A LGPD na saúde é a aplicação da Lei Geral de Proteção de Dados (Lei 13.709/2018) ao tratamento de informações de pacientes. Para a clínica que atende pelo WhatsApp e usa IA, ela define o que circula em cada canal e o que exigir dos fornecedores.
Segundo a TIC Saúde 2025, pesquisa do Cetic.br, só 30% dos estabelecimentos de saúde definiram um encarregado de dados, e o mesmo percentual tem plano de resposta a incidentes.
Na prática, a lei pede quatro coisas da clínica: base legal para cada uso do dado do paciente, segurança reforçada por se tratar de dado sensível, contrato com os fornecedores que tratam esses dados e transparência com o paciente em todos os canais, do balcão ao WhatsApp e à IA.
Neste guia, você vai ver o que é dado sensível, as bases legais, a lei no WhatsApp e na IA, o checklist do fornecedor e as obrigações da clínica.
O que é a LGPD na saúde e por que o dado do paciente é sensível?
Recepção atendendo pelo painel da clínica, com o histórico do paciente num só lugar
O art. 5º, II, da LGPD coloca o dado referente à saúde na lista de dados pessoais sensíveis. Para eles, o art. 11 reserva hipóteses próprias.
Dado de saúde vai além do prontuário: a especialidade na confirmação, a foto do pedido de exame, o áudio do paciente. A recepção lida com dados pessoais sensíveis o dia inteiro.
Titular: O paciente
Controlador: A clínica, que decide como os dados são usados
Operador: Fornecedores, como o sistema de gestão e o agente de IA
Encarregado: Canal da clínica com os pacientes e a ANPD
Quais bases legais a clínica pode usar para tratar dados de saúde?
Base legal é o motivo, previsto na lei, que autoriza o uso de um dado. Para dado sensível, a lista é fechada, e o legítimo interesse fica fora dela.
Tutela da saúde: o cuidado do paciente
O art. 11, II, f, autoriza o tratamento para a tutela da saúde, em procedimento feito por profissionais ou serviços de saúde. É a base do atendimento: agendar, confirmar, preparar e acompanhar o retorno.
Obrigação legal ou regulatória: prontuário e registros
Algumas informações a clínica guarda porque a lei manda (art. 11, II, a). O prontuário tem prazo mínimo de 20 anos a partir do último registro, pela Lei 13.787/2018 e pela Resolução CFM 1.821/2007.
Consentimento específico e destacado: quando ele é necessário
Para usos fora do cuidado, como campanhas e conteúdo, a base costuma ser o consentimento do paciente. O art. 11, I, pede um aceite separado do termo de atendimento, para uma finalidade clara e revogável.
Como aplicar a LGPD no atendimento pelo WhatsApp da clínica?
O WhatsApp concentra as conversas com o paciente, e é ali que a LGPD na saúde vira rotina. A lei não proíbe o canal: pede segurança (art. 46). Para a agenda, veja o agendamento automático pelo WhatsApp.
O que a clínica pode mandar pelo WhatsApp e o que é melhor evitar
Pode ir pelo WhatsApp
Confirmação, lembrete e remarcação
Orientações administrativas
Melhor evitar em mensagem aberta
Resultado de exame e laudo
CID, receita e foto de documento
Número institucional no lugar do celular pessoal da equipe
É comum a recepção atender pelo celular pessoal, sobretudo em clínica sobrecarregada, e o histórico do paciente sai junto com quem deixa a equipe. Um número institucional, de preferência na API oficial do WhatsApp Business, mantém as conversas com a clínica, o que pesa ainda mais com turnover na clínica.
Grupos internos, prints e encaminhamentos: onde o dado vaza
Print de conversa com nome do paciente, foto da carteirinha, áudio encaminhado no grupo da equipe: cada cópia é um dado sensível fora do controle da clínica. A saída é passar o caso dentro do painel de atendimento.
Confirmar a identidade antes de falar de dados do paciente
Número de telefone muda de dono. Antes de mostrar consulta ou cadastro, a clínica confirma quem está do outro lado: data de nascimento, parte do CPF ou um código enviado na hora.
A clínica pode usar IA no atendimento sem ferir a LGPD?
Pode, com base legal, contrato, segurança e transparência. Segundo a TIC Saúde 2025, 18% dos estabelecimentos de saúde já usam IA, e 76% deles usam modelos de linguagem generativa. E a ANPD pôs IA entre os quatro temas prioritários de fiscalização de 2026 e 2027 (Resolução CD/ANPD nº 30/2025): LGPD e inteligência artificial agora andam juntas. Veja também IA para clínicas.
Clínica controladora, fornecedor operador: o que precisa estar no contrato
Com um agente de IA, a clínica segue controladora e o fornecedor vira operador, que trata os dados conforme as instruções dela (art. 39). O contrato define finalidade, segurança, subcontratados, destino dos dados ao final e aviso de incidente.
A IA só acessa o que a tarefa pede
Pelo princípio da necessidade (art. 6º, III), a clínica compartilha com a IA o que cada tarefa pede: para agendar, agenda, cadastro e convênio. A Resolução CFM 2.454/2026 pede o compartilhamento com IA "apenas quando estritamente necessário" (art. 6º, § 1º). Vale definir esse limite já na integração do WhatsApp com o sistema da clínica.
