Uma clínica de fisioterapia lida diariamente com informações de saúde, como queixas, diagnósticos e evolução do atendimento. A organização desses registros exige atenção às normas profissionais e à proteção de dados pessoais.
Este texto reúne o que já está escrito em norma e documentação pública sobre três pontos da rotina administrativa: o prontuário, a conversa no WhatsApp e o anúncio. Não é parecer jurídico, e a última seção diz com clareza o que fica de fora.
Dado de saúde tem regra mais rígida que o resto do cadastro
A Lei Geral de Proteção de Dados, a Lei nº 13.709/2018, separa dado pessoal de dado pessoal sensível. O artigo 5º, inciso II, coloca nessa segunda categoria o "dado referente à saúde ou à vida sexual". Telefone e nome do paciente são dado pessoal. A queixa que ele descreveu na primeira mensagem já é dado de saúde.
A diferença prática está no artigo 11. Enquanto o dado comum pode ser tratado em dez hipóteses diferentes, o dado sensível só pode ser tratado em duas situações: com consentimento do titular dado "de forma específica e destacada, para finalidades específicas", ou sem consentimento nas hipóteses em que for indispensável, entre elas a "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária".
Guarde essa frase, porque ela resolve metade das dúvidas que aparecem depois: a hipótese que autoriza a clínica a tratar o dado de saúde é o atendimento. Ela não autoriza qualquer outra finalidade.
Prontuário: guarda, sigilo e cuidados antes do descarte
Antes da LGPD, o prontuário já era regulado. A Resolução COFFITO nº 414/2012, publicada no DOU de 23/05/2012, torna obrigatório o registro em prontuário das atividades assistenciais e define o que ele precisa conter no mínimo: identificação do paciente, história clínica, exame clínico e físico, exames complementares, diagnóstico e prognóstico fisioterapêuticos, plano terapêutico, evolução e identificação do profissional com nome e número de registro no CREFITO.
Quatro pontos dessa resolução interessam direto a quem administra a clínica:
- Sigilo. O artigo 3º obriga o fisioterapeuta a manter sigilo de todas as informações contidas no prontuário.
- O prontuário é do paciente. O artigo 4º diz que o documento e seus dados pertencem ao paciente e só podem ser divulgados com autorização dele ou do responsável legal, por dever legal ou justa causa. O artigo 5º veda negar ao paciente o acesso ao próprio prontuário.
- Prazo de guarda. A Resolução 414/2012 cita cinco anos, ressalvando ampliação por lei. A posterior Lei 13.787/2018, artigo 6º, prevê prazo mínimo de 20 anos desde o último registro para a eliminação dos prontuários. Seu § 5º abrange diferentes formas de armazenamento. Portanto, os cinco anos da resolução não devem ser usados isoladamente para autorizar descarte.
- Descarte não é automático. A Lei 13.787/2018 exige preservar sigilo e confidencialidade na eliminação. A destruição do original após digitalização tem condições próprias nos artigos 2º e 3º. Antes de eliminar documentos, confira os requisitos aplicáveis com os responsáveis técnicos e jurídicos.
Traduzindo para a rotina: pasta de prontuário antigo não vai para o lixo comum da rua, prontuário não fica na caixa em cima do armário da recepção onde qualquer pessoa alcança, e planilha de pacientes em nuvem compartilhada precisa ter uma lista definida de quem tem acesso. Se o atendimento é domiciliar, o inciso V manda que o prontuário fique no próprio domicílio do paciente, com orientação à família sobre o sigilo, e o inciso VI permite ao profissional manter cópia.
Atender é uma finalidade. Divulgar é outra.
O artigo 6º da LGPD lista os princípios que valem para qualquer tratamento. Dois deles decidem a maioria dos casos de marketing: finalidade, que exige propósitos legítimos, específicos, explícitos e informados ao titular, "sem possibilidade de tratamento posterior de forma incompatível com essas finalidades"; e necessidade, que limita o tratamento "ao mínimo necessário para a realização de suas finalidades".
É por aí que a lista de pacientes atendidos se torna um problema quando alguém sugere subi-la como público em uma plataforma de anúncios. Aquele cadastro foi coletado para atender, não para anunciar. O artigo 11, § 4º, ainda veda "a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica", com exceções restritas que a própria lei enumera e que giram em torno da prestação de serviços de saúde, da portabilidade pedida pelo titular e das transações financeiras e administrativas decorrentes do serviço.
