apointoo.
Solicitar acesso
Privacidade e Compliance

Clínica pode usar legítimo interesse para dados de saúde no formulário de agendamento?

cmsapointoo··9 min de leitura

Não. Uma clínica não deve usar o legítimo interesse do artigo 7º, IX da LGPD como base para tratar dados pessoais sensíveis de saúde num formulário de agendamento. Dados de saúde pertencem à categoria sensível definida pela lei, e seu tratamento precisa caber numa das hipóteses do artigo 11. Isso não significa que consentimento seja sempre obrigatório. O artigo 11 também prevê tratamentos sem consentimento quando as condições da hipótese escolhida forem atendidas.

A análise ocorre por campo e finalidade. Identificação, contato, horário, informação clínica e marketing não formam uma finalidade única por aparecerem na mesma tela. A clínica deve justificar cada tratamento, coletar somente o necessário e bloquear a reutilização automática em publicidade.

A resposta jurídica começa nos artigos 7º e 11

Lei: o artigo 7º reúne hipóteses para o tratamento de dados pessoais em geral e inclui, no inciso IX, o legítimo interesse do controlador ou de terceiro. O artigo 11 disciplina especificamente dados pessoais sensíveis. Quando o dado é de saúde, a pergunta não é se o legítimo interesse parece razoável. A pergunta é qual hipótese do artigo 11 cobre aquela finalidade e se suas condições estão presentes.

Orientação da ANPD: o Guia orientativo sobre legítimo interesse afirma expressamente que essa hipótese não se aplica a dados pessoais sensíveis. O guia também usa uma situação envolvendo clínica e informações de saúde para mostrar que a organização deve procurar uma hipótese do artigo 11, em vez de estender o artigo 7º, IX.

Uma avaliação de legítimo interesse não corrige a escolha errada de artigo. Ela pode ser pertinente a um tratamento separado de dado não sensível, mas não fundamenta o uso de sintomas, condições ou outra informação de saúde. A análise sobre base legal e Customer Match em saúde aplica a mesma separação.

Quando um campo do agendamento revela dado de saúde?

Lei: o artigo 5º, II inclui dado referente à saúde na definição de dado pessoal sensível quando ligado a uma pessoa natural. Um campo não precisa ter o rótulo “diagnóstico” para entrar nessa categoria. A combinação entre resposta, contexto e titular pode revelar que alguém procura determinada especialidade, exame, procedimento ou cuidado.

Nome, telefone e email são dados pessoais, mas isoladamente não são necessariamente dados de saúde. Motivo da consulta, condição, procedimento ou texto sobre sintomas pode revelar saúde diretamente. Uma escolha administrativa também pode fazê-lo quando identifica o serviço procurado.

Recomendação editorial: classifique o campo pelo que ele revela no fluxo real, não apenas por seu tipo técnico. Documente se o valor é necessário para localizar a pessoa, reservar um recurso, orientar atendimento ou fazer outra operação. Se uma categoria ampla atende à agenda, adie detalhes clínicos para um canal assistencial com acesso apropriado. O artigo sobre agendamento pediátrico e LGPD mostra a mesma disciplina de separar pessoa, campo e contexto.

Consentimento não é automaticamente obrigatório

Lei: o artigo 11, I permite o tratamento de dado sensível com consentimento específico e destacado para finalidades específicas. O inciso II também prevê hipóteses sem consentimento, desde que o tratamento seja indispensável e satisfaça a condição aplicável. Entre elas estão cumprimento de obrigação legal ou regulatória, proteção da vida, exercício regular de direitos e tutela da saúde nas condições descritas pela lei.

Essas hipóteses impedem duas respostas automáticas: exigir consentimento antes de qualquer pedido ou dizer que a atividade de saúde o dispensa em toda finalidade. O artigo 11 exige enquadramento concreto, com atores e limites próprios.

Orientação da ANPD: o guia não escolhe uma base universal para clínicas. Ele explica que legítimo interesse não pode ser usado para dado sensível e indica que o controlador deve avaliar consentimento ou outra hipótese do artigo 11 que corresponda ao caso. A decisão final precisa considerar o serviço, o papel da organização e a finalidade descrita.

Separe campo, finalidade e etapa do fluxo

Recomendação editorial: monte uma linha por tratamento, não por página. Um formulário pode localizar a pessoa, oferecer horários, recolher dado para triagem e pedir adesão a mensagens promocionais. Registre campos, finalidade, destinatários, retenção e hipótese analisada para cada operação.

Parte do fluxo Pergunta de finalidade Fronteira recomendada
Identificação e contato O que é necessário para responder e administrar o pedido? Limitar aos dados operacionais aprovados
Escolha de horário Qual informação permite reservar unidade, profissional ou recurso? Evitar detalhe clínico quando uma categoria ampla basta
Triagem Existe necessidade assistencial antes da confirmação? Usar etapa, equipe e acesso próprios
Marketing A clínica quer promover outro serviço? Não herdar dados ou base do agendamento

A separação entre origem do agendamento e origem de marketing ajuda a manter essa fronteira no modelo de dados. Ela evita que a aplicação trate uma origem operacional como autorização para novo uso.

