LGPD no WhatsApp da clínica: dado de saúde, base legal e o contrato com quem atende

Quando um paciente escreve “queria marcar um horário para ver essa dor no joelho”, a conversa já carrega dado de saúde. Não é preciso prontuário para a LGPD entrar em cena: basta uma mensagem de agendamento. Este texto mostra o que a lei e a Agência Nacional de Proteção de Dados (ANPD) pedem de uma clínica que atende pelo WhatsApp, com o artigo ao lado de cada afirmação.

Mensagem de agendamento é dado de saúde?

Muitas vezes, sim. A Lei nº 13.709/2018[1], a LGPD, define como dado pessoal sensível, entre outros, o “dado referente à saúde” ligado a uma pessoa (art. 5º, II). E o art. 11, § 1º, estende as regras de dado sensível a qualquer tratamento de dado pessoal que revele dado sensível e possa causar dano ao titular. O nome do paciente, o número dele e a queixa que ele digitou, juntos, revelam. Na prática, a conversa do WhatsApp da clínica deve ser tratada como sensível por padrão.

Com que base legal a clínica pode tratar esse dado?

O art. 11 lista as hipóteses. Há o consentimento do titular, dado “de forma específica e destacada, para finalidades específicas” (inciso I). E há hipóteses sem consentimento, quando o tratamento for indispensável, entre elas a “tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária” (inciso II, alínea f). Qual hipótese se aplica a cada finalidade é decisão da clínica, documentada, de preferência com o advogado dela.

Dois limites valem para qualquer escolha. Pelo princípio da finalidade (art. 6º, I), o dado coletado para agendar não pode ser reaproveitado para algo incompatível, como mandar promoção a quem só pediu horário. E o opt-in que a Meta exige antes de enviar mensagens não é base legal: é regra da plataforma. O próprio documento da Meta sobre opt-in diz que a empresa deve cumprir a lei aplicável. São duas camadas, e a clínica precisa das duas.

Quem é controlador e quem é operador nessa conversa?

Controlador é quem toma as decisões sobre o tratamento; operador é quem trata o dado em nome do controlador (art. 5º, VI e VII). A clínica decide para que o dado do paciente serve: é a controladora. A empresa que opera o WhatsApp ou o assistente virtual em nome dela é operadora, e o art. 39 manda o operador seguir as instruções do controlador. Se não seguir, ou se descumprir a lei, responde junto com a clínica pelos danos (art. 42, § 1º, I).

A cadeia costuma ter mais elos: a plataforma que transporta as mensagens e os fornecedores de tecnologia de quem opera o atendimento. Cada elo precisa estar no contrato. E, se algum fornecedor processa a conversa fora do Brasil, como um serviço de IA nos Estados Unidos, isso é transferência internacional: o art. 33 só a permite em hipóteses definidas, como as cláusulas-padrão contratuais aprovadas pela ANPD na Resolução CD/ANPD nº 19/2024.

O que o contrato de tratamento de dados precisa dizer?

A LGPD não usa a sigla DPA, mas é dela que vem a necessidade de um contrato que ponha no papel as instruções do controlador. Para uma clínica, cinco pontos não podem faltar:

• finalidade e instruções: o que o operador pode fazer com o dado e o que não pode;
• quem mais trata o dado e onde, incluindo fornecedores no exterior e a base da transferência;
• medidas de segurança, como separação dos dados de cada clínica, acesso por papel e registro das operações (arts. 37 e 46);
• aviso de incidente à clínica a tempo de ela cumprir o prazo da ANPD;
• o que acontece com os dados no fim do contrato: devolução ou eliminação.

Se o operador usa IA, a Resolução CFM 2.454/2026 acrescenta deveres para a clínica médica, que explicamos em IA no atendimento da clínica. E transformamos esses pontos em perguntas de contratação em 10 perguntas antes de contratar o WhatsApp da clínica.

Minha clínica precisa de encarregado?

O art. 41 manda o controlador indicar um encarregado e divulgar publicamente o contato dele. A ANPD dispensou os agentes de tratamento de pequeno porte dessa indicação, desde que mantenham um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, art. 11).

Só que a dispensa não é automática para clínica. A mesma resolução tira o tratamento diferenciado de quem faz tratamento de alto risco (art. 3º, I), e alto risco é a soma de um critério geral, como tratamento em larga escala ou que possa afetar significativamente direitos, com um critério específico, entre eles o uso de dado sensível (art. 4º). Dado de saúde já preenche o critério específico. Se o tratamento também afetar significativamente direitos, a dispensa cai. A Resolução CD/ANPD nº 18/2024 exige que a indicação seja feita por ato formal e que quem estiver dispensado mantenha o canal. O caminho mais seguro é nomear alguém e publicar o contato.

E se a conversa vazar?

O art. 48 obriga o controlador a comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante. O regulamento da ANPD (Resolução CD/ANPD nº 15/2024[3]) considera relevante o incidente que possa afetar significativamente os titulares e envolva ao menos um critério, e o primeiro da lista é dado sensível (art. 5º). O prazo é de três dias úteis contados do conhecimento do incidente (art. 6º). O prazo em dobro vale só para o agente de pequeno porte que se enquadra no regime diferenciado, e esse regime exclui o tratamento de alto risco (Resolução CD/ANPD nº 2/2022, art. 3º). Com dado de saúde, trabalhe com três dias úteis. Por isso o contrato com o operador precisa de aviso rápido: o relógio corre para a clínica.

• Ação de uma pessoa

O que o WhatsApp acrescenta a essas regras?

A Política Empresarial do WhatsApp[6] tem três cláusulas que interessam à clínica. Ela proíbe divulgar ou pedir que as pessoas divulguem números completos de cartão de pagamento, de conta financeira ou de documento de identidade. Ela proíbe usar o WhatsApp para enviar ou pedir informação de saúde quando a lei aplicável proibir que essa informação vá para sistemas sem os requisitos exigidos. E ela proíbe repassar informação de uma conversa a outro cliente. Os Termos da Meta para a WhatsApp Business Platform, em vigor desde 23/09/2026, acrescentam um limite (§4.2): a Meta não garante a plataforma para setores com exigência reforçada de sigilo, como a saúde. Por isso a Rafa só cuida da parte administrativa e não orienta sobre saúde; dúvida clínica vai para a equipe da clínica. Tradução: pedir o mínimo pela conversa e combinar outro caminho para documento completo.

Como a Bessa trata os dados da sua clínica

A Bessa atua como operadora. Clínica de saúde só entra no ar com o contrato de tratamento de dados registrado; antes disso, a mensagem que chega recebe só um aviso de atendimento. O que o contrato de uma clínica veda, como transcrever áudio ou guardar anexos, é desligado para aquela clínica no próprio sistema.

Banco e arquivos ficam em servidor no Brasil, no estado de São Paulo. As mensagens passam pela Meta (WhatsApp), e o texto da conversa é processado pela Anthropic, a IA que redige as respostas; as duas ficam nos EUA. O áudio, quando ligado para a clínica, é transcrito no servidor da Bessa. Os fornecedores que tratam dados estão listados na Política de Privacidade. Os dados de uma clínica ficam separados no banco e não alimentam a operação de outra. O pedido de parar é cumprido pelo servidor, e cada ação fica registrada no Cockpit Bessa com autoria.

Se você quer saber onde o WhatsApp da sua clínica está exposto hoje, o Diagnóstico gratuito olha a operação inteira: canal, contratos, quem acessa o quê. Para ver como o registro aparece para a equipe: Ver o Cockpit Bessa.