Dados de paciente no WhatsApp: o que a LGPD pede da clínica
Número da clínica, conteúdo mínimo no lembrete, quem acessa as conversas, exames recebidos, pedido para parar e uma política escrita para a recepção.
A LGPD não proíbe o WhatsApp na clínica. Ela pede que a clínica use o canal com finalidade clara, mande o mínimo de dados necessário, controle quem acessa as conversas e consiga demonstrar esses cuidados. Na prática: número da clínica, nada de dado clínico no lembrete, acesso individual e regra escrita para exames e pedidos.
O que a LGPD diz que se aplica ao WhatsApp?
A lei não fala de aplicativo nenhum, mas os princípios dela valem para qualquer conversa com paciente. A Lei 13.709/2018 chama de tratamento toda operação com dados pessoais, incluindo recepção, transmissão e armazenamento (art. 5º, X). Uma conversa de WhatsApp com paciente é tratamento.
Três princípios do art. 6º pesam mais no dia a dia:
- Finalidade (inciso I): a conversa existe para agendar, confirmar e orientar. Usar o mesmo número para outra coisa precisa de cuidado.
- Necessidade (inciso III): mandar o mínimo de dados para cumprir essa finalidade.
- Segurança (inciso VII): medidas técnicas e administrativas contra acesso não autorizado e vazamento.
Somam-se a isso a definição de dado sensível, que inclui o dado referente à saúde (art. 5º, II), e o dever de adotar medidas de segurança (art. 46). A lei chama de controlador quem toma as decisões sobre o tratamento (art. 5º, VI), e na clínica essas decisões são da gestão. Por isso o tema é decisão de sócio, não só da recepção.
Que dados podem ir em uma mensagem para o paciente?
O lembrete precisa de data, horário, nome da clínica e endereço. Especialidade, procedimento, resultado e diagnóstico não precisam estar ali e podem expor o paciente para quem vê a tela do celular dele.
| Mensagem | Pode conter | Evite |
|---|---|---|
| Lembrete de consulta | Data, horário, clínica, endereço, pedido de confirmação | Especialidade, procedimento, nome do exame |
| Remarcação | Novas opções de horário | Motivo clínico da remarcação |
| Resultado disponível | Aviso de que está pronto e como retirar | O resultado no corpo da mensagem |
| Orientação de preparo | Instrução prática combinada com o profissional | Dados de outros pacientes, prints de agenda |
| Cobrança | Que existe um pagamento em aberto e o canal para resolver | Dados bancários completos do paciente |
Exemplo de lembrete neutro (nomes fictícios):
"Olá, Ana. Lembrete do seu horário na Clínica Exemplo amanhã, às 14h, na Rua das Flores, 100. Use os botões abaixo para confirmar ou pedir outro horário."
Mais modelos no texto sobre mensagem de confirmação de consulta.
E quando o paciente manda exame, foto ou documento?
Quando o paciente envia, a clínica passa a guardar aquele dado e precisa decidir onde ele fica. O caminho mais seguro é levar o arquivo para o prontuário ou cadastro no sistema, e não deixá-lo solto na galeria de um celular.
Roteiro para a recepção:
- Agradeça e confirme que o arquivo chegou.
- Salve no cadastro ou prontuário do paciente, no sistema da clínica.
- Não encaminhe para grupos nem para o celular pessoal do profissional.
- Se o aparelho baixar arquivos sozinho, ajuste para não salvar na galeria.
- Se o paciente mandar documento que a clínica não precisa, informe que não é necessário.
A política do WhatsApp Business orienta a não pedir nem divulgar números completos de documentos de identidade e de contas financeiras pelo aplicativo. Para pagamentos, use outro canal.
Por que o número deve ser da clínica e não de uma pessoa?
Com o número de uma pessoa, a clínica não controla quem acessa as conversas nem o que acontece com elas quando essa pessoa sai. Um histórico de pacientes num celular pessoal é dado sensível fora do alcance da clínica.
Os riscos mais comuns: troca de aparelho sem apagar conversas, celular perdido, ex-funcionária com o histórico, família que usa o mesmo aparelho. O texto WhatsApp da clínica no celular pessoal detalha como sair desse modelo.
