A LGPD (Lei 13.709/2018) trata dado de saúde como dado pessoal sensível, o nível mais protegido. Clínica de estética produz esse dado o tempo todo: anamnese, procedimento realizado, fotos, mensagens no WhatsApp com queixa e resultado. Não é preciso um departamento jurídico para estar em dia; é preciso saber onde o dado está, por que ele está lá e quem pode ver.
As três perguntas que organizam tudo
- Que dados a clínica coleta? Ficha, prontuário, fotos, conversas, dados de pagamento, cadastro para marketing.
- Para que? Atender (tutela da saúde), cumprir obrigação legal (prontuário, nota fiscal), e marketing (que exige consentimento específico).
- Quem acessa e por quanto tempo? Profissional, recepção, sistema de CRM, contador. Prazo de guarda do prontuário conforme o conselho; dados de marketing enquanto houver consentimento.
Responder isso por escrito, em uma página, é o começo do que a lei chama de mapeamento. Clínica pequena não precisa de mais do que isso para começar.
Prontuário e ficha
O prontuário pode ser em papel ou digital. Digital precisa de senha individual por usuário, backup e registro de quem acessou. A ficha na recepção, aberta na tela para quem passa, é o vazamento mais comum e o mais fácil de resolver: bloqueio de tela e acesso por perfil.
O número da clínica precisa ser da clínica, não do celular pessoal da profissional ou da recepcionista. Quando a funcionária sai, a conversa com a paciente vai junto, e isso é incidente. WhatsApp Business ou integração com CRM resolvem, e ainda registram a conversa no lugar certo.
Sobre reativar paciente antiga por mensagem: se ela foi paciente, o contato para acompanhamento e retorno é parte da relação de cuidado. Já mensagem promocional para quem nunca autorizou é marketing sem base, e a paciente pode reclamar. A regra prática: mensagem sobre o tratamento dela, sim; campanha de desconto em massa, só para quem aceitou receber.
Quer ver onde a sua clínica perde paciente entre o anúncio e o fechamento?A Clínica Labs faz o diagnóstico sem custo. Se for o seu caso, a gente monta junto.
Fazer aplicaçãoFotos
Foto de registro clínico (antes e depois no prontuário) é parte do atendimento e tem base na tutela da saúde. Foto publicada no Instagram é outra coisa: precisa de autorização específica, por escrito, dizendo onde será publicada e por quanto tempo, e a paciente pode revogar. Rosto reconhecível sem autorização de publicação é o pedido de indenização mais comum contra clínica de estética.
Além da LGPD, o conselho da sua categoria tem regra própria de publicidade para imagem de paciente. As duas valem ao mesmo tempo.
Vazou. E agora?
Celular perdido com conversas de pacientes, planilha enviada para a pessoa errada, sistema invadido: tudo é incidente. A regra da ANPD (Resolução CD/ANPD 15/2024) exige comunicar a Autoridade e os titulares em até 3 dias úteis quando o incidente pode causar risco relevante, e dado de saúde quase sempre pode. Ter um roteiro escrito de quem faz o quê nesses três dias é o que separa um susto de um processo.
Por onde começar esta semana
- Trocar o WhatsApp pessoal pelo número da clínica.
- Senha individual e bloqueio de tela em todo computador com dado de paciente.
- Um termo de autorização de imagem separado do termo de consentimento.
- Uma página com o mapeamento (o que, para que, quem, por quanto tempo) e o roteiro de incidente.
- Nomear um encarregado (pode ser a própria sócia) e publicar um aviso de privacidade simples no site.
- Dado de saúde é sensível: prontuário, fotos e conversas de WhatsApp entram na LGPD.
- Mapear em uma página o que a clínica coleta, para que, quem acessa e por quanto tempo.
- WhatsApp no número da clínica; foto publicada só com autorização específica; marketing só com consentimento.
- Incidente com risco relevante: comunicar ANPD e pacientes em até 3 dias úteis.