Agendamento, triagem e marketing pedem decisões diferentes

Lei: os princípios do artigo 6º exigem finalidade, adequação e necessidade, entre outros. Uma justificativa ligada à prestação ou organização do atendimento não se estende sozinha a campanhas, criação de audiência ou análise promocional. A clínica deve descrever a finalidade de modo específico o suficiente para comparar o uso real com o uso informado.

Agendamento administra disponibilidade e contato. Triagem pode recolher informação necessária antes do atendimento, conforme o serviço. Marketing procura promover uma nova interação. Mesmo que a mesma pessoa participe das três etapas, mudar a finalidade muda a análise. O dado não perde seu caráter sensível quando é copiado para outra tabela, exportado ou resumido num rótulo.

Recomendação editorial: mantenha listas de campos e destinos independentes. Marketing recebe somente o aprovado para sua finalidade, sem texto clínico ou conteúdo livre. Para mensuração, uma taxonomia de resultados de agendamento representa estados operacionais sem reproduzir conteúdo clínico.

Qual é o papel do controlador e do operador?

Lei: a LGPD define controlador como quem toma decisões referentes ao tratamento e operador como quem trata dados em nome do controlador. O rótulo comercial do fornecedor não substitui essa análise. Uma clínica pode decidir por que e quais dados recolher, enquanto uma plataforma executa instruções técnicas. Outras atividades do mesmo fornecedor podem exigir avaliação própria.

A escolha da hipótese do artigo 11 pertence à governança do tratamento. O fornecedor documenta campos, armazenamento, acessos e eliminações, mas uma configuração padrão não produz conclusão jurídica universal. Um contrato também não resolve finalidade, necessidade ou reutilização.

Recomendação editorial: associe a matriz de finalidade ao contrato e ao sistema. Registre quem aprova novos campos, quem pode consultar respostas, quais subprocessadores recebem dados e o que acontece quando o pedido não vira consulta. A análise sobre BAA, DPA e contrato de operador aprofunda a diferença entre papel real e nome do documento.

Como transformar a análise em controles de produto

Recomendação editorial: depois da decisão jurídica, implemente controles que tornem a conclusão verificável. Uma política sem correspondência no formulário, nas permissões e nas integrações não descreve o fluxo real.

  1. Liste campos, valores ocultos, parâmetros de URL e texto livre.
  2. Defina uma finalidade concreta e um proprietário para cada grupo de dados.
  3. Marque quais valores revelam ou podem revelar saúde no contexto da pessoa.
  4. Registre a hipótese do artigo 11 para cada finalidade sensível.
  5. Mostre aviso contextual perto da coleta, com linguagem compatível com a etapa.
  6. Restrinja acesso conforme a necessidade aprovada de cada equipe.
  7. Use allowlists por destino para impedir que o objeto completo do agendamento seja exportado.
  8. Defina retenção para cada estado do pedido.
  9. Reabra a análise quando um campo, finalidade, destinatário ou integração mudar.

O teste deve usar dados sintéticos. Confirme que campos clínicos não aparecem em analytics, logs amplos, notificações expostas ou destinos promocionais. Preserve o resultado do teste e a versão do formulário analisado.

Que evidência sustenta uma conclusão responsável?

Orientação da ANPD: o guia propõe uma avaliação documentada do legítimo interesse para os tratamentos aos quais essa hipótese pode se aplicar. Para dados sensíveis, seu valor está em deixar claro o limite: não use o teste como substituto do artigo 11.

Recomendação editorial: guarde uma matriz com campo, finalidade, categoria, hipótese, necessidade, acesso, retenção, destinatários e aprovadores. Anexe a configuração sem dados reais. A evidência mostra o produto, sem acumular respostas de pacientes.

Limite a conclusão ao comprovado: determinada finalidade foi avaliada sob uma hipótese específica e os controles testados bloquearam destinos não aprovados. Evite dizer que “o formulário é compatível com a LGPD” em abstrato. Uma mudança pode alterar a conclusão.

Perguntas frequentes

Posso usar legítimo interesse apenas para nome e telefone?

Talvez, mas somente após análise separada desse tratamento não sensível. O legítimo interesse exige finalidade legítima, necessidade, equilíbrio e salvaguardas conforme a orientação da ANPD. Ele não se estende aos campos de saúde nem transforma todo o formulário numa única operação.

Toda clínica precisa pedir consentimento para agendar?

Não como regra universal. O artigo 11 prevê consentimento específico e destacado, além de hipóteses sem consentimento sob condições próprias. A clínica precisa identificar qual hipótese cobre cada finalidade e confirmar que seus requisitos estão presentes.

Uma caixa de consentimento permite usar o motivo da consulta em marketing?

Não automaticamente. Consentimento para uma finalidade não deve ser tratado como autorização genérica. Marketing exige avaliação própria de finalidade, necessidade, informação, escolha e demais regras aplicáveis. Dados clínicos não devem ser herdados do agendamento por padrão.

Excluir o campo aberto elimina todo dado de saúde?

Não necessariamente. Especialidade, procedimento, unidade ou combinação de respostas ainda pode revelar informação de saúde. Classifique o que o conjunto comunica sobre a pessoa e reduza os campos ao necessário para aquela etapa.

Referências

Leia também