O que a lei diz
Pode falar de dados de paciente pelo WhatsApp? O que a lei diz
Resposta rápida
Pode, com regra. Dado sobre a saúde de uma pessoa é dado pessoal sensível na Lei Geral de Proteção de Dados, a Lei 13.709 de 2018, artigo 5º, inciso II. O artigo 11 diz quando ele pode ser tratado: com consentimento específico e destacado do titular, ou, sem consentimento, para a tutela da saúde, em procedimento feito por profissionais de saúde ou serviços de saúde.
Esta página é informação, não parecer jurídico. Ela mostra o texto da lei, diz o que Certu faz com os dados e aponta o que a clínica decide. Antes de mudar contrato, aviso ou política, leve isso ao advogado da clínica.
A confusão mais comum é achar que a lei proíbe WhatsApp na clínica. Ela não proíbe. Ela diz que dado de saúde tem um cuidado maior que dado comum, e descreve qual.
O que a lei chama de dado sensível
O artigo 5º, inciso II, lista o que é dado pessoal sensível: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, e dado genético ou biométrico, quando ligados a uma pessoa.
Na conversa de uma clínica, quase tudo cai aí. O nome do paciente sozinho é dado comum; o nome do paciente numa conversa sobre a consulta dele é dado de saúde, porque revela que aquela pessoa procurou atendimento.
É por isso que o cuidado com a lista de transmissão, o grupo de pacientes e o print compartilhado é maior do que numa loja.
Qual artigo permite a clínica tratar esses dados
O artigo 11 é o que interessa. Ele diz que o tratamento de dado pessoal sensível pode acontecer em duas situações gerais: quando o titular consente de forma específica e destacada, para finalidades específicas; ou, sem consentimento, nas hipóteses do inciso II, entre elas a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
Traduzindo para a clínica: atender, marcar, remarcar e cuidar do paciente tem base na lei sem precisar de um termo assinado para cada mensagem. Usar a mesma lista para mandar promoção de um procedimento estético é outra finalidade, e outra conversa.
O artigo 11 também tem um limite que pega clínica desavisada: no parágrafo 4º, a comunicação ou o uso compartilhado de dado de saúde para obter vantagem econômica é vedado, com exceções que a própria lei descreve.
Quem é o controlador e quem é o operador
| Papel | Quem é | O que decide |
|---|---|---|
| Controlador | A clínica | Para que os dados são usados, por quanto tempo e com base em quê |
| Operador | Certu | Trata os dados conforme a instrução da clínica e o contrato |
| Titular | O paciente | Pode pedir acesso, correção e eliminação |
No celular, arraste a tabela para o lado.
Esse desenho está no artigo 39, e é o que Certu descreve na própria política de privacidade: a clínica é a controladora dos dados dos pacientes dela, e Certu atua como operadora.
Consequência prática: quando um paciente pede para apagar os dados dele, quem responde é a clínica. Certu apoia, mas não decide no lugar dela.
O que Certu faz com os dados da conversa
- Guarda telefone, nome de perfil e o conteúdo das mensagens, na medida necessária para operar o atendimento e o registro de contatos.
- Envia o texto da conversa e o Cérebro aos fornecedores de IA para gerar cada resposta, e só o necessário para aquela resposta.
- Não treina modelo de IA com as conversas dos pacientes da clínica.
- Não usa o conteúdo das conversas para marketing próprio nem para medir anúncio de Certu.
- Guarda pelo tempo em que os dados são necessários, ou pelo tempo que a clínica mandar; no fim do contrato, apaga ou tira o que identifica alguém.
- Avisa a clínica e a autoridade nacional nos prazos da lei se houver incidente de segurança com risco relevante, como manda o artigo 48.
O que a clínica precisa fazer do lado dela
- Diga, em algum lugar visível, que o atendimento inicial no WhatsApp é feito por sistema automatizado. Transparência é princípio da lei, artigo 6º, inciso VI.
- Escreva a finalidade de cada uso. Marcar consulta é uma. Mandar campanha de procedimento é outra, e essa pede consentimento.
- Separe quem da equipe vê o quê. Cada pessoa com login próprio, e ninguém respondendo paciente por aplicativo pessoal.
- Não mande resultado de exame, laudo ou diagnóstico por mensagem sem definir a regra da clínica para isso.
- Tenha uma resposta pronta e um responsável para o pedido de acesso, correção ou eliminação, que é direito do artigo 18.
- Revise o contrato com quem trata dados por você, porque o artigo 39 amarra o operador à sua instrução.
As medidas de segurança técnicas e administrativas são exigidas dos dois lados pelo artigo 46, e o registro das operações de tratamento está no artigo 37. O jeito de entregar resultado sem escorregar está em mensagem de resultado de exame pronto.
Perguntas frequentes
A lei proíbe a clínica de usar WhatsApp?
Não. Ela trata dado de saúde como dado sensível e exige base legal, finalidade definida, transparência e segurança. O artigo 11 descreve as hipóteses de tratamento.
Preciso de um termo assinado para cada mensagem?
O artigo 11 prevê o tratamento sem consentimento para a tutela da saúde, em procedimento feito por profissionais e serviços de saúde. Mandar campanha comercial é outra finalidade e pede consentimento específico e destacado.
Posso mandar resultado de exame pelo WhatsApp?
A lei não cria uma proibição específica de canal, mas o dado é sensível e exige segurança compatível. Defina a regra da clínica, confirme a identidade de quem recebe e prefira o caminho que a clínica consiga controlar.
Quem responde se vazar?
A clínica é a controladora e responde perante o paciente; o operador responde nos termos da lei e do contrato. Incidente com risco relevante é comunicado nos prazos do artigo 48.
A IA lê a conversa do paciente?
O texto da conversa e o Cérebro são enviados ao fornecedor de IA para gerar a resposta. Esse conteúdo não é usado para treinar modelo.
Isso aqui vale como consultoria jurídica?
Não. É o texto da lei e a descrição do que Certu faz. A decisão sobre contrato, aviso e política é da clínica, com o advogado dela.
Quer que a IA faça isso no seu WhatsApp?
Certu é um software de automação com IA para pequenas e médias empresas brasileiras. A IA atende no WhatsApp da clínica, marca na agenda e registra cada conversa. O plano Start custa R$ 349 por mês, sem fidelidade. Teste com 50 mensagens grátis, sem cartão. Você só paga quando escolher um plano.
Ver como Certu trata os dados da clínicaVocê conecta o número que a clínica já usa.