Pode falar de dados de paciente pelo WhatsApp? O que a lei diz

O que a lei chama de dado sensível

O artigo 5º, inciso II, lista o que é dado pessoal sensível: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, e dado genético ou biométrico, quando ligados a uma pessoa.

Na conversa de uma clínica, quase tudo cai aí. O nome do paciente sozinho é dado comum; o nome do paciente numa conversa sobre a consulta dele é dado de saúde, porque revela que aquela pessoa procurou atendimento.

É por isso que o cuidado com a lista de transmissão, o grupo de pacientes e o print compartilhado é maior do que numa loja.

Qual artigo permite a clínica tratar esses dados

O artigo 11 é o que interessa. Ele diz que o tratamento de dado pessoal sensível pode acontecer em duas situações gerais: quando o titular consente de forma específica e destacada, para finalidades específicas; ou, sem consentimento, nas hipóteses do inciso II, entre elas a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

Traduzindo para a clínica: atender, marcar, remarcar e cuidar do paciente tem base na lei sem precisar de um termo assinado para cada mensagem. Usar a mesma lista para mandar promoção de um procedimento estético é outra finalidade, e outra conversa.

O artigo 11 também tem um limite que pega clínica desavisada: no parágrafo 4º, a comunicação ou o uso compartilhado de dado de saúde para obter vantagem econômica é vedado, com exceções que a própria lei descreve.

Quem é o controlador e quem é o operador

No celular, arraste a tabela para o lado.

Esse desenho está no artigo 39, e é o que Certu descreve na própria política de privacidade: a clínica é a controladora dos dados dos pacientes dela, e Certu atua como operadora.

Consequência prática: quando um paciente pede para apagar os dados dele, quem responde é a clínica. Certu apoia, mas não decide no lugar dela.

O que Certu faz com os dados da conversa

• Guarda telefone, nome de perfil e o conteúdo das mensagens, na medida necessária para operar o atendimento e o registro de contatos.
• Envia o texto da conversa e o Cérebro aos fornecedores de IA para gerar cada resposta, e só o necessário para aquela resposta.
• Não treina modelo de IA com as conversas dos pacientes da clínica.
• Não usa o conteúdo das conversas para marketing próprio nem para medir anúncio da Certu.
• Guarda pelo tempo em que os dados são necessários, ou pelo tempo que a clínica mandar; no fim do contrato, apaga ou tira o que identifica alguém.
• Avisa a clínica e a autoridade nacional nos prazos da lei se houver incidente de segurança com risco relevante, como manda o artigo 48.

O que a clínica precisa fazer do lado dela

1. Diga, em algum lugar visível, que o atendimento inicial no WhatsApp é feito por sistema automatizado. Transparência é princípio da lei, artigo 6º, inciso VI.
2. Escreva a finalidade de cada uso. Marcar consulta é uma. Mandar campanha de procedimento é outra, e essa pede consentimento.
3. Separe quem da equipe vê o quê. Cada pessoa com login próprio, e ninguém respondendo paciente por aplicativo pessoal.
4. Não mande resultado de exame, laudo ou diagnóstico por mensagem sem definir a regra da clínica para isso.
5. Tenha uma resposta pronta e um responsável para o pedido de acesso, correção ou eliminação, que é direito do artigo 18.
6. Revise o contrato com quem trata dados por você, porque o artigo 39 amarra o operador à sua instrução.

As medidas de segurança técnicas e administrativas são exigidas dos dois lados pelo artigo 46, e o registro das operações de tratamento está no artigo 37. O jeito de entregar resultado sem escorregar está em mensagem de resultado de exame pronto.

Perguntas frequentes

Quer que a IA faça isso no seu WhatsApp?

Certu é um software de automação com IA para pequenas e médias empresas brasileiras. A IA atende no WhatsApp da clínica, marca na agenda e registra cada conversa. O plano Start custa R$ 349 por mês, sem fidelidade. A equipe da Certu faz a implantação, por R$ 1.000 pagos antes de começar, e cuida da IA toda semana.

Você conecta o número que a clínica já usa.

Só quer o link de agendamento? Ele é grátis, é seu para sempre e não pede cartão. Criar a minha página de agendamento.

Outras perguntas de clínica que Certu respondeu