LGPD e dados de paciente em campanha: o que pode e o que não pode

Toda clínica que anuncia trata dado de saúde. O formulário pergunta o que a pessoa sente, o anúncio leva para a página de um procedimento, a conversa vira histórico. Abaixo, o que a lei e os guias da ANPD dizem. Caso concreto pede advogado.

A lei separa dado comum e dado de saúde em dois artigos diferentes

O art. 5º, II da Lei 13.709/2018 lista o "dado referente à saúde" entre os dados pessoais sensíveis, ao lado de convicção religiosa, opinião política e dado genético. A diferença que muda a operação vem depois. Dado comum é autorizado pelo art. 7º, que lista dez hipóteses, entre elas o legítimo interesse, no inciso IX. Dado sensível é autorizado pelo art. 11: consentimento específico e destacado, no inciso I, ou, sem consentimento, nas hipóteses do inciso II, alíneas "a" a "g". A alínea "f" é a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Anúncio não é procedimento de saúde.

Legítimo interesse não aparece no art. 11. Não é interpretação nossa: o guia da ANPD sobre o tema, de 2024, diz que a hipótese não se aplica a dado sensível, e o primeiro exemplo do guia é uma clínica médica.

Ponto	Dado pessoal comum	Dado de saúde
Legítimo interesse	Sim, art. 7º, IX	Não, diz a ANPD
Consentimento	Finalidades determinadas, art. 8º, § 4º	Específico e destacado, art. 11, I
Compartilhar com outro controlador	Consentimento específico, art. 7º, § 5º	Vedado por vantagem econômica, com exceções, art. 11, § 4º

O formulário de lead que pergunta qual é o problema do paciente

Esse é o erro mais comum e o mais fácil de corrigir. O formulário pergunta "qual sua queixa" ou lista condições clínicas para marcar. Virou coleta de dado sensível. E o art. 11, § 1º vai além: a regra vale para qualquer tratamento que revele dado sensível e possa causar dano.

Some o art. 8º, § 4º, que declara nulas as autorizações genéricas, e o art. 8º, § 2º, que joga no controlador o ônus de provar o consentimento. O "li e aceito" do rodapé não é consentimento destacado.

A saída que a gente usa é chata e funciona: perguntar menos. O art. 6º, III limita o tratamento ao mínimo necessário. Formulário pede nome e contato, a triagem fica com o profissional. E dá para qualificar sem tocar em dado sensível: em conta que atende só particular, a gente avisa na primeira linha do anúncio. Custa alcance, devolve agenda com gente certa.

Lista de paciente virando público e pixel na página do procedimento

Subir a base como público personalizado parece inofensivo: você só manda telefone e e-mail. Só que a lista é de gente com relação de saúde com aquela clínica, e estar no arquivo já revela algo. Pior: o art. 11, § 4º veda a comunicação ou o uso compartilhado de dados sensíveis de saúde entre controladores com objetivo de vantagem econômica, com exceções ligadas à prestação de serviços de saúde e à portabilidade. Leve isso a um advogado.

O pixel repete o problema com outra cara. Se o evento carrega o nome do procedimento na URL, você manda para a plataforma o sinal de que aquela pessoa se interessou por aquele tratamento. Virou rotina aqui: antes de mexer em conta de saúde, abrir as URLs de destino e as UTMs procurando nome de procedimento. Aparece mais do que você imagina.

O guia de cookies da ANPD, de outubro de 2022, dá a régua do consentimento: cookie que depende dele fica desativado por padrão, sem opção pré-marcada nem consentimento tácito. Na prática: página de conversão neutra, nunca condição clínica como parâmetro.

A conversa de WhatsApp é histórico, e o agente de IA também é

A gente lê conversa uma a uma, em vez de olhar só o painel. Foi assim que descobrimos, numa conta de saúde animal, que o gargalo não era volume nem custo por conversa: era o tempo entre a mensagem e a resposta. Corrigir passa por automação, e ali o dado sensível reaparece: os agentes que montamos agendam, cancelam e escalam para humano com resumo, e esse histórico fica guardado.

Três coisas viraram regra da casa. O agente não pergunta diagnóstico, ele agenda, porque o mínimo do art. 6º, III vale para robô também. O paciente sabe que fala com uma IA, sempre. Quem acessa a caixa e por quanto tempo aquilo fica guardado precisa estar decidido: o art. 46 exige segurança, observada desde a concepção pelo § 2º, e o art. 18 dá direito de acesso, correção e eliminação.

Um aviso que já custou caro aqui: agente de IA falha em silêncio. Num agente em produção, um filtro com a condição invertida bloqueou todas as mensagens. Nenhum erro, nenhum alerta, só a fila parada. Automatizar confirmação sem alguém conferindo é o mesmo que não ter confirmação.

A divisão honesta: mídia e atendimento entregam demanda e conversa, a consulta e a venda continuam da clínica, e o que perguntar e onde guardar é decisão dela, a controladora. O art. 52, II prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício, excluídos os tributos, com teto por infração.

Perguntas frequentes

Posso usar legítimo interesse para dado de saúde na campanha?

Não. Ele está no art. 7º, IX, que trata do dado comum, e não foi reproduzido no art. 11, que rege o dado sensível. O guia da ANPD de 2024 afirma isso e usa uma clínica médica de exemplo.

Meu formulário pode perguntar qual é a queixa do paciente?

Pode, mas aí você coleta dado sensível e precisa de base do art. 11, em geral consentimento específico e destacado, com prova de que foi obtido, pelo art. 8º, § 2º. Na maioria das campanhas não compensa: peça nome e contato.

E se eu já subi lista de paciente como público personalizado?

Pare de repetir enquanto não conversar com um advogado sobre o art. 11, § 4º. Dá para trabalhar com público de site em página neutra, de engajamento e semelhante feito de sinal que não revela condição clínica.