WhatsApp e agenda da clínica: como guardar os dados dos pacientes com segurança
A LGPD não diz qual aplicativo usar. Ela exige que a clínica adote medidas de segurança, técnicas e administrativas, para proteger os dados dos pacientes de acesso não autorizado, perda, alteração ou comunicação indevida (art. 46). Na prática, isso significa decidir quem acessa o quê, onde a informação fica guardada e como ela sai da clínica. E, se houver incidente com risco relevante, o controlador precisa comunicar o titular e a autoridade nacional, dentro de prazo (art. 48). Este texto fica nesses dois deveres: segurança e aviso de incidente.
Pontos-chave
- A LGPD trata do uso de dados pessoais por pessoa natural ou por pessoa jurídica, inclusive em meio digital (art. 1º).
- A lei não aponta aplicativo nem sistema: ela cobra medidas de segurança, técnicas e administrativas (art. 46).
- Técnica é a ferramenta. Administrativa é a regra interna que diz quem acessa o quê.
- A segurança deve ser pensada desde a concepção do serviço até a execução (art. 46, § 2º).
- O § 1º do art. 46 dá atenção especial aos dados pessoais sensíveis: para eles, a autoridade nacional pode fixar padrões técnicos mínimos.
- Celular de recepção com conta compartilhada é um ponto fraco que aparece com frequência na rotina.
- Em incidente com risco ou dano relevante, o controlador comunica titular e autoridade nacional (art. 48).
- Essa comunicação tem prazo e canal definidos pela autoridade nacional (art. 48, § 1º): confirme o procedimento no canal oficial dela antes de precisar dele.
- Os seis itens do § 1º são o conteúdo mínimo da lei, não um roteiro completo: a autoridade nacional pode exigir mais.
- Base legal para tratar dado de saúde e consentimento ficam fora deste texto.
Como a clínica deve guardar os dados dos pacientes?
A resposta curta: de um jeito em que só quem precisa consiga acessar, e em que seja possível saber quem acessou. O art. 46 da LGPD cobra dos agentes de tratamento medidas de segurança, técnicas e administrativas, contra acesso não autorizado e contra perda, alteração ou comunicação indevida dos dados. Na clínica, isso alcança os dados dos pacientes onde eles estiverem: agenda, ficha, celular e computador.
Um recorte antes de seguir. Este artigo trata do dever de segurança (art. 46) e do aviso de incidente (art. 48). O § 1º do art. 46 dá atenção especial aos dados pessoais sensíveis: para eles, a autoridade nacional pode fixar padrões técnicos mínimos. Quais bases legais autorizam tratar dado de saúde, e quando entra o consentimento, é assunto de outro texto.
O texto da lei não lista tecnologias. Isso não é brecha, é escolha: a clínica define o arranjo e precisa conseguir mostrar que ele existe e que funciona no dia a dia.
Por isso vale escrever a rotina em uma página. Uma possibilidade, a critério de cada clínica:
- Cada pessoa da equipe com acesso próprio, sem senha coletiva.
- Acesso retirado no mesmo dia em que alguém sai da equipe.
- Um lugar só para ficha, evolução e foto, não espalhado em celulares.
- Aparelhos da clínica com bloqueio de tela e sem uso pessoal.
- Cópia de segurança dos registros, com responsável definido.
- Registro de quem exporta lista de pacientes e para quê.
A clínica pode usar o WhatsApp para falar com o paciente?
A LGPD não trata de aplicativo de mensagem. O que ela cobra é controle sobre o dado, em qualquer canal. Então a pergunta certa não é se pode usar, é quem consegue ler aquela conversa e onde os arquivos param depois.
Uma conversa de clínica guarda nome, telefone, procedimento, horário e às vezes imagem do paciente. Quando a conta fica em um celular compartilhado, ou vinculada ao aparelho pessoal de quem atende, a clínica perde o controle de quem vê o que.
Dois hábitos merecem atenção na rotina: foto de acompanhamento que fica na galeria do celular pessoal e grupo com vários pacientes, que mostra o telefone de todos para todos. Nos dois casos, o dado saiu do seu controle sem ninguém decidir isso.
Vale separar os tipos de mensagem. Confirmar horário é uma coisa. Enviar documento clínico, como resultado de exame, é outra: aí entram também o sigilo do profissional de saúde e as regras do conselho de classe dele, que este texto não cobre. Antes de transformar esse envio em rotina, confirme o ponto com o conselho do profissional.
Quem deve ter acesso à agenda e à ficha do paciente?
Só quem precisa daquela informação para executar a tarefa. A agenda parece inofensiva, mas nome, horário e procedimento marcado já contam bastante sobre a pessoa.
Na prática, separe níveis: a recepção precisa de nome, contato e horário. Quem atende precisa da ficha clínica. Marketing e estagiário raramente precisam de qualquer um dos dois.