O paciente sabe que está falando com um agente de IA
A transparência é princípio da LGPD (art. 6º, VI), e a Resolução CFM 2.454/2026 garante ao paciente saber quando a IA apoia de forma relevante o cuidado (art. 5º, § 1º). No atendimento, a boa prática é o agente se apresentar como IA da clínica e dizer como chegar a uma pessoa.
Equipe por perto: passagem para uma pessoa e zero papel clínico
O titular pode pedir revisão de decisões automatizadas (art. 20). Quando o paciente pede ou a IA não tem certeza, a conversa vai para a equipe com o contexto. A triagem da IA é só coleta de informações e direcionamento inicial, e a resolução do CFM veda delegar à IA a comunicação de diagnósticos (art. 5º, § 2º). Veja o que separa um agente de IA de uma ferramenta de menu. O guia da Resolução CFM 2.454 para o atendimento detalha o que a norma pede da clínica.
O que perguntar ao fornecedor de IA antes de contratar?
Checklist para avaliar a proteção de dados do paciente antes de contratar IA
A proteção de dados do paciente se decide na contratação. Leve estas perguntas para a reunião:
Onde os dados ficam e por quanto tempo?
Há criptografia em trânsito e em repouso?
O contrato tem cláusulas de operador?
As conversas treinam modelos?
Quem são os subcontratados?
Como o paciente é autenticado?
Cada ação da IA fica registrada?
Quais são as regras de passagem para a equipe?
Existe plano para incidente de segurança?
A integração com o sistema é via API?
Quais são as obrigações da clínica: encarregado, registro e incidentes?
A LGPD na saúde também cobra governança. Pela TIC Saúde 2025, 42% das unidades têm política de segurança da informação e 47% treinaram a equipe.
Encarregado de dados: quem indica e o que ele faz
O art. 41 manda indicar um encarregado de dados, canal com pacientes e ANPD, nas regras da Resolução CD/ANPD nº 18/2024. Agentes de pequeno porte podem ser dispensados (Resolução CD/ANPD nº 2/2022, art. 11), salvo em tratamento de alto risco, como dado sensível em larga escala (arts. 3º e 4º).
Registro das operações e relatório de impacto
A clínica mantém registro das operações (art. 37) e pode ter de apresentar relatório de impacto (art. 38). Com IA, o registro mostra que dados o agente acessa e para quê. A Resolução CFM 2.454/2026 pede ainda avaliação preliminar de risco dos sistemas de IA (art. 12).
Incidente de segurança: três dias úteis para comunicar
Mensagem enviada ao número errado pode ser um incidente. Pelo art. 48 da LGPD e pela Resolução CD/ANPD nº 15/2024, havendo risco ou dano relevante, a clínica avisa a ANPD e o paciente em até três dias úteis.
Sanções: o que a lei prevê
O art. 52 prevê advertência, multa de até 2% do faturamento limitada a R$ 50 milhões por infração, bloqueio e eliminação dos dados.
Como o Chiko cuida dos dados do paciente no atendimento
No Chiko, agente de IA de atendimento para a saúde, a proteção de dados do paciente atravessa os três pilares.
Chiko Agent segue as regras da clínica: ela define o que ele resolve sozinho e quando passa para uma pessoa. Quando a informação não está na base, encaminha para a equipe, e a decisão clínica é sempre com a equipe.
Chiko Connect conecta o atendimento ao sistema de gestão e prontuário da clínica e, antes de responder, puxa histórico, plano e agendamentos do paciente. Quais dados a sua clínica compartilha e como o paciente é identificado no WhatsApp são pontos para ver na demonstração com um consultor.
Chiko Inbox põe IA e equipe no mesmo painel, nos números institucionais, com passagem de contexto.
Na segurança, o Chiko trabalha com criptografia de ponta a ponta, LGPD e HIPAA compliance e é Meta Tech Provider. Segundo dados dos clientes atuais do Chiko, 62% dos atendimentos são absorvidos pelo agente, no canal institucional. Hospedagem, contrato de operador, treino de modelos e o restante do checklist ficam para conferir com o time comercial.
Conclusão: proteger o dado do paciente é parte do atendimento
A LGPD na saúde vira rotina quando o atendimento passa pelo WhatsApp e pela IA. Base legal para cada uso, número institucional, autenticação, contrato com o fornecedor e plano para incidentes garantem a proteção de dados do paciente. É assim que LGPD e inteligência artificial convivem no atendimento.
Conteúdo informativo: para o caso da sua clínica, conte com orientação jurídica.
Ficou com dúvida? Fale com um especialista no WhatsApp.
Perguntas frequentes
A clínica precisa do consentimento do paciente para tratar dados de saúde?
Nem sempre. Cuidado e prontuário se apoiam na tutela da saúde e na obrigação legal. O consentimento do paciente vale para outros usos, como marketing.
A clínica pode enviar resultado de exame pelo WhatsApp?
A lei não proíbe o canal, mas exige segurança. A boa prática é confirmar a identidade e liberar o documento pelo portal ou sistema da clínica, usando o WhatsApp só para avisar.
Toda clínica precisa ter um encarregado de dados?
A regra é indicar. Agentes de pequeno porte podem ser dispensados, salvo em tratamento de alto risco. Vale avaliar com um especialista.
Usar IA no atendimento da clínica está de acordo com a LGPD?
Sim, com base legal, contrato de operador, acesso mínimo, transparência e passagem para a equipe. O checklist deste guia ajuda a conferir.
