LGPD e dados de paciente em campanha: o que pode e o que não pode
Dado de saúde é sensível por definição, não por interpretação
O art. 5º, II, da Lei nº 13.709/2018 diz que dado pessoal sensível é o dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Saúde está no texto. Não é leitura de advogado nem opinião de consultoria, é a definição legal. E dado sensível não segue a mesma lista de bases legais do dado comum, o que muda tudo na hora de montar campanha de clínica.
O art. 7º lista as bases para dado pessoal comum e inclui o legítimo interesse no inciso IX. O art. 11 lista as bases para dado sensível e não repete o legítimo interesse em nenhum inciso ou alínea. Quem compara os dois dispositivos no texto oficial vê a ausência. Na prática, a clínica não sustenta um público formado por condição de saúde alegando que tem interesse legítimo em vender o tratamento. Essa porta simplesmente não existe para esse tipo de dado.
As hipóteses do art. 11 são fechadas: consentimento específico e destacado para finalidades específicas e, sem consentimento, cumprimento de obrigação legal ou regulatória, políticas públicas, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude. A alínea f ainda restringe a tutela da saúde ao dizer "exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária". Atendimento entra. Captação de paciente não entra. Sobra o consentimento do inciso I quando a finalidade é marketing.
O parágrafo que pega o remarketing de clínica
O art. 11, § 1º diz o seguinte: "Aplica-se o disposto neste artigo a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular, ressalvado o disposto em legislação específica". São dois requisitos que andam juntos: revelar o dado sensível e poder causar dano à pessoa. Não é preciso ter campo de diagnóstico, prontuário nem CID em lugar nenhum. Se o agrupamento revela a condição de saúde e esse uso pode causar dano à pessoa, o regime do art. 11 alcança aquele tratamento. É o dispositivo que trata do dado que apenas revela a condição, e é ele que alcança a operação de mídia.
Aplique isso a um público de remarketing. Se a clínica cria um público com quem visitou a página de tratamento de fertilidade, de apneia do sono ou de dependência química, esse público revela dado de saúde de cada pessoa que está dentro dele, e a exposição dessa condição é exatamente o tipo de dano que o parágrafo tem em vista. Ninguém digitou nada, o comportamento fez o trabalho. O mesmo raciocínio vale para evento de conversão nomeado com o procedimento e para público semelhante criado a partir dessa base, porque a origem continua sendo a mesma informação.
As plataformas chegaram na mesma conclusão por outro caminho. A política de Publicidade Personalizada do Google classifica saúde como categoria de interesse sensível, e a política de saúde na publicidade personalizada proíbe, para quem promove produto ou serviço de saúde, os públicos selecionados pelo anunciante, o Customer Match, os segmentos dos seus dados, a expansão de público e os segmentos semelhantes. Continuam liberados os públicos predefinidos do Google, segmentos no mercado, afinidade, dados demográficos com exceções, segmentação por local e segmentos personalizados com restrições. O racional oficial é que os públicos predefinidos são montados sem sinais sensíveis do usuário.
Na Meta, o padrão de violações de privacidade e atributos pessoais proíbe anúncio que afirme ou implique atributo pessoal da audiência, e saúde física ou mental está na lista. O exemplo oficial de reprovado é "Você tem diabetes?". O exemplo oficial de aprovado é "Aconselhamento para depressão disponível". A régua é a mesma do art. 11, § 1º: falar do tema é permitido, presumir a condição de quem está lendo não é. O padrão de saúde e bem-estar ainda exige segmentação só para maiores de 18 anos em anúncios de perda ou ganho de peso, suplementos e procedimentos estéticos.
Lista de paciente é o erro mais caro
O art. 11, § 4º é direto: é vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica. As exceções são específicas e giram em torno de prestação de serviços de saúde, assistência farmacêutica e assistência à saúde, para permitir portabilidade pedida pelo titular ou transações financeiras e administrativas decorrentes desses serviços. Subir a base de pacientes para uma plataforma de anúncio não se encaixa em nenhuma dessas exceções, porque é comunicação entre controladores com finalidade econômica.
Os Termos para Ferramentas de Negócios da Meta dizem a mesma coisa em outra língua. A seção de dados proibidos determina que o anunciante não compartilhe dados que incluam ou sejam baseados, direta ou indiretamente, em informações de saúde, financeiras ou outras categorias sensíveis, e estende a vedação aos nomes de eventos, aos critérios de conversão e aos públicos personalizados criados pelo anunciante, que não podem refletir, implicar ou se basear nessas categorias. Isso alcança pixel, API de Conversões e público personalizado por igual.
