Toda clínica trata dado pessoal. A de diagnóstico por imagem trata o tipo mais delicado que existe: a imagem do corpo de uma pessoa e o documento que descreve o que foi encontrado nela.
A LGPD classifica dado referente à saúde como
dado pessoal sensível, e submete essa categoria a um regime mais restritivo que o do dado comum. Isso é o texto da lei, e é o ponto de partida.
O que costuma passar despercebido é que boa parte da exposição não está no sistema clínico — está no marketing e no atendimento. Este artigo mapeia os oito pontos onde isso acontece.
Antes de tudo: o que este artigo não é
Não é parecer jurídico, e não substitui um.
A LGPD prevê hipóteses diferentes para tratar dados, e o tratamento de dado de saúde tem regras próprias. Qual hipótese se aplica a cada atividade de uma clínica específica depende do caso concreto, da finalidade declarada e de como a operação funciona. Essa definição é jurídica.
O que este texto faz é mapear onde o problema aparece, para que a conversa com a assessoria seja objetiva em vez de genérica. Copiar a política de privacidade de outra clínica é o atalho mais comum e um dos mais arriscados: ela foi escrita para operações, finalidades e bases que podem não ser as suas.
Ponto 1: a base de contatos usada para recall
É o ponto de maior exposição, e o menos percebido.
A clínica tem o contato de todo mundo que já fez exame ali. Esse contato foi coletado para atender aquela pessoa. Usá-lo depois para comunicar um serviço novo é usar para
outra finalidade — e é aí que mora o problema.
Vale separar duas coisas que costumam ser tratadas como uma. O
recall por indicação clínica, em que há orientação médica de repetir um exame, é uma situação. A divulgação comercial de um serviço para a base inteira é outra, bem diferente.
Três cuidados mínimos antes de qualquer envio: saber com qual finalidade declarada aquele contato foi coletado; ter a finalidade do envio definida e documentada; e oferecer caminho simples de descadastro. A avaliação de qual base legal sustenta cada envio é da assessoria.
Há um agravante específico das clínicas de imagem: segmentar a base por exame realizado. Mandar uma comunicação só para quem fez determinado exame é, na prática, tratar a lista como lista de condição de saúde — e é um uso bem mais sensível do que um envio geral. Se a segmentação parecer necessária, é exatamente o caso de perguntar antes.
Vale dizer também que organizar a base num CRM não cria nem resolve o problema: facilita o controle de acesso e o descadastro, e ao mesmo tempo torna a segmentação indevida mais fácil de executar por descuido.
Ponto 2: o formulário do site
Todo campo coletado precisa ter finalidade, e a finalidade precisa estar visível antes do envio — não depois.
O erro mais frequente é pedir informação que a clínica não vai usar. Campo de "qual exame você precisa" ou "descreva seu sintoma" transforma um formulário de contato em coleta de dado de saúde, com todo o regime que isso implica. Se a informação não é necessária para responder, o campo não deveria existir.
O segundo erro é o aviso de privacidade inacessível ou genérico. Ele precisa estar vinculado ao formulário, ser legível e dizer o que será feito com aquele dado, por quanto tempo e com quem será compartilhado.
E o terceiro é o destino: formulário que cai numa caixa de e-mail pessoal, acessada de vários dispositivos, sem controle de quem lê. O dado está protegido na lei e desprotegido na prática.
O mesmo raciocínio vale para
agendamento online: quanto mais campos o fluxo pede, mais dado a clínica passa a guardar. A pergunta a fazer em cada campo é se a informação é necessária para marcar o exame. Quando não é, o campo está criando responsabilidade sem criar utilidade.
Ponto 3: as conversas de WhatsApp
Na maioria das clínicas de imagem, é onde está o maior volume de dado sensível fora do sistema.
Pacientes mandam foto de pedido médico, descrevem sintoma, perguntam sobre resultado. Tudo isso fica no aparelho, muitas vezes num celular compartilhado pela recepção, frequentemente sem controle de quem tem acesso, e sem prazo de descarte.
Os cuidados mínimos são operacionais antes de jurídicos: aparelho ou conta de uso exclusivo da clínica, acesso controlado e registrado, política de retenção das conversas, e orientação clara à equipe sobre o que não se pede e não se trata por ali.
O tempo de resposta importa para a conversão, como mostra
tempo de resposta no WhatsApp. Mas a velocidade não pode ser obtida às custas de controle sobre quem vê o quê.
Ponto 4: pixel, tag e remarketing
O ponto mais técnico e o menos discutido.
Uma pessoa visita a página de um exame específico. O pixel registra essa visita e permite exibir anúncios para ela depois. O problema é o que essa informação permite inferir: a visita a uma página de exame específico pode sugerir uma condição de saúde.
