A resposta curta
A clínica trata dados pessoais sensíveis de saúde e por isso precisa de base legal do artigo 11 da Lei 13.709/2018, em regra consentimento específico e destacado, além de aviso de privacidade claro, registro das operações, medidas de segurança, encarregado indicado, contratos com fornecedores e plano de resposta a incidentes comunicados à ANPD e aos titulares.
Por que a clínica de estética não se encaixa na exceção de saúde?
A Lei 13.709/2018 classifica dado referente à saúde como dado pessoal sensível e, no artigo 11, restringe as hipóteses de tratamento. O inciso I traz o consentimento específico e destacado para finalidades específicas. O inciso II lista situações em que o consentimento é dispensado, entre elas a tutela da saúde exercida por profissionais de saúde, serviços de saúde ou autoridade sanitária.
A leitura mais aceita é que procedimentos estéticos eletivos e embelezadores não se enquadram confortavelmente na hipótese de tutela da saúde, ainda que executados por profissional de saúde. Não há tratamento de doença nem finalidade assistencial em sentido estrito. A consequência prática é direta: a clínica de estética deve estruturar seu tratamento de dados sobre consentimento específico e destacado, e não presumir que a exceção da saúde a cobre.
Isso vale sobretudo para o que mais interessa comercialmente: marketing, remarketing, lista de transmissão, campanha de reativação, uso de fotos, integração com plataformas de anúncio. Nada disso é tutela da saúde. Cada finalidade precisa de sua própria autorização, e o artigo 11 veda o uso compartilhado de dados de saúde com objetivo de obter vantagem econômica, com ressalvas restritas ligadas ao benefício do próprio titular.
Quais controles a clínica precisa ter de fato?
| Obrigação | O que significa na clínica | Referência |
|---|---|---|
| Base legal por finalidade | Uma autorização para tratamento, outra para imagem, outra para marketing | Artigos 7º e 11 da LGPD |
| Transparência | Aviso de privacidade em linguagem clara, disponível antes da coleta | Artigo 9º |
| Direitos do titular | Canal para acesso, correção, portabilidade, revogação e informação sobre compartilhamento | Artigo 18 |
| Encarregado | Pessoa indicada e identificada publicamente como canal com titulares e ANPD | Artigo 41 |
| Segurança | Controle de acesso por perfil, senha individual, backup, sigilo contratual da equipe | Artigo 46 |
| Operadores | Contrato com quem processa dados por você: software de agenda, contabilidade, marketing, nuvem | Artigos 39 e 42 |
| Incidentes | Plano de resposta e comunicação à ANPD e aos titulares em prazo razoável | Artigo 48 |
O ponto fraco típico não é a política de privacidade, é o WhatsApp. Fotos clínicas circulando em grupos, celular pessoal de recepcionista com histórico de pacientes, prints encaminhados a fornecedores, tudo isso é tratamento de dado sensível sem controle. A LGPD não proíbe usar mensageiro, exige que o uso tenha regra escrita, acesso restrito e retenção definida.
Outro ponto é o software. Sistema de gestão, agenda online, ferramenta de disparo e provedor de nuvem são operadores. Sem contrato com cláusulas de proteção de dados, a clínica continua respondendo perante o titular e a ANPD como controladora.
O que muda em Portugal?
Se a operação atende também Portugal, a norma aplicável é o Regulamento Geral sobre a Proteção de Dados, com a Comissão Nacional de Proteção de Dados como autoridade, e não a LGPD com a ANPD. A estrutura é semelhante — dado de saúde é categoria especial, exige base reforçada e o consentimento deve ser explícito —, mas o regime de encarregado, avaliações de impacto e notificação de violações segue o RGPD e a legislação nacional sobre informação de saúde. Um aviso de privacidade escrito só para o Brasil não serve para pacientes tratados em Portugal.
O que isso significa para a sua documentação
Tenha arquivado e atualizado: aviso de privacidade com data de versão; termo de consentimento de tratamento de dados assinado, separado do consentimento clínico; termo de autorização de imagem, também separado; registro das operações de tratamento, descrevendo quais dados coleta, para quê, com quem compartilha e por quanto tempo guarda; termos de confidencialidade assinados por toda a equipe, inclusive estagiários e prestadores; contratos com operadores; e um procedimento de resposta a incidentes com responsáveis nomeados.
Some a isso a política de retenção. A guarda de prontuário por 20 anos é obrigação legal e justifica a conservação, mas não autoriza usar esse acervo para vender. Escreva essa fronteira: é ela que a ANPD vai querer ver.
Perguntas relacionadas
Esta resposta é informativa e não constitui aconselhamento jurídico ou médico. As exigências variam por conselho profissional e mudam com o tempo: confirme com os seus próprios consultores jurídicos e clínicos antes de aplicar.