No Google, a política de dados do cliente exige que o anunciante faça upload apenas de dados próprios, compartilhados diretamente com ele pelo cliente, e que informe esse compartilhamento ao cliente, por exemplo na política de privacidade, obtendo o consentimento exigido pela legislação aplicável. A mesma política determina que conversões relacionadas a categorias sensíveis não podem ser usadas para medição, e saúde está expressamente na lista. Ou seja, mesmo o dado que a clínica coletou de forma legítima no atendimento não vira insumo de mídia por conta própria.
| Recurso da campanha | Como fica para clínica | Onde isso está escrito |
|---|---|---|
| Público de quem visitou a página de um tratamento | Entra no regime de dado sensível quando revela a condição de saúde e o uso pode causar dano à pessoa | LGPD, art. 11, § 1º |
| Legítimo interesse como base do público | Não existe para dado de saúde, só para dado comum | LGPD, art. 7º, IX, comparado ao art. 11 |
| Upload da base de pacientes na plataforma | Comunicação entre controladores com objetivo econômico, vedada fora das exceções de serviço de saúde | LGPD, art. 11, § 4º |
| Customer Match, segmentos dos seus dados e semelhantes | Proibidos para quem promove produto ou serviço de saúde | Google Ads, saúde na publicidade personalizada |
| Nome de evento, conversão ou público que reflita saúde | Não pode ser compartilhado com a plataforma | Meta, Termos para Ferramentas de Negócios, dados proibidos |
| Anúncio que pergunta ou presume a condição do leitor | Reprovado, ainda que falar do serviço seja permitido | Meta, padrão de privacidade e atributos pessoais |
Formulário, checkbox e política de privacidade
O art. 8º, § 4º diz que o consentimento tem que se referir a finalidades determinadas e que autorizações genéricas são nulas. Traduzindo para o formulário da clínica: um único checkbox de "li e aceito os termos" cobrindo atendimento, lembrete de consulta, newsletter e público de anúncio é nulo. O § 2º do mesmo artigo coloca o ônus da prova no controlador, então é a clínica que precisa demonstrar como e quando aquele consentimento foi obtido, não o paciente que precisa provar que nunca deu.
O art. 11, I, ainda exige que o consentimento para dado sensível seja dado de forma específica e destacada, para finalidades específicas. Destacado quer dizer separado do resto, não escondido no meio de um termo de aceite. Na prática, o formulário que se sustenta tem uma caixa para o contato do atendimento e outra, opcional e separada, para o uso do dado em comunicação e publicidade. Caixa pré-marcada não é escolha, e deixar de marcar a segunda não pode bloquear o agendamento.
O art. 9º lista o que o titular precisa saber de forma clara e ostensiva: finalidade específica, forma e duração do tratamento, identificação e contato do controlador, informações sobre o uso compartilhado e a finalidade dele, responsabilidades dos agentes e direitos do titular. O § 1º diz que o consentimento é nulo se as informações forem enganosas, abusivas ou não apresentadas previamente com transparência. É esse artigo que obriga a política de privacidade a dizer, com todas as letras, que a clínica compartilha dados com plataformas de anúncio e para quê.
Falta a parte da revogação: o art. 8º, § 5º garante revogação a qualquer momento, por procedimento gratuito e facilitado. Isso precisa existir de verdade, com um caminho para a pessoa pedir a saída e alguém responsável por executar, inclusive removendo o registro das listas já enviadas. Se a revogação não chega até a plataforma, o consentimento vira decorativo. Vale desenhar esse fluxo junto do CRM e da automação, porque é ali que o pedido costuma chegar primeiro.
WhatsApp: opt-in, conteúdo e o que não vira público
A Política de Mensagens Comerciais do WhatsApp condiciona o contato a duas exigências cumulativas: a pessoa forneceu o número e a empresa recebeu permissão de opt-in confirmando que ela deseja receber mensagens ou chamadas seguintes. Lista comprada, base antiga da recepção e planilha de indicação não cumprem isso. E o opt-in que a clínica registra precisa ficar guardado com data e origem, porque, de novo, o ônus da prova é de quem trata o dado, não de quem reclama.
Sobre conteúdo, a política diz que a empresa não deve usar o WhatsApp para fornecer telemedicina nem para enviar ou solicitar informações relacionadas à saúde se as leis aplicáveis proibirem a distribuição dessas informações a sistemas que não cumprem os requisitos necessários. É uma regra condicional, não uma proibição geral de clínica no canal. O que ela recomenda na prática é simples: o WhatsApp serve para agendar, confirmar e orientar, enquanto queixa clínica, exame e diagnóstico ficam para o atendimento.
