LGPD no WhatsApp do consultório: o que a secretária pergunta

Para cumprir a LGPD no WhatsApp do consultório, a secretária pede só o que o agendamento exige: nome, telefone, melhor horário e se o atendimento é particular ou por convênio. Sintoma, exame, diagnóstico e documento de identidade ficam fora da conversa e vão para um canal próprio, definido pelo profissional com apoio do seu jurídico.

Resumo rápido

• A Lei nº 13.709/2018 (LGPD) classifica o dado referente à saúde como dado pessoal sensível (art. 5º, II).
• Pelo princípio da necessidade (art. 6º, III), o tratamento se limita ao mínimo para a finalidade. No WhatsApp, a finalidade é agendar.
• Pode pedir por mensagem: nome, telefone, dia e horário de preferência, particular ou convênio.
• Fica fora do WhatsApp: sintoma, motivo da consulta, exame, laudo, receita, RG, CNH e carteirinha.
• Este artigo não é parecer jurídico. Valide o fluxo do seu consultório com advogado ou encarregado.

O que a LGPD chama de dado pessoal e de dado sensível?

Dado pessoal é informação relacionada a pessoa natural identificada ou identificável. Dado pessoal sensível é uma lista fechada que inclui, entre outros, o dado referente à saúde. As duas definições estão no art. 5º, incisos I e II, da Lei nº 13.709/2018.

Na rotina do consultório isso se traduz assim: nome e telefone são dados pessoais. O motivo da consulta, um sintoma relatado, a foto de um exame, a medicação em uso e o diagnóstico anterior são dados de saúde, portanto sensíveis. Até a especialidade procurada diz algo sobre a saúde de quem escreve. Por isso a conversa de agendamento precisa ser curta e objetiva.

A lei trata o dado sensível com mais rigor. O art. 11 lista hipóteses próprias para esse tipo de dado e, no § 4º, veda a comunicação ou o uso compartilhado entre controladores de dados de saúde com objetivo de obter vantagem econômica, com exceções ligadas à prestação de serviços de saúde. O texto integral está no site do Planalto.

O que a secretária pode pedir pelo WhatsApp?

O que o agendamento exige e nada além: nome, telefone de contato, dia e horário de preferência, e se a consulta é particular ou por convênio. É a aplicação direta do princípio da necessidade (art. 6º, III): limitar o tratamento ao mínimo necessário para a finalidade.

Um script bem escrito faz a secretária caminhar do nome ao horário sem abrir espaço para o paciente contar o caso. Modelos de conversa estão em script de atendimento de consultório para WhatsApp e telefone.

O que deve ficar fora do WhatsApp e por quê?

Sintoma, exame, diagnóstico, medicação e documento de identificação. O WhatsApp é um canal de conversa, não um prontuário nem um arquivo de documentos, e o consultório não controla onde a cópia da mensagem vai parar.

Quando o paciente envia um exame ou descreve o caso sem que ninguém tenha pedido, a secretária não pergunta de volta, não comenta e não encaminha para grupo nenhum. Ela responde que o profissional vai analisar na consulta e informa o canal correto para documentos. O que fazer com a mensagem recebida (transferir para o sistema e apagar da conversa, por exemplo) é uma regra que o consultório define com o jurídico.

A própria Meta trata o assunto. A WhatsApp Business Messaging Policy, na seção Protect Data and Comply with Law, orienta a não usar o WhatsApp para telemedicina nem para enviar ou pedir informação de saúde quando a regulação aplicável proíbe distribuir esse tipo de informação a sistemas que não atendam requisitos reforçados. A política completa está em whatsappbusiness.com/policy.

Qual base legal cobre o agendamento?

A LGPD lista as hipóteses em que dado pessoal pode ser tratado (art. 7º) e as hipóteses, mais restritas, para dado sensível (art. 11). Qual delas se aplica ao seu consultório, e como documentar isso, é decisão do controlador com apoio jurídico. Este artigo não substitui esse parecer.

Entre as hipóteses está o consentimento (art. 7º, I; para dado sensível, art. 11, I, de forma específica e destacada) e a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (art. 7º, VIII; art. 11, II, alínea f). Quando o agendamento se limita a nome, telefone, horário e convênio, a coleta fica no mínimo necessário; ainda assim, confirme com o jurídico como classificar esses dados. O que acontece dentro da consulta é outro tratamento, com outra base.

Consentimento, na lei, é manifestação livre, informada e inequívoca (art. 5º, XII). Se o consultório pretende enviar lembretes, retomar contato com quem pediu orçamento ou mandar avisos, registre como e quando a pessoa concordou e ofereça um jeito simples de parar. O artigo sobre como transformar mensagens de WhatsApp em consultas agendadas trata do follow-up com esse cuidado.

Por onde o paciente envia documentos e exames?