Essa divisão é exatamente a parte administrativa que o art. 46 menciona. Ela anda junto com a parte técnica, porque a lei cobra as duas. Escrever a regra ajuda, mas só protege se for cumprida no dia a dia e acompanhada das medidas técnicas aptas ao risco de cada clínica.
A LGPD vale para clínica pequena e para profissional autônomo?
O art. 1º diz que a lei se aplica ao tratamento de dados pessoais, inclusive nos meios digitais, feito por pessoa natural ou por pessoa jurídica de direito público ou privado. Clínica pequena e profissional que atende sozinho estão nesse alcance.
O mesmo artigo registra o objetivo: proteger liberdade, privacidade e o livre desenvolvimento da personalidade. E o art. 2º lista fundamentos como respeito à privacidade, autodeterminação informativa e inviolabilidade da intimidade, da honra e da imagem.
Para quem toca uma clínica com três cadeiras ou atende sozinho em sala alugada, a leitura prática é direta: o dever de cuidar do dado existe. O que varia é como cumprir. Antes de copiar a estrutura de uma rede grande, confirme o que a autoridade nacional exige de um negócio do seu porte, porque ela pode fixar padrões e regras próprias (art. 46, § 1º).
O que fazer se o celular da clínica for perdido ou os dados vazarem?
O art. 48 impõe ao controlador comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. O § 1º lista o conteúdo mínimo em seis itens: natureza dos dados afetados, informações sobre os titulares envolvidos, medidas técnicas de proteção já usadas, riscos do incidente, motivos da demora quando não for imediata e medidas para reverter ou mitigar o prejuízo. Atenção ao no mínimo do texto: é um piso, não um roteiro pronto. A autoridade nacional define como a comunicação é feita e pode exigir mais do que esses seis itens, com requisitos distintos para o aviso à autoridade e para o aviso ao paciente.
A autoridade nacional avalia a gravidade e pode determinar providências, como ampla divulgação do fato em meios de comunicação e medidas de mitigação. No juízo de gravidade, entra a comprovação de que foram adotadas medidas técnicas que tornem os dados ininteligíveis para terceiros não autorizados (art. 48, § 3º).
Sobre prazo, o art. 48, § 1º diz que a comunicação é feita em prazo razoável, conforme definido pela autoridade nacional. Leia isso como prazo a cumprir, não como assunto em aberto: quem fixa o prazo e o canal de aviso é a autoridade nacional. Deixe o passo a passo dessa comunicação pronto no seu plano de resposta e confirme o procedimento no canal oficial da autoridade nacional. Descobrir isso no dia do problema é tarde.
O combinado interno serve para cumprir esse prazo, não para substituí-lo. Defina quem a equipe avisa primeiro, quem levanta o que foi exposto e quem fala com o paciente.
O que olhar antes de contratar um sistema de agenda ou prontuário?
O art. 46, § 2º diz que as medidas de segurança devem ser observadas desde a fase de concepção do produto ou do serviço até a sua execução. Traduzido para a clínica: a conversa sobre proteção acontece na escolha do sistema, não depois do susto.
Antes de assinar, pergunte ao fornecedor quem da equipe dele acessa seus dados, como o sistema separa perfis de acesso, o que acontece com a base se você trocar de fornecedor e o que ele faz quando ocorre um incidente, inclusive em quanto tempo ele te avisa. Peça por escrito, no contrato.
Vale lembrar que o § 1º do art. 46 permite à autoridade nacional fixar padrões técnicos mínimos, considerando a natureza das informações, as características do tratamento e o estado da tecnologia, com atenção especial a dados pessoais sensíveis.
Conclusão
Guardar dados de paciente junta gestão e tecnologia. A lei pede medidas técnicas e administrativas aptas, e nenhuma sozinha garante o resultado: o que basta depende dos riscos, dos sistemas usados e de a rotina funcionar de verdade no dia a dia. A parte que mais depende de você é definir quem acessa, onde a informação fica e o que acontece quando alguém sai da equipe. Escreva essa rotina em uma página, revise a cada semestre e cheque se ela está sendo cumprida. Em caso de incidente com risco relevante, o dever de comunicar já está na lei, e o prazo e o canal vêm da regra da autoridade nacional (art. 48, § 1º). Confirme o procedimento no canal oficial da autoridade nacional antes de precisar dele. Tiago Ribeiro Soares, OAB/SP 427.191, sócio fundador do TRS Sociedade de Advogados.
Fundamentação
- Lei nº 13.709/2018 (LGPD), art. 1º e parágrafo único: Dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger liberdade, privacidade e o livre desenvolvimento da personalidade. Suas normas gerais são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios.
- Lei nº 13.709/2018 (LGPD), art. 2º: Lista fundamentos da proteção de dados pessoais, entre eles o respeito à privacidade, a autodeterminação informativa, a liberdade de expressão, de informação, de comunicação e de opinião e a inviolabilidade da intimidade, da honra e da imagem.
