Dados do paciente no WhatsApp: o que a LGPD pede ao consultório

Atualizado em 02/11/2026. Este texto explica conceitos da LGPD aplicados ao atendimento de um consultório. Não é parecer jurídico: para o seu caso, fale com o seu advogado.

Dado de saúde é dado sensível

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) separa os dados pessoais em comuns e sensíveis. No art. 5º, II, a lei define dado pessoal sensível e inclui na lista o "dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural".

Para o consultório, isso significa que parte do que circula no WhatsApp merece cuidado redobrado. Um sintoma descrito numa mensagem, a foto de um exame, o nome de um remédio e até a especialidade do médico, conforme o contexto, podem revelar algo sobre a saúde de alguém. Nome, telefone e horário da consulta são dados pessoais; o motivo clínico da consulta é dado sensível.

A lei diz, no art. 11, em que hipóteses o tratamento de dados sensíveis pode acontecer. Uma delas é o consentimento do titular "de forma específica e destacada, para finalidades específicas" (art. 11, I). Há outras hipóteses, e qual se aplica a cada tratamento do consultório é pergunta para o advogado. O que este guia mostra é como o atendimento pelo WhatsApp pode tratar menos dado sensível desde o início.

Finalidade e mínimo necessário

Dois princípios da LGPD ajudam a desenhar o atendimento. O primeiro é a finalidade: o tratamento deve ter "propósitos legítimos, específicos, explícitos e informados ao titular" (art. 6º, I). O segundo é a necessidade: o tratamento deve se limitar "ao mínimo necessário para a realização de suas finalidades" (art. 6º, III).

Aplicados ao WhatsApp do consultório, os dois princípios levam a uma pergunta simples para cada informação que se pede ao paciente: a agenda precisa disso? Para marcar uma consulta, a agenda precisa saber quem é a pessoa, como falar com ela, se é convênio ou particular e qual o tipo de atendimento. Ela não precisa saber o que a pessoa está sentindo.

O que o atendimento pede e o que nunca pede

Quando o paciente conta espontaneamente o que sente, o atendimento administrativo não pergunta mais nada sobre o assunto. A resposta é marcar o horário e dizer que o médico vai avaliar na consulta. Se o consultório quiser que essa informação chegue ao médico antes, isso é uma regra a definir com ele: por qual canal, quem lê e onde fica guardado.

Quando o paciente manda o exame pelo WhatsApp

O exame enviado pela conversa é dado sensível no mesmo instante em que chega. Três decisões evitam que ele fique espalhado:

1. Quem recebe. O arquivo é para o médico, não para a recepção nem para o bot. O atendimento automático não abre, não resume e não comenta exame.
2. Onde fica. Se o médico precisa do exame, o lugar dele é o prontuário, que é do médico. A conversa do WhatsApp não é prontuário.
3. Até quando. A LGPD prevê o término do tratamento quando a finalidade foi alcançada ou os dados deixaram de ser necessários (art. 15, I) e a eliminação depois do término, com as hipóteses de conservação que a lei lista (art. 16). Defina com o advogado o que vale para o seu consultório.

Aceite para receber mensagens

Lembrete de consulta e aviso de retorno são mensagens que o consultório inicia. Além da LGPD, há a regra da plataforma: a documentação da Meta pede que a empresa deixe claro que a pessoa está aceitando receber mensagens dela. O aceite pode ser pedido na confirmação do horário, com uma frase direta: "Posso te mandar o lembrete da consulta por aqui?". Quem pede para sair deixa de receber.

O texto dessas mensagens também importa. Elas aparecem na tela bloqueada do celular, às vezes na frente de outras pessoas. "Lembrete do seu retorno amanhã, às 17h" protege o paciente. "Lembrete do seu retorno para ver o resultado da biópsia" expõe.

Controlador e operador

A LGPD define dois papéis. Controlador é a pessoa natural ou jurídica a quem competem as decisões sobre o tratamento dos dados (art. 5º, VI). Operador é quem realiza o tratamento em nome do controlador (art. 5º, VII), e deve seguir as instruções que o controlador fornece (art. 39).

No atendimento com um fornecedor de software, o desenho mais comum é este: o consultório decide para que os dados servem e quem acessa o histórico; o fornecedor trata os dados para operar o serviço, sob contrato e segundo as instruções do consultório. No atendimento aos pacientes, os papéis de controlador e operador são definidos em contrato com o consultório. Na hora de contratar qualquer ferramenta, peça esse desenho por escrito.

Os direitos do paciente

O art. 18 da LGPD dá ao titular o direito de obter do controlador, mediante requisição, entre outras coisas, a confirmação de que há tratamento, o acesso aos dados e a correção de dados incompletos, inexatos ou desatualizados. Na prática, o paciente pode perguntar ao consultório o que está guardado sobre ele.

Um atendimento organizado facilita a resposta: se o cadastro tem só o que a agenda precisa, e o clínico está no prontuário, fica claro onde cada dado está e quem responde por ele.

IA no atendimento: o aviso ao paciente

Se o atendimento inicial for feito por um assistente com IA, há uma regra do Conselho Federal de Medicina além da LGPD. A Resolução CFM nº 2.454/2026 diz que qualquer utilização de IA deve ser comunicada e explicada aos pacientes (art. 11). O aviso vai na primeira mensagem, junto com a finalidade: o assistente marca horários e responde dúvidas administrativas, e o paciente pode pedir uma pessoa a qualquer momento.

Checklist do consultório

• O atendimento pede só o que a agenda precisa.
• A ficha de cadastro não tem campo de sintoma ou histórico.
• Exame enviado pelo WhatsApp vai para o médico, e o lugar dele é o prontuário.
• O paciente aceitou receber lembretes, e o texto não traz motivo clínico.
• O contrato com o fornecedor diz quem é controlador e quem é operador.
• Há uma regra de quanto tempo as conversas ficam guardadas, definida com o advogado.
• Se houver IA, o aviso vem na primeira mensagem.

Para o que o CFM permite e veda no atendimento automático, leia chatbot para médicos: o que pode, segundo o CFM. Para o acompanhamento do paciente, veja retorno de consulta pelo WhatsApp.