LGPD, dados de saúde e IA no WhatsApp

Dado de saúde é dado sensível. A LGPD coloca a saúde no mesmo patamar de origem racial, religião e dado genético, e cerca esse grupo de regras mais rígidas que as do dado comum. Quem trata informação clínica responde por ela com peso maior, e a lei não abre exceção para a recepção de uma clínica pequena.

Vale lembrar o que passa por um WhatsApp de clínica num dia qualquer. Numa dermato em Brasília, a paciente manda três áudios descrevendo uma lesão na pele, anexa foto, pergunta se precisa de biópsia e cita o remédio que já tomou. Ali estão imagem de parte do corpo, histórico de tratamento, nome de medicamento e endereço de entrega. Tudo isso é dado de saúde, com a proteção que a lei reserva para esse tipo de informação.

Trocar a secretária por uma IA nesse mesmo número muda a pergunta que importa. Deixa de ser "a IA atende bem?" e vira "para onde vão esses dados, com base em quê, e quem responde se vazar?". Boa parte das clínicas só descobre que a resposta importava no dia em que uma paciente pede para apagar o cadastro ou o contador levanta a dúvida sobre conformidade.

Por que dado de saúde não é dado qualquer

A LGPD separa os dados pessoais comuns dos sensíveis. Saúde está na segunda categoria, junto com origem racial, religião, opinião política, dado genético e biométrico. A consequência prática: o tratamento de dado sensível só é permitido nas hipóteses específicas listadas no art. 11 da lei (LGPD Brasil, art. 11). Não basta ter um motivo razoável; o motivo precisa caber numa das portas que a lei abre.

E aqui mora um mal-entendido comum. Muita clínica acha que precisa do paciente clicando em "li e concordo" para tudo. Para o atendimento em saúde, normalmente não é o consentimento genérico que sustenta o tratamento, e sim a tutela da saúde em procedimento realizado por profissionais e serviços de saúde, a hipótese da alínea "f" do art. 11. Quando a clínica agenda, confirma, faz triagem inicial e organiza o cuidado, ela está dentro de uma base legal própria, desenhada para serviços de saúde. Consentimento entra em cenários laterais (marketing, por exemplo), não como muleta para o atendimento em si.

A mesma lei impõe um limite que pesa diretamente na escolha de fornecedores: ela veda a comunicação ou o uso compartilhado de dados sensíveis de saúde entre controladores com o objetivo de obter vantagem econômica, salvo nas hipóteses ligadas à prestação de serviço de saúde em benefício do titular (art. 11, §4º). Em bom português: os dados da sua paciente não são matéria-prima para o negócio de ninguém. Isso restringe o que pode ser repassado a ferramentas de terceiros, e é exatamente onde a conversa sobre IA fica séria.

Quem é controlador, quem é operador, e por que isso decide a culpa

Essa é a parte que mais gera confusão, e a que mais protege a clínica quando entendida direito.

A clínica é a controladora: é ela quem decide a finalidade e os meios do tratamento (por que coleta, o que faz, por quanto tempo guarda). O fornecedor de IA e a própria plataforma de mensagens são operadores: tratam os dados em nome da clínica e só podem fazer o que a controladora determinar. A ANPD detalhou esses papéis na versão 2.0 do Guia Orientativo de Definição dos Agentes de Tratamento e do Encarregado (ANPD, 2024). Não é firula acadêmica: definir corretamente quem é o quê muda quem responde em caso de incidente.

O art. 39 fecha o raciocínio. O operador é obrigado a tratar os dados conforme as instruções do controlador, e responde solidariamente quando descumpre a lei ou as instruções lícitas que recebeu (LGPD Brasil, art. 39). Na prática, "instruções" não pode ser combinado de boca. Precisa estar escrito num contrato de tratamento de dados, o que o mercado chama de DPA (Data Processing Agreement). Sem esse contrato, a clínica está terceirizando dado sensível sem documento que diga o que o fornecedor pode e não pode fazer. Se algo der errado, é a clínica, controladora, que aparece primeiro na linha de tiro.

O que um contrato desses precisa deixar claro, no mínimo: que o fornecedor só trata os dados para a finalidade que a clínica definiu; que não usa os dados para treinar modelos próprios nem para qualquer proveito comercial; que mantém registro do tratamento; que ajuda a clínica a responder pedidos de pacientes; e o que acontece com os dados quando o contrato acaba.

O episódio que mostrou que a fiscalização tem dente

Julho de 2024 deixou claro que isso não é teoria. Em 2 de julho, a ANPD determinou a suspensão cautelar imediata, no Brasil, do uso de dados pessoais para treinar a IA da Meta (dona do WhatsApp) por uso de hipótese legal inadequada e falta de transparência, sob multa diária de R$ 50 mil em caso de descumprimento (ANPD, 2024). A maior plataforma de mensagens do país levou ordem de parada da autoridade brasileira.

O recado para uma clínica é direto: o canal onde suas pacientes mandam foto de lesão e nome de remédio é o mesmo canal que a ANPD já mirou por questão de treinamento de IA. Não significa que o WhatsApp esteja proibido para clínica. Significa que o uso precisa ser desenhado para que dado sensível não escorra para finalidades que ninguém autorizou. A diferença entre uma automação segura e um passivo está justamente em onde os dados são processados e quem tem acesso a eles.