Isso coloca uma decisão que normalmente é de desempenho de campanha dentro de um território de dado sensível. Três perguntas precisam ser feitas antes de instalar: em quais páginas o rastreamento vai existir, o que é enviado a terceiros, e se há público de remarketing sendo montado a partir de visita a página de exame específico.
Um detalhe técnico que escapa com frequência: o endereço da página visitada costuma ser enviado junto com o evento. Se a URL contém o nome do exame — e em
páginas de exame ela contém —, essa informação viaja para o terceiro mesmo quando ninguém configurou nada com essa intenção.
A configuração técnica está em GA4 e GTM na clínica de imagem. A decisão sobre onde instalar não é só técnica.
Vale registrar também que o banner de consentimento de cookies precisa funcionar de verdade: carregar o rastreamento antes de qualquer escolha torna o banner decorativo.
Ponto 5: a resposta a avaliações públicas
Um dos erros mais fáceis de cometer e mais difíceis de desfazer.
Alguém reclama publicamente. A clínica responde explicando o caso, mencionando a data do atendimento, o exame, o que aconteceu. A intenção é se defender; o efeito é confirmar publicamente que aquela pessoa é paciente e revelar informação sobre a saúde dela.
A resposta correta é curta e não confirma nada: agradece, lamenta a experiência e oferece um canal privado. Sem confirmar atendimento, sem citar exame, sem data, sem detalhe.
Isso vale inclusive para avaliação positiva: responder "que bom que o resultado da sua ressonância saiu rápido" revela exatamente o que não deveria. A condução geral está em
avaliações no Google, e o uso de
depoimento de paciente tem camada adicional de exigência.
Ponto 6: o portal de resultados
Entregar laudo online é bom para o paciente e concentra responsabilidade.
Os pontos a verificar: como o acesso é autenticado, se a senha inicial é previsível, por quanto tempo o documento fica disponível, se há registro de quem acessou o quê, e o que acontece quando o paciente perde o acesso.
Um detalhe frequente e sério: link de acesso enviado por mensagem, sem autenticação, que funciona para qualquer pessoa que o receba. É cômodo e transforma um encaminhamento acidental em exposição de laudo.
O funcionamento do canal está em
portal do paciente.
Ponto 7: o envio do laudo por mensagem
Prática comum, e que merece decisão consciente em vez de hábito.
Enviar um laudo por aplicativo de mensagem é tratar dado sensível por um canal que a clínica não controla, para um número que ela presume ser do titular. Dois riscos concretos: número digitado errado, e aparelho compartilhado por mais de uma pessoa.
Os cuidados que reduzem isso: confirmar que o número é do titular, registrar a autorização do envio por aquele canal, e preferir o caminho em que a mensagem leva a um ambiente autenticado em vez de carregar o documento.
Há uma tensão real aqui, e não vale esconder: o envio direto é mais cômodo para o paciente, e comodidade é parte do serviço. A saída não é recusar a conveniência — é construir um caminho que seja cômodo e controlado ao mesmo tempo, em geral pelo portal. Quem resolve isso bem ganha nos dois lados, inclusive no
prazo percebido de entrega.
A forma adequada para cada clínica depende da operação e deve ser definida com assessoria — não copiada do que a clínica vizinha faz.
Ponto 8: os terceiros
A clínica raramente trata dados sozinha.
Agência com acesso ao formulário do site, empresa de laudagem a distância, sistema de gestão em nuvem, ferramenta de disparo de mensagens, empresa de telefonia com gravação de chamadas. Todos tocam dado, e a responsabilidade não desaparece ao terceirizar.
O mínimo: saber quem tem acesso a quê, ter contrato que trate disso, e verificar o que cada fornecedor faz com o dado. Quando há rastreamento de ligações com gravação, há um tratamento adicional que precisa de aviso e de finalidade.
Inclui também o acesso interno: quem na recepção vê laudo, e por quê. Perfil de acesso no sistema costuma estar aberto por conveniência, e revisar isso é uma das medidas de maior efeito e menor custo da lista inteira.
Em clínica com mais de uma unidade o problema cresce: o acesso compartilhado entre unidades é prático para o atendimento e expande bastante o número de pessoas que podem ver o laudo de um paciente que nunca passou por aquela unidade.
Consentimento não resolve tudo — e às vezes não é o caminho
A reação natural de quem lê um artigo como este é achar que basta pedir autorização para tudo. Vale desfazer isso.
A lei prevê hipóteses diferentes para tratar dados, e consentimento é apenas uma delas. Tratamento de dado de saúde tem regras próprias, e em várias situações o atendimento ao paciente se sustenta por caminhos que não dependem de consentimento — o que é bom, porque consentimento tem uma propriedade incômoda: pode ser revogado.
