O que a LGPD muda no marketing da clínica médica?

A Lei Geral de Proteção de Dados, a Lei nº 13.709/2018, muda o marketing da clínica porque trata o dado referente à saúde como dado pessoal sensível. Isso pede mais cuidado em tudo o que envolve pacientes: listas de contato, conversas por mensagem, formulários do site, anúncios e uso de imagens.

Este texto resume o que a lei diz e não é parecer jurídico. A adequação de cada clínica deve ser feita com apoio jurídico e com o encarregado de dados.

Por que a LGPD pesa mais numa clínica médica?

Porque a lei classifica como dado pessoal sensível o dado referente à saúde (art. 5º, II), e o tratamento de dados sensíveis só pode ocorrer nas hipóteses listadas no art. 11. Numa clínica, quase toda conversa com paciente envolve esse tipo de dado: o motivo da consulta, o exame, o tratamento.

Por isso, o que é rotina em outros negócios, como guardar contatos e usar essa lista em campanhas, pede atenção redobrada numa clínica.

Quando a clínica pode usar dados de pacientes?

A lei lista as hipóteses em que o tratamento é permitido. Para dados pessoais em geral, elas estão no art. 7º e incluem, entre outras, o consentimento, o cumprimento de obrigação legal e o legítimo interesse. Para dados sensíveis, valem as hipóteses do art. 11, que é mais restrito. Entre elas:

• o consentimento do titular, de forma específica e destacada, para finalidades específicas;
• a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
• o cumprimento de obrigação legal ou regulatória e o exercício regular de direitos, entre outras situações previstas na lei.

A lei também exige que o consentimento seja dado por escrito ou por outro meio que demonstre a vontade do titular, que se refira a finalidades determinadas e que possa ser revogado a qualquer momento (art. 8º). E proíbe a comunicação ou o uso compartilhado de dados sensíveis referentes à saúde entre controladores com objetivo de obter vantagem econômica, salvo as exceções que ela mesma prevê (art. 11, §4º).

Qual hipótese se aplica a cada uso de dados, como o envio de comunicações de marketing, é uma análise que a clínica deve fazer com apoio jurídico.

O que muda no atendimento por mensagem?

As conversas por mensagem também são tratamento de dados, e muitas vezes de dados sensíveis. Alguns cuidados práticos:

• pedir só os dados necessários para agendar e atender;
• definir quem tem acesso às conversas e aos contatos;
• não usar conversas de atendimento em material de marketing;
• não reaproveitar a lista de contatos para outra finalidade sem verificar a base legal;
• informar ao paciente, de forma clara, como a clínica usa os dados dele.

Esse último ponto conversa com o direito do titular ao acesso facilitado às informações sobre o tratamento dos seus dados, como finalidade, forma e duração, e identificação e contato de quem os trata (art. 9º).

Que direitos o paciente pode exercer?

O art. 18 lista os direitos do titular. Entre eles:

• confirmar se a clínica trata seus dados e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• pedir a eliminação dos dados tratados com base no consentimento, ressalvadas as exceções da lei;
• revogar o consentimento.

Na prática, a clínica precisa saber onde estão os dados de cada paciente para conseguir responder a esses pedidos.

O que a clínica precisa ter organizado?

• Encarregado de dados. A lei prevê a indicação de um encarregado, com identidade e contato divulgados publicamente, de preferência no site (art. 41). A mesma lei permite que a ANPD estabeleça normas complementares, inclusive hipóteses de dispensa (art. 41, §3º). Vale verificar com o jurídico o que se aplica à clínica.
• Segurança. Medidas técnicas e administrativas para proteger os dados de acessos não autorizados e de incidentes (art. 46).
• Plano para incidentes. Em caso de incidente de segurança que possa trazer risco ou dano relevante, a clínica deve comunicar a ANPD e o titular (art. 48).
• Mapa dos dados. Onde estão os dados de pacientes (agenda, sistema, mensagens, planilhas, ferramentas de marketing) e quem tem acesso.
• Site e cookies. Informações claras sobre o uso de dados e, se o site usa cookies não necessários, um banner que permita recusá-los. A ANPD tem um guia orientativo sobre cookies, de 2022.

Quando procurar apoio jurídico?

Sempre que a clínica for definir a base legal de um uso de dados, redigir a política de privacidade, contratar ferramentas que guardam dados de pacientes ou responder a um incidente. O marketing pode organizar a rotina, mas as decisões legais precisam de quem tem formação para isso.

No marketing, o papel é aplicar no dia a dia o que foi definido: quais dados coletar, onde guardar, quem acessa e como usar.