- Lei nº 13.709/2018 (LGPD), art. 46, caput e §§ 1º e 2º: Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado ou ilícito. A autoridade nacional pode dispor sobre padrões técnicos mínimos, especialmente no caso de dados pessoais sensíveis. As medidas devem ser observadas desde a concepção do produto ou do serviço até a sua execução.
- Lei nº 13.709/2018 (LGPD), art. 48, caput e §§ 1º a 3º: O controlador deve comunicar à autoridade nacional e ao titular incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável definido pela autoridade nacional, com conteúdo mínimo em seis incisos. A autoridade verifica a gravidade e pode determinar providências, como ampla divulgação do fato e medidas de mitigação. Na avaliação da gravidade, considera-se a comprovação de medidas técnicas que tornem os dados ininteligíveis para terceiros não autorizados.
- Lei nº 13.853, de 2019: Deu a redação da denominação Lei Geral de Proteção de Dados Pessoais (LGPD) e incluiu o parágrafo único do art. 1º.
Fonte primária: LEI Nº 13.709, DE 14 DE AGOSTO DE 2018, Lei Geral de Proteção de Dados Pessoais (LGPD) (Presidência da República, Secretaria-Geral, Subchefia para Assuntos Jurídicos).
Ainda em dúvida?
posso mandar resultado de exame pelo whatsapp do paciente?
A LGPD não escolhe canal por você. O que ela cobra é segurança, técnica e administrativa, contra acesso não autorizado e comunicação indevida (art. 46). Só que a LGPD não é a única regra nessa conversa: resultado de exame é documento clínico, e também entram o sigilo do profissional de saúde e as normas do conselho de classe dele. Isso muda conforme o profissional e o tipo de documento, e este texto não cobre esse ponto, então confirme com o conselho antes de criar a rotina. No que depende da LGPD, o cuidado é controlar quem recebe o dado: conferir o número, enviar só a quem tem legitimidade para receber, o próprio paciente ou quem o represente de forma autorizada, e definir onde o arquivo fica depois. Isso é boa prática de segurança, não um checklist legal fechado, e não dispensa verificar a base legal e o sigilo que cada caso exige.
quanto tempo a clínica precisa guardar os dados do paciente?
Prazo de guarda não é tema do dever de segurança do art. 46 nem do aviso de incidente do art. 48. Outras normas podem alcançar registro de saúde e fixar prazo mínimo de guarda, inclusive para prontuário e nas regras do conselho de classe, e isso pede verificação caso a caso. O que já dá para fazer hoje é definir por escrito um critério de guarda e de descarte, dizer quem responde por ele e seguir esse critério, sempre respeitando os prazos obrigatórios dessas outras normas. Antes de descartar qualquer registro de paciente, confirme que nenhum prazo mínimo ainda está em curso. Esse cuidado vale em especial para o prontuário.
preciso avisar a autoridade nacional em todo vazamento de dados?
O art. 48 fala em incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Nessa situação, o controlador comunica a autoridade nacional e o titular. Os seis itens do § 1º são o conteúdo mínimo que a lei exige, não um roteiro completo: a própria lei diz no mínimo, e a autoridade nacional define como a comunicação é feita e pode pedir mais, de forma diferente para a autoridade e para o paciente. E existe prazo a cumprir, definido pela autoridade nacional, não pelo combinado interno da clínica. Confirme o procedimento atual no canal oficial da autoridade nacional, de preferência antes de precisar dele. Registre internamente, desde a primeira hora, o que aconteceu, o que foi exposto e o que foi feito.
qual a multa por vazar dados de paciente na clínica?
Este artigo trata do dever de segurança (art. 46) e do aviso de incidente (art. 48), não das sanções. A LGPD tem um capítulo próprio sobre sanções administrativas, aplicadas pela autoridade nacional caso a caso, e é lá que estão os parâmetros. Se o seu objetivo é medir risco, a pergunta prática é outra: a sua clínica conseguiria mostrar hoje quais medidas de segurança já adota e quem tem acesso a quê?
Assessoria trabalhista para clínicas e consultórios
Contratação da equipe, escalas, NR-32, insalubridade e a rotina com os profissionais.
A sua empresa passa por isso?
Mande um resumo da situação e os documentos que tiver. O sócio responsável lê e diz qual caminho faz sentido, inclusive quando a resposta é não fazer nada.
Falar com o escritório
Sócio fundador do TRS Sociedade de Advogados · OAB/SP 427.191
Graduado pela FMU. Conduz as frentes empresarial e de contratos do escritório — a parte do trabalho que acontece antes de existir processo.
Conteúdo jurídico informativo, nos termos do Provimento nº 205/2021 do Conselho Federal da OAB. Não constitui consulta nem análise de caso concreto e não promete resultado. Situações concretas dependem dos documentos.
