipe

Quando o atendimento passa pelo celular pessoal de um colaborador, as conversas, fotos de pedidos médicos e documentos ficam em um aparelho que a clínica não controla. Se o colaborador sai da clínica, perde o celular ou tem a conta invadida, os dados vão junto.

Acesso sem controle

Um mesmo número aberto em vários computadores, sem saber quem leu ou respondeu cada conversa, dificulta saber o que aconteceu em caso de incidente.

Dados clínicos por mensagem

Laudos, diagnósticos e conversas sobre o quadro do paciente enviados pelo WhatsApp aumentam a exposição. A mensagem pode ser vista por outra pessoa no celular do paciente ou ficar guardada em um aparelho da clínica sem proteção.

O risco tem consequência prática. Em caso de incidente com dados sensíveis que possa causar dano relevante, a clínica tem 3 dias úteis para comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os pacientes afetados, pela Resolução CD/ANPD nº 15/2024. Todos os incidentes precisam ficar registrados por pelo menos cinco anos, inclusive os que não foram comunicados. Quem quiser aprofundar a proteção técnica pode seguir as estratégias práticas de cibersegurança para clínicas.

Na prática: checklist de LGPD para o WhatsApp da clínica

1. Use um número institucional: o WhatsApp da clínica deve estar em um aparelho ou conta da empresa, nunca no celular pessoal de um colaborador.

2. Defina quem acessa: registre quais pessoas têm acesso ao número e em quais aparelhos ele está conectado. Revise a lista quando alguém entra ou sai da equipe.

3. Separe o que vai por mensagem: agendamento, lembrete, preparo e cobrança podem ir pelo WhatsApp. Laudos e informações clínicas detalhadas devem ser entregues por um canal mais seguro, como um portal com login.

4. Não cite dados de saúde na cobrança: use data e valor como referência, sem nome de procedimento ou especialidade.

5. Informe o paciente: tenha uma política de privacidade acessível, explicando para que os dados são usados, por quanto tempo ficam guardados e com quem são compartilhados.

6. Defina um prazo de guarda: estabeleça por quanto tempo as conversas e arquivos ficam no aparelho, e como são apagados ou transferidos para o prontuário.

7. Tenha um plano de incidente: defina quem avisa quem, e como, se o celular for perdido ou a conta for invadida. O prazo de 3 dias úteis começa a contar quando a clínica fica sabendo do incidente.

Para padronizar o que a equipe escreve em cada situação, inclusive mensagens que não expõem dados de saúde, use modelos de mensagem para o WhatsApp.

Parte desses riscos vem de tarefas que a equipe faz à mão, mensagem por mensagem. Na Tivita, lembretes e cobranças saem automaticamente pelo número da clínica, com textos padronizados. Agende uma demonstração e veja como funciona.

Onde entra a automação do atendimento

A Agente Digital Júlia atende os pacientes pelo WhatsApp da clínica 24 horas por dia, tira dúvidas e marca os horários direto na agenda. Com o atendimento de agendamento concentrado no número institucional, diminui a dependência de celulares pessoais da equipe para essa tarefa.

A IA no atendimento também passou a ter regras do Conselho Federal de Medicina. A Resolução CFM nº 2.454/2026 cria níveis de risco para ferramentas de IA usadas na prática médica. Uma ferramenta de agendamento, sem participação em decisões clínicas, tende aos níveis mais baixos pelos critérios da norma, mas a avaliação formal cabe ao fornecedor ou à clínica. Os detalhes estão no texto sobre o que muda com a regulamentação de IA do CFM.

O que decidir agora

Comece pelo levantamento: quantos números de WhatsApp a clínica usa para falar com pacientes, em quais aparelhos e quem tem acesso a cada um. Se algum deles é pessoal, essa é a primeira mudança.

Se o agendamento e os lembretes ainda dependem de alguém digitando em um celular, veja numa demonstração como a Tivita automatiza o atendimento pelo WhatsApp da clínica.