E a régua tende a subir. A Agenda Regulatória 2025-2026 da ANPD lista 16 ações prioritárias, com a Inteligência Artificial entre elas, e a autoridade trabalha para dar concretude ao art. 46 da LGPD, definindo padrões mínimos de segurança técnica, com atenção especial a dados sensíveis (Roberto Dias Duarte, 2025). Para a clínica, isso se traduz em exigência crescente de registro, auditoria e segurança ao usar IA. A régua que hoje é recomendação tende a virar exigência fiscalizável.

A camada que muita gente esquece: o sigilo médico

A LGPD não anda sozinha. Por cima dela existe o dever de sigilo profissional, que é mais antigo e igualmente sério. A Resolução CFM nº 2.314/2022 exige que dados e imagens de pacientes no prontuário sejam preservados com garantia de confidencialidade, privacidade, integridade e sigilo profissional (CFM, 2022). Revelar dado de paciente de forma indevida fere a LGPD e ainda pode configurar crime no Código Penal.

O próprio CFM tem orientação restritiva sobre WhatsApp na prática médica: a ferramenta não serve para consultas, sendo admitida apenas para troca de mensagens de dúvidas, evolução de tratamento e orientações emergenciais, com proibição de manter conversas profissionais em grupos com pessoas alheias à medicina (VYDENCE, 2023). Traduzindo para a rotina: o WhatsApp é legítimo para agendar, confirmar, lembrar e orientar, não para substituir a consulta nem para virar depósito desorganizado de informação clínica. Uma IA bem configurada respeita essa fronteira; ela atende, agenda, confirma e, quando o assunto é clínico de verdade, escala para o profissional humano em vez de improvisar diagnóstico.

Os direitos do paciente continuam valendo, inclusive na conversa com a IA

A LGPD garante ao titular nove direitos perante o controlador, no art. 18 (LGPD Brasil, art. 18). Entre eles: confirmar se existe tratamento dos seus dados, acessar esses dados, corrigir, eliminar os que foram tratados com consentimento, e revogar o consentimento por um meio facilitado e gratuito.

Na prática da clínica, isso vira pergunta concreta. Se uma paciente liga e pede "apaga tudo que vocês têm meu", a clínica precisa conseguir atender, mesmo que parte da conversa tenha passado por uma IA no WhatsApp. Isso só funciona se houver registro de onde os dados estão e um caminho para localizá-los e tratá-los. Por isso registro e auditoria não são luxo de empresa grande: são o que permite responder a um pedido de titular sem entrar em pânico. Vale a pena ler também, sobre o lado humano dessa transição, como recepcionista e IA dividem o atendimento, porque a conformidade não substitui o cuidado de quem está na ponta.

Um checklist honesto antes de automatizar

Reduzindo tudo ao que dá para verificar numa tarde:

• Base legal certa. O atendimento se apoia na tutela da saúde (art. 11, "f"), não em consentimento genérico para tudo.
• Contrato com o fornecedor (DPA). Documenta as instruções, proíbe uso dos dados para treino ou proveito comercial e define o destino dos dados ao fim do contrato.
• Onde os dados são processados. Hospedagem nacional reduz exposição e simplifica a prestação de contas à autoridade brasileira.
• Registro e auditoria. Dá para saber quem acessou o quê e localizar os dados de um paciente quando ele pedir.
• Segurança técnica (art. 46). Acesso controlado, não um número de WhatsApp aberto no celular pessoal de qualquer pessoa.
• Direitos do titular operacionalizados. Existe um caminho para confirmar, acessar, corrigir e eliminar.
• Respeito ao sigilo médico. A IA escala para humano quando o assunto é clínico, em vez de simular consulta.

Nada disso desaconselha automatizar o WhatsApp. Pelo contrário. Feita às pressas, com uma ferramenta genérica cujo contrato ninguém leu, a automação vira risco. Feita com base legal clara, contrato que prende o fornecedor, hospedagem no Brasil e trilha de auditoria, ela costuma deixar a clínica mais em ordem do que estava com tudo no celular da recepção.

O nexclinica foi construído nesse desenho: IA conversacional nativa no WhatsApp, ambiente auditável, hospedagem nacional e tratamento alinhado à LGPD, com escalonamento para o time humano quando o caso pede. Se a sua clínica está em Brasília ou é parceira, há uma oferta de até 60 dias de graça, e dá para começar a conversa pelo WhatsApp antes de decidir qualquer coisa.

Fontes

• Artigo 11: Tratamento de dados pessoais sensíveis (LGPD Brasil)
• Artigo 18: Direitos do Titular de Dados Pessoais (LGPD Brasil)
• Artigo 39: Obrigações do Operador em relação ao Controlador (LGPD Brasil)
• Nova versão do Guia dos Agentes de Tratamento (ANPD, Gov.br)
• ANPD determina suspensão cautelar do tratamento de dados pessoais para treinamento da IA da Meta (ANPD, Gov.br)
• RESOLUÇÃO CFM nº 2.314/2022
• WhatsApp na medicina: qual a indicação do CFM (VYDENCE)
• WhatsApp, Meta AI e LGPD: dados sensíveis não no chat (Roberto Dias Duarte)