Dado de saúde é dado sensível
A LGPD separa um tipo de dado que pede mais cuidado: o dado pessoal sensível. Dado referente à saúde está nessa lista, ao lado de origem racial, religião, dado genético e biométrico, entre outros.
Na clínica de estética, isso inclui a anamnese, o prontuário e as fotos de antes e depois. Inclui também a conversa no WhatsApp quando a paciente fala do procedimento ou da saúde dela.
Fonte: LGPD (Lei 13.709/2018), artigo 5º, inciso II.
Quando a clínica pode usar esses dados
Para dado sensível, a lei aceita menos justificativas. Duas aparecem muito em clínica: o consentimento da paciente, dado de forma específica e destacada, e a tutela da saúde, em procedimento feito por profissional de saúde.
Qual vale em cada caso depende do procedimento e de quem atende. Vale confirmar com quem cuida do jurídico da clínica.
Fonte: LGPD, artigo 11, inciso I e inciso II, alínea f.
Quem responde pelos dados quando entra a IA
A lei separa dois papéis. O controlador decide o que fazer com os dados. O operador trata os dados em nome do controlador.
Quando a clínica usa um sistema com IA, em geral a clínica é a controladora e o fornecedor é o operador. A decisão continua com a clínica. Por isso vale saber exatamente o que o fornecedor faz com os dados.
Fonte: LGPD, artigo 5º, incisos VI e VII.
Os direitos da paciente
- Saber se a clínica trata dados dela e ter acesso a eles.
- Corrigir dados incompletos ou errados.
- Pedir anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo.
- Pedir a portabilidade para outro fornecedor.
- Saber com quem os dados foram compartilhados.
- Revogar o consentimento.
O sistema precisa permitir que a clínica atenda esses pedidos sem caçar dado em planilha, celular e caderno.
Fonte: LGPD, artigo 18.
Segurança e vazamento
A lei pede medidas de segurança contra acesso não autorizado e vazamento. Se houver um incidente que possa trazer risco ou dano relevante, a clínica precisa comunicar a ANPD e as pacientes afetadas.
As multas podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração.
Fonte: LGPD, artigos 46, 48 e 52.
Clínica pequena também precisa?
Sim. A ANPD tem regras mais simples para pequenas empresas, como a dispensa de indicar um encarregado de dados. Essas regras não valem para quem faz tratamento de alto risco, e o uso de dado sensível pode entrar nessa conta.
Mesmo com as regras mais simples, as outras obrigações da LGPD continuam valendo.
Fonte: Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.
E a lei de IA?
O Brasil ainda não tem uma lei de IA em vigor. O PL 2338/2023 foi aprovado no Senado em dezembro de 2024 e, em outubro de 2026, seguia em análise na Câmara. Até lá, o uso de IA com dados de pacientes segue as regras da LGPD.
O que perguntar ao fornecedor de IA
- Onde ficam as conversas, o prontuário e as fotos?
- Quem da empresa fornecedora consegue ver esses dados?
- Os dados das pacientes são usados para treinar a IA?
- Como a clínica atende um pedido de cópia ou exclusão de uma paciente?
- A clínica consegue ler tudo o que a IA respondeu?
- O que acontece com os dados se a clínica cancelar?
- Como o fornecedor avisa a clínica se houver um incidente?
Essas perguntas valem para qualquer fornecedor, inclusive para nós. Faça todas no diagnóstico.
Este texto explica a lei em linguagem simples. Não é orientação jurídica.
Perguntas frequentes
Conversa de WhatsApp é dado de saúde?
Quando a paciente fala do procedimento, de um problema de pele ou de um tratamento, a conversa passa a ter dado de saúde. Por isso ela merece o mesmo cuidado do prontuário.
A clínica precisa de um encarregado de dados?
A LGPD prevê o encarregado. A ANPD dispensa pequenas empresas de indicar um, mas não as que fazem tratamento de alto risco. Vale confirmar o enquadramento da sua clínica com quem cuida do jurídico.
A paciente pode pedir para apagar os dados dela?
Pode pedir a eliminação dos dados tratados com o consentimento dela, entre outros direitos. A lei também prevê casos em que a clínica guarda dados, como para cumprir uma obrigação legal.
Quem responde se o fornecedor de IA vazar dados?
A lei prevê responsabilidade para controlador e operador, cada um no seu papel. Por isso vale ter no contrato como o fornecedor protege os dados e avisa a clínica de um incidente.