Isso tem uma consequência prática importante. Se a clínica apoia em consentimento algo que precisa continuar existindo — o prontuário, por exemplo, que tem norma própria de guarda —, ela cria um conflito entre a revogação e a obrigação de manter o documento.
Por isso a escolha da base de cada tratamento é decisão jurídica e não administrativa. O erro comum não é deixar de pedir autorização: é pedir autorização para tudo, achar que isso resolve, e descobrir depois que o consentimento era inadequado para metade dos casos.
O que a equipe precisa saber, em linguagem de balcão
Nenhuma política funciona se quem atende não souber o que fazer. E ninguém no balcão vai ler um documento jurídico.
Cinco regras curtas cobrem a maior parte das situações reais:
- Resultado só para o titular, ou para quem ele autorizou formalmente. Parente que liga pedindo não é autorização.
- Não confirmar atendimento a terceiros. Nem para dizer que a pessoa esteve na clínica.
- Não pedir informação clínica que a clínica não precisa para agendar.
- Não comentar caso de paciente em lugar onde outro paciente ouve — o que inclui o próprio balcão.
- Encaminhar pedido de titular para o responsável, sempre, sem resolver na hora.
Essas cinco cabem numa folha e entram naturalmente no
script de atendimento. Quando há
central de atendimento separada da unidade, o cuidado é maior, porque quem responde não vê o paciente e tem menos contexto para avaliar quem está do outro lado.
Os vazamentos pequenos, que são os mais comuns
A exposição de dado de paciente numa clínica de imagem raramente acontece por invasão de sistema. Acontece em miudezas de rotina.
A lista de papel no balcão, com nomes e exames do dia, virada para quem está em pé do outro lado.
O nome chamado em voz alta junto com o exame. Chamar pelo nome é necessário; acrescentar a modalidade na frente da sala de espera revela informação de saúde para todos os presentes.
O monitor da recepção, visível do corredor, com a agenda aberta.
A conversa entre funcionários sobre um caso, com a sala de espera ocupada.
O laudo impresso esquecido na impressora compartilhada, ou entregue ao paciente errado por semelhança de nome.
O grupo de mensagens da equipe, onde alguém manda a imagem de um caso interessante.
Nenhuma dessas exige investimento para resolver. Exigem que alguém olhe a operação com esse olhar, uma vez, e corrija. É também o que mais pesa na percepção de cuidado da clínica, assunto de
experiência do paciente.
O mínimo exigível, em seis itens
- Finalidade declarada para cada dado coletado, visível antes da coleta.
- Base legal definida para cada tratamento, com apoio jurídico.
- Aviso de privacidade acessível, específico da clínica, em linguagem compreensível.
- Prazo de guarda estabelecido para cada tipo de dado, lembrando que documento médico tem norma própria de guarda, que precisa ser levantada.
- Encarregado indicado, com canal de contato publicado.
- Caminho para o titular pedir acesso, correção ou exclusão, com responsável e prazo de resposta.
Nenhum desses seis é peça de marketing, e todos aparecem no site — que é onde o titular vai procurar.
Por onde começar nesta semana
- Liste todos os lugares em que a clínica coleta ou guarda dado de paciente, incluindo celular da recepção e caixa de e-mail.
- Para cada um, anote qual finalidade foi declarada na coleta.
- Verifique o formulário do site e remova campos que não são necessários.
- Levante quem tem acesso ao WhatsApp da clínica e a laudos.
- Confira em quais páginas há pixel instalado e o que é enviado a terceiros.
- Leve essa lista para a assessoria jurídica, em vez de pedir uma política genérica.
Quando chamar a assessoria
Antes de definir base legal de qualquer tratamento. Antes de usar a base de pacientes para finalidade nova. Antes de instalar rastreamento em páginas de exame.
E sempre, sem exceção, diante de pedido formal de titular ou de incidente de segurança. Esses dois têm prazo e forma, e improvisar custa caro.
Para quem isto não serve
Este artigo não serve como política de privacidade, nem como checklist de conformidade completo. Ele cobre o recorte de marketing e atendimento, que é uma parte do problema.
Clínica que já tem programa de privacidade implantado e encarregado atuante vai encontrar aqui um mapa dos pontos de contato, útil para revisão, não para implantação.
Para a clínica que ainda não olhou para isso, o valor está em descobrir que a exposição não está no sistema clínico — está no celular da recepção, no formulário do site e no pixel que alguém instalou sem avaliar onde. O panorama do que precisa estar de pé está em o checklist do básico, e o contexto geral em
marketing para clínicas de diagnóstico por imagem.
