A clínica pode usar o WhatsApp do paciente para enviar propaganda sem autorização?

A conta fecha fácil na cabeça de quem administra a clínica: já existem centenas de contatos salvos no WhatsApp Business, então por que não avisar sobre uma nova especialidade, oferecer desconto no pacote de exames ou pedir uma nota no Google logo depois do atendimento? O problema é que esse número não chegou à clínica para isso. Ele foi dado para marcar horário, confirmar presença e receber orientação sobre o próprio tratamento. Usar o mesmo canal para outra finalidade exige um passo que a maioria das clínicas pula.

O consentimento da consulta serve para mandar propaganda depois?

Não serve. A LGPD trabalha com o princípio da finalidade (art. 6º, I): o dado só pode ser usado para o propósito que foi informado ao titular no momento da coleta. Se o paciente deu o WhatsApp para "confirmar consulta e enviar resultado de exame", esse consentimento não se estende a "receber oferta de clareamento dental" ou "avaliar o atendimento". São finalidades diferentes, e a lei veda o chamado consentimento genérico (art. 8º, §4º): autorizar uma coisa não autoriza todas as outras.

O detalhe que pega a maioria das clínicas de surpresa é que dado de saúde é dado pessoal sensível (art. 5º, II). Para dado sensível, o art. 11 só permite tratamento sem novo consentimento em hipóteses taxativas, como obrigação legal, tutela da saúde por profissional de saúde ou proteção da vida. Marketing e pesquisa de satisfação não estão nessa lista. Fora dela, só resta o consentimento específico e destacado do inciso I.

O que pode ser enviado sem pedir autorização de novo

Nem tudo exige um segundo consentimento. O critério é simples: a mensagem serve diretamente ao tratamento que o paciente já contratou, ou é outra coisa?

Pode, dentro da mesma finalidade: lembrete de consulta marcada, confirmação de horário, aviso de remarcação, envio de resultado de exame, orientação pós-procedimento ligada àquele atendimento. Isso é execução do próprio serviço de saúde, coberto pela base legal que já existia quando o paciente passou o contato.

Precisa de consentimento separado: oferta comercial, desconto em outro procedimento, convite para evento, campanha de aniversário e, na prática, também pesquisa de satisfação, já que ela não é indispensável à prestação do serviço de saúde em si. O caminho mais seguro é pedir autorização destacada para esse fim específico (art. 9º, parágrafo único), com opção clara de recusa.

Essa linha divisória é a mesma que já aparece em como documentar um atendimento por e-mail ou WhatsApp com valor jurídico: o canal pode ser o mesmo, mas o que diferencia uma comunicação válida de uma comunicação arriscada é a finalidade declarada no momento da coleta do dado.

O que diz a lei

A base é a Lei nº 13.709/2018 (LGPD). O art. 5º, II, classifica dado de saúde como sensível. O art. 11 lista as hipóteses em que dado sensível pode ser tratado sem novo consentimento, e marketing não está entre elas: fora das exceções (obrigação legal, tutela da saúde por profissional, proteção da vida), só resta o consentimento específico do inciso I. O art. 8º, §4º, proíbe que esse consentimento seja genérico, e o art. 9º, parágrafo único, exige cláusula destacada quando o pedido é feito por escrito. O art. 18, VI, garante ao paciente o direito de revogar a autorização a qualquer momento, de forma tão simples quanto foi aceitar.

Em caso de descumprimento, o art. 52 da LGPD prevê sanções que vão de advertência a multa simples de até 2% do faturamento da clínica no último exercício, limitada a R$ 50 milhões por infração, além de publicização da penalidade e, em casos graves, bloqueio ou eliminação dos dados tratados irregularmente. A mesma lógica de responsabilidade do controlador que aparece no que fazer quando um ataque de ransomware expõe dados de pacientes vale aqui: quem responde perante a ANPD é a clínica, não o aplicativo de disparo em massa contratado para enviar as mensagens.

Erros que colocam a clínica na mira da ANPD

Importar a lista de pacientes para uma ferramenta de disparo em massa sem checar a base legal. O fato de o número estar salvo no celular da recepção não autoriza replicá-lo numa plataforma de marketing.

Tratar o "aceite" de um formulário de cadastro antigo como consentimento válido para tudo. Se o texto não falava especificamente em propaganda, ele não cobre propaganda, por mais que tenha sido assinado há anos.

Não dar um jeito fácil de o paciente dizer "não quero mais receber". Dificultar ou ignorar o pedido de descadastro é, por si só, motivo de reclamação formal à ANPD.

Misturar a lista de pacientes com a base de clientes do Instagram ou de outra campanha. Cada origem de dado tem sua própria base legal; unificar listas sem controle apaga esse histórico e dificulta provar que a coleta foi correta.

Deixar a decisão só a cargo da equipe de marketing, sem checar com quem responde juridicamente pela clínica. Vale buscar orientação prévia: um escritório especializado em médicos, como este, ajuda a revisar o cadastro e o formulário de consentimento antes da campanha sair do papel, não depois de uma notificação da ANPD. Também vale reler como a clínica indica o encarregado de dados exigido pela LGPD: esse profissional deveria aprovar qualquer novo uso da lista de contatos.

Perguntas frequentes