Por um canal que o consultório controla e que foi pensado para isso. As opções mais comuns são a entrega presencial no dia da consulta, a área do paciente de um sistema de prontuário, um formulário seguro ou um e-mail institucional aprovado pelo jurídico.

• Presencial: o paciente leva exames e documentos na consulta. Simples e sem cópia em aparelho de terceiros.
• Sistema de prontuário com área do paciente: o arquivo entra direto no prontuário. O Sistema Hiraki inclui prontuário eletrônico; confirme com a equipe como o envio de documentos funciona.
• Formulário ou e-mail institucional: só se o jurídico aprovar e se o acesso for restrito a quem precisa.

No script, a secretária tem uma frase pronta para esse momento: para exames e documentos, o consultório usa tal canal; posso enviar as instruções? Assim o paciente não fica sem resposta e o WhatsApp não vira pasta de arquivos.

Por quanto tempo guardar as conversas?

A LGPD diz que o tratamento termina quando a finalidade foi alcançada (art. 15, I) e que os dados devem ser eliminados após o término, com as exceções que a própria lei lista (art. 16). O titular pode pedir a eliminação dos dados tratados com o consentimento dele (art. 18, VI).

Conversa de agendamento não é prontuário. O prontuário e os documentos clínicos seguem regras de guarda próprias, que variam por profissão; confirme o prazo com o seu conselho. Para o WhatsApp, defina uma política própria: o que é transferido para o sistema, o que é apagado e quando.

Como preparar a equipe e o encarregado?

Com um responsável, um script e uma rotina de revisão. A LGPD determina que o controlador indique um encarregado pelo tratamento de dados (art. 41) e que adote medidas de segurança técnicas e administrativas (art. 46).

• Responsável: indique o encarregado e confirme com o jurídico quem pode exercer a função no porte do seu consultório.
• Script: quem atende, seja recepção presencial ou secretária virtual, recebe a lista do que pede e do que não pede por mensagem, e a frase pronta para quando o paciente envia o que não devia.
• Pedidos do titular: tenha uma resposta pronta para quem pedir acesso, correção ou eliminação (art. 18).
• Revisão: releia o script a cada mudança de rotina, de sistema ou de equipe.

No Instituto Hiraki, a secretária virtual segue scripts personalizados, escritos com o consultório. É nesse script que entram as regras acima. Se você está avaliando fornecedores, a pergunta sobre LGPD faz parte das 10 perguntas antes de contratar uma secretária virtual.

Perguntas frequentes

A LGPD proíbe usar WhatsApp no consultório?

Não há proibição genérica na Lei nº 13.709/2018. O que a lei exige é tratar cada dado conforme a categoria, com finalidade definida, mínimo necessário (art. 6º, III) e segurança (art. 46). Na prática, o WhatsApp serve para agendar, confirmar e remarcar, e não para receber exames ou relatos de saúde.

Posso pedir o CPF do paciente pelo WhatsApp?

CPF é dado pessoal, não sensível, mas o princípio da necessidade vale do mesmo jeito: só peça se o agendamento exigir. Muitos consultórios deixam o CPF para o cadastro presencial ou para o sistema, onde o acesso é controlado. Se precisar dele antes, por exemplo para emitir recibo, confirme com o jurídico o canal adequado.

O paciente mandou um exame pelo WhatsApp sem eu pedir. O que fazer?

Não comente o conteúdo, não encaminhe e não peça mais informação. Responda que o profissional vai analisar na consulta e informe o canal correto para documentos. Depois, siga a regra interna do consultório sobre o que fazer com a mensagem recebida, definida com o jurídico.

A secretária virtual precisa de cláusula sobre LGPD no contrato?

A lei distingue quem decide sobre o tratamento de quem o executa em nome de outro. Peça ao seu jurídico a cláusula de confidencialidade e de proteção de dados adequada ao contrato com o fornecedor, e inclua no script o que a secretária pode e não pode pedir por mensagem.

Preciso de encarregado se atendo sozinho?

O art. 41 da LGPD diz que o controlador deve indicar encarregado. Como a função pode ser exercida no porte do seu consultório é algo a confirmar com o jurídico e nas orientações da ANPD.

Lembrete de consulta pelo WhatsApp viola a LGPD?

Lembrete de dia e horário, sem dado de saúde, é um tratamento com finalidade clara. Registre a base legal escolhida com o jurídico, não inclua motivo nem especialidade na mensagem e ofereça um jeito simples de a pessoa pedir para não receber mais avisos.

Próximo passo

Se você quer que o WhatsApp do consultório seja atendido por uma pessoa que segue exatamente o que o seu script permite perguntar, conheça a secretária virtual do Instituto Hiraki.

Leia também

• Script de atendimento de consultório: modelos para WhatsApp e telefone
• Secretária remota para consultório: como funciona
• Secretária virtual humana ou chatbot: qual escolher