O que a política do WhatsApp exige além da LGPD?
A política do WhatsApp Business tem regras próprias que se somam à lei. Duas afetam a rotina:
- Permissão para contatar: a empresa só pode iniciar contato com quem forneceu o número e deu permissão para receber mensagens dela. Registre no cadastro como e quando o paciente aceitou receber mensagens.
- Pedido para parar: a empresa deve respeitar quem pede para deixar de receber comunicações, dentro ou fora do WhatsApp. Marque no cadastro e pare os envios.
Sobre saúde, a política pede que o WhatsApp não seja usado para enviar ou solicitar informação de saúde quando a lei aplicável proibir. Isso reforça a regra do conteúdo mínimo.
Como transformar isso em regra escrita?
Escreva uma página só, que a recepção consiga consultar no meio do expediente. Modelo de política de WhatsApp da clínica:
- Número: só o número oficial da clínica, com acesso individual.
- Conteúdo: lembretes e avisos sem especialidade, procedimento ou resultado.
- Arquivos recebidos: vão para o sistema e não ficam no aparelho.
- Grupos: nenhum grupo com pacientes.
- Terceiros: nada sobre um paciente para outra pessoa sem autorização registrada.
- Pedido para parar: atendido e registrado no mesmo dia.
- Pedidos sobre dados: encaminhados ao encarregado da clínica.
Revise a política com o jurídico ou o encarregado de dados antes de aplicar. Este texto descreve boas práticas de operação e não é aconselhamento jurídico. Para os cuidados no balcão, veja LGPD na recepção da clínica.
Onde o Elim entra?
O Elim é Tech Provider da Meta e envia os lembretes pela API oficial do WhatsApp, no número da clínica e não no de uma pessoa. Os lembretes saem 24 h e 1 h antes da consulta, mais até três lembretes com a antecedência que a clínica escolher, como 72 h antes, e a agenda atualiza sozinha com a resposta do paciente. A equipe atende numa caixa de entrada dentro do Elim, com perfis de acesso por cargo, histórico de cada paciente e auditoria das ações. Mais sobre o canal em API oficial do WhatsApp para clínica.
Em resumo
- A LGPD não proíbe o WhatsApp, mas exige finalidade, necessidade e segurança.
- Lembrete leva data, horário e local, sem especialidade nem procedimento.
- Arquivos do paciente vão para o sistema, não para a galeria.
- O número é da clínica, com acesso individual.
- Permissão e pedido para parar ficam registrados no cadastro.
Perguntas frequentes
Posso mandar resultado de exame pelo WhatsApp?
Depende da regra da clínica, validada com o jurídico ou o encarregado. O mais prudente é avisar que o resultado está disponível e entregar o conteúdo por um canal combinado, sem dado clínico no corpo da mensagem.
O lembrete de consulta pode citar a especialidade ou o procedimento?
Evite. Data, horário, nome da clínica e endereço resolvem a confirmação. A especialidade ou o procedimento podem revelar dado de saúde para quem vê a tela do celular do paciente.
Posso criar um grupo de WhatsApp com pacientes?
Não é recomendável. Num grupo, cada participante vê o número e o nome dos outros, o que revela quem é paciente da clínica. Para avisos coletivos, mande mensagens individuais.
O WhatsApp no celular pessoal da recepcionista é um problema de LGPD?
É um risco de segurança e de controle. A clínica perde a visão de quem acessa as conversas, e o histórico vai embora se a pessoa sair. O número deve ser da clínica, com acesso controlado.
Quem deve ter acesso às conversas com pacientes?
Só quem atende o paciente, cada um com login próprio. Assim a clínica sabe quem leu e respondeu cada conversa e corta o acesso de quem sai da equipe.
Faça o diagnóstico da sua agenda. A equipe do Elim mostra como fica a confirmação pelo número oficial da clínica, com registro de cada ação. Fazer o diagnóstico
Fontes
- Lei Geral de Proteção de Dados, Lei 13.709/2018 (Planalto) (consultado em outubro de 2026)
- Política do WhatsApp Business (consultado em outubro de 2026)
- ANPD (consultado em outubro de 2026)