Sobre uso de dados, a política determina que a empresa não use, para nenhuma finalidade além de dar suporte à troca de mensagens com aquela pessoa, os dados obtidos pela plataforma sobre ela, com exceção do conteúdo das conversas. Transformar histórico de conversa em público de anúncio está fora. Se a operação usa IA no atendimento, essa regra precisa estar escrita no fluxo, não só na cabeça de quem responde.
O que a lei fecha é a segmentação, não o anúncio
Clínica pode anunciar no Google e na Meta, pode falar do procedimento, pode usar segmentação por localização, dados demográficos dentro das exceções e públicos predefinidos da plataforma, e pode medir resultado com conversão que não descreva a condição de ninguém. O que não dá é montar a campanha em cima do que a pessoa tem. A diferença entre as duas coisas é a linha que separa uma operação saudável de uma que trata dado sensível sem base legal.
Na prática, a conformidade aqui é decisão de arquitetura, tomada antes de subir campanha: quais eventos existem, como se chamam, quais públicos são permitidos, o que o formulário pede, o que a política de privacidade declara e como alguém revoga. Arrumar isso depois custa reconstruir conta, público e medição do zero. O art. 52 prevê sanções administrativas para infração à lei, e o dano de imagem de uma clínica que expõe a condição de um paciente por causa de um anúncio é ainda mais difícil de reverter.
Quer revisar a campanha da sua clínica antes que ela vire problema?
A Beatus faz um diagnóstico gratuito das campanhas e do fluxo de captação da clínica, olhando público, evento de conversão, formulário e atendimento no WhatsApp. Você sai da conversa sabendo o que precisa mudar, mesmo que decida executar sozinho. São 4 anos de operação e mais de 40 negócios atendidos, com sede em Maricá e trabalho em todo o Rio de Janeiro.
Falar no WhatsAppPerguntas frequentes
Clínica pode fazer remarketing?
Pode, com cuidado no que forma o público. Se o público se apoia na visita à página de um tratamento específico, ele revela dado de saúde e, quando esse uso pode causar dano à pessoa, entra no art. 11, § 1º da LGPD. No Google, a política de saúde na publicidade personalizada proíbe segmentos dos seus dados para quem promove serviço de saúde. Remarketing genérico de marca é outra conversa.
Posso subir a lista de pacientes no Meta Ads ou no Google Ads?
Não. O art. 11, § 4º veda comunicação ou uso compartilhado entre controladores de dado sensível de saúde com objetivo de vantagem econômica, fora de exceções ligadas à prestação de serviço de saúde. Os termos da Meta proíbem compartilhar dados baseados em informação de saúde, e a política do Google proíbe Customer Match para quem promove serviço de saúde.
Consentimento é a única base legal para dado de saúde?
Não. O art. 11 traz outras hipóteses, como obrigação legal, exercício regular de direitos, proteção da vida e tutela da saúde. Só que nenhuma delas cobre finalidade publicitária, e a alínea f restringe a tutela da saúde a procedimento realizado por profissionais ou serviços de saúde. Para marketing, sobra o consentimento específico e destacado do inciso I.
A ANPD já multou clínica por causa de pixel?
Não há decisão pública conhecida nesse sentido, e a ANPD não publicou guia orientativo sobre dado de saúde em publicidade. O que existe é o art. 52 da LGPD, que prevê as sanções administrativas aplicáveis por infração à lei. Ou seja, a regra vale hoje, independentemente de haver ou não um caso emblemático para citar.
Meta e Google proíbem clínica de anunciar?
Não. As duas permitem anunciar serviço de saúde dentro das regras. O que elas restringem é segmentação e compartilhamento de dados, além de certos conteúdos e faixas etárias. A Meta reprova anúncio que presume a condição de quem lê, como perguntar se a pessoa tem determinada doença, e exige 18 anos ou mais em temas como emagrecimento e procedimentos estéticos.
Posso mandar mensagem no WhatsApp para quem preencheu o formulário?
Se o formulário registrou o opt-in de forma clara, sim, para a finalidade que a pessoa aceitou. A política do WhatsApp exige que a pessoa tenha fornecido o número e dado permissão para receber as mensagens seguintes. Guarde data e origem desse aceite. E não use o histórico da conversa para montar público de anúncio.
Bruno Vasconcellos
Fundador da Beatus Mídias, agência de tráfego pago, CRM e inteligência artificial para vendas, com sede em Maricá (RJ). Opera mídia para negócios locais no Rio de Janeiro desde 2022.
Sobre o autor