Não vamos afirmar aqui qual é o enquadramento exato de cada ferramenta de anúncio, porque isso depende do contrato de cada plataforma e de análise jurídica. O ponto prático é outro e é simples: subir lista de pacientes para plataforma de anúncio é pergunta para o advogado da clínica, não para o gestor de tráfego. E, na prática, a campanha de captação não precisa disso. Quem chega por anúncio chega como interessado, não como paciente, e a origem de cada contato pode ser organizada sem tocar na base clínica, como está descrito em como registrar a origem de cada contato.
O formulário do site deve pedir o mínimo
Formulário de captação costuma ser o lugar onde a clínica cria, sem perceber, uma base de dado sensível. Um campo aberto perguntando "qual é a sua lesão?" transforma um cadastro comercial comum em um conjunto de dados de saúde, com as obrigações mais rígidas do artigo 11 valendo para tudo o que estiver ali.
Pelo princípio da necessidade, a pergunta é sempre a mesma: esse campo é indispensável para marcar uma avaliação? Nome, telefone, cidade e o serviço procurado em termos amplos normalmente bastam. O detalhe clínico aparece na avaliação, com o profissional, e vai para o prontuário, que já tem regra própria de guarda e sigilo.
Vale lembrar que as próprias plataformas têm limite nisso. A política de publicidade do Meta sobre violações de privacidade e atributos pessoais estabelece que os anúncios não devem conter conteúdo que compartilhe ou solicite informações privadas sobre as pessoas.
O WhatsApp é onde o sigilo escapa sem ninguém notar
No WhatsApp, vale revisar os seguintes pontos da organização do atendimento:
- Número pessoal da atendente. Quando o atendimento sai do número da clínica, o histórico de conversas com pacientes sai da clínica junto no dia em que essa pessoa for embora.
- Celular destravado na recepção. Qualquer pessoa que fique sozinha no balcão por um minuto alcança o histórico inteiro.
- Grupo de pacientes. Em um grupo, todos os participantes veem o telefone dos outros, e a simples participação já sinaliza que aquelas pessoas fazem tratamento na clínica. Para avisos, lista de transmissão resolve sem expor contato de ninguém.
- Print de conversa. Publicar conversa de paciente, mesmo elogiosa, mesmo com o nome cortado, cai nas regras de divulgação tratadas na próxima seção.
O roteiro de condução dessas conversas, que é um assunto comercial e não de conformidade, está em atendimento no WhatsApp da clínica e em como retomar o contato que parou de responder.
O anúncio não pode dar a entender que você sabe da condição de quem vê
A política do Meta sobre atributos pessoais proíbe anúncios que afirmem ou sugiram, de forma direta ou indireta, condições de saúde físicas ou mentais do público, e proíbe sugerir que o anunciante conhece informações médicas da pessoa ou da família dela. A própria documentação dá o contraste: "Você tem diabetes?" é exemplo proibido; "Novo tratamento de diabetes disponível" é exemplo permitido.
Na prática da fisioterapia, a abertura mais comum de criativo é exatamente a proibida: perguntar ao público se ele está com dor em alguma região. A saída não é abandonar o tema, é mudar o sujeito da frase. Em vez de afirmar algo sobre quem está vendo, descreva o serviço, como funciona a avaliação, o que acontece na primeira sessão, onde a clínica fica. O tema continua o mesmo e o anúncio para de afirmar que você já sabe o que a pessoa tem.
Além da regra da plataforma, há a regra da profissão. A Resolução COFFITO nº 532/2021, no artigo 3º, proíbe expressões que caracterizem sensacionalismo, concorrência desleal, promessa de resultado infalível ou restrições previstas no código de ética. O detalhamento está em o que o COFFITO permite na divulgação da clínica.
Imagem, depoimento e antes e depois: o TCLE não é opcional
A Resolução 532/2021 autoriza a divulgação de imagens, textos e áudios autênticos de pacientes, mas condiciona cada publicação a autorização prévia por Termo de Consentimento Livre e Esclarecido (artigos 1º e 2º). O artigo 4º exige que a publicação traga o nome do profissional, o número de inscrição e a data do material, e veda divulgar caso clínico de autoria de terceiros. O artigo 5º classifica como infração ética de manifesta gravidade a divulgação fora dessa norma.
A mesma resolução alterou o Código de Ética e Deontologia da Fisioterapia para vedar, no artigo 15, inciso V, inserir em anúncio ou expor no local de atendimento nome, iniciais, endereço, fotografia, "inclusive aquelas que comparam quadros anteriores e posteriores ao tratamento realizado", ou qualquer referência que permita identificar o paciente, salvo autorização formal prévia. E, no artigo 10, inciso V, vedar a divulgação para autopromoção de declaração, atestado, imagem, áudio ou carta de agradecimento emitida pelo paciente, salvo autorização expressa.
Como a LGPD exige que o consentimento para dado sensível seja específico e destacado, vale escrever o termo de modo que ele diga para que a imagem vai ser usada, em quais canais e por quanto tempo, em vez de uma autorização genérica. Um termo vago tende a não servir bem para nenhum dos dois lados.
Incidentes: quando comunicar e quais prazos conferir
O artigo 48 da LGPD obriga o controlador a comunicar à autoridade nacional e ao titular o incidente de segurança que possa acarretar risco ou dano relevante. O que significa esse prazo e esse risco está na Resolução CD/ANPD nº 15, de 24 de abril de 2024, publicada no DOU de 26/04/2024.
Segundo as orientações oficiais da ANPD sobre incidentes, a comunicação é exigida quando o incidente confirmado envolve dados pessoais sujeitos à LGPD e pode causar risco ou dano relevante aos titulares. A presença de dados de saúde importa na avaliação, mas não dispensa a análise do contexto, dos impactos e das proteções existentes. O prazo geral informado pela ANPD é de três dias úteis, ressalvada legislação específica.
Há uma ressalva: o artigo 14, II, da Resolução CD/ANPD 2/2022, com redação atualizada em 2024, prevê prazo em dobro para agentes de pequeno porte que possam se beneficiar desse regime. Ser uma clínica pequena, por si só, não comprova elegibilidade: os artigos 2º a 4º trazem definições e exclusões, inclusive relacionadas ao tratamento de alto risco. Confirme o enquadramento com apoio especializado; não adie a resposta ao incidente enquanto isso.
E incidente não é só invasão de sistema. Celular da recepção perdido sem senha, planilha de pacientes enviada para o contato errado, e-mail com a lista toda em cópia aberta: tudo isso é evento a ser avaliado por esses critérios.
Por onde começar nesta semana
- Listar onde existe dado de paciente hoje: papel, sistema, planilha, celular, e-mail, caderno da recepção.
- Definir quem acessa cada um desses lugares, e tirar o acesso de quem não precisa mais.
- Conferir o sigilo do armazenamento e revisar a política de guarda à luz da Lei 13.787/2018 antes de qualquer descarte.
- Revisar os campos do formulário do site e remover o que não é necessário para marcar uma avaliação.
- Mover o atendimento para um número da clínica, com senha e com regra de desligamento.
- Reescrever as aberturas de anúncio que afirmam algo sobre a condição de quem vê.
- Guardar os termos de consentimento de imagem em um lugar só, com a data de cada autorização.
- Definir quem a clínica aciona se houver incidente e conferir previamente as obrigações e os prazos aplicáveis.
O que este texto não é
Não é parecer jurídico. Todas as regras citadas estão linkadas para a fonte oficial, e a leitura delas não substitui a orientação de um advogado nem a do CREFITO da jurisdição, que é quem fiscaliza a profissão. A escolha da base legal de cada tratamento, o contrato com fornecedores que operam dados em nome da clínica e a redação da política de privacidade do site são decisões que pedem apoio especializado.
Também não tratamos aqui de prazos fiscais de guarda de documento, de regras de operadora de plano de saúde nem de qualquer avaliação de caso concreto. Se a dúvida for mais ampla do que conformidade, o panorama de canais, atendimento e captação está reunido em marketing para fisioterapia.
Fontes
- Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais, artigos 5º, 6º, 11, 41, 46 e 48.
- Resolução COFFITO nº 414/2012, publicada no DOU nº 99, seção 1, de 23/05/2012, sobre registro em prontuário, guarda e descarte.
- Resolução COFFITO nº 532/2021, de 7 de julho de 2021, sobre divulgação de imagens, textos e áudios, que altera os Códigos de Ética.
- Resolução CD/ANPD nº 15, de 24 de abril de 2024, Regulamento de Comunicação de Incidente de Segurança, publicada no DOU de 26/04/2024, edição 81, seção 1, página 114.
- Meta, Padrões de Publicidade: violações de privacidade e atributos pessoais, consultado em 19/10/2026.