O que ajustar hoje na automação de marketing da clínica para não violar a LGPD

Se sua clínica coleta dados pelo site e WhatsApp, o primeiro corte que você precisa fazer é simples: separar o que é dado de marketing (para contato e campanhas) do que é dado de saúde (ligado a diagnóstico e tratamento).

No dia a dia de clínica, o risco costuma aparecer forte em cinco pontos:

• Captura de leads pelo site: formulários de contato, download de materiais, pedidos de orçamento, agendamento online.
• Formulários de agendamento: no site, no WhatsApp, em aplicativo próprio ou da plataforma de prontuário.
• Chatbots e WhatsApp: bots de triagem, confirmação de consulta, respostas rápidas de “FAQ”.
• Campanhas de e-mail/SMS: newsletters, campanhas sazonais, lembretes, fluxos de nutrição.
• Integrações com CRM e prontuário: qualquer conexão que jogue dado de um sistema para outro, automática ou por planilha.

No marketing, você normalmente trabalha com:

• Dados comuns: nome, e-mail, telefone, cidade, unidade de interesse, canal de origem, histórico de contatos (abriu e-mail, clicou, respondeu WhatsApp).
• Dados comportamentais: páginas visitadas, formulários preenchidos, campanhas de origem (Google Ads, SEO, Instagram, indicação).

Já os dados sensíveis entram em outra categoria: informações de saúde, exames, diagnósticos, medicamentos, histórico de tratamento, laudos, CID, fotos clínicas identificáveis, relatos detalhados de sintomas.

Regra prática: se a informação permite que alguém deduza uma condição de saúde específica daquela pessoa, trate como dado sensível e mantenha fora de automações de marketing, salvo se houver base jurídica muito bem definida e consentimento destacado.

Checklist rápido de conformidade para sua automação hoje

Veja se você consegue responder, sem gaguejar, às perguntas abaixo:

• Base legal definida para cada fluxo: você sabe qual base usa em captação de leads, nutrição, lembrete de consulta, pesquisas e campanhas de retorno?
• Registro de consentimento: consegue provar onde está salvo que o paciente aceitou marketing, com data, horário, IP, página ou canal de origem?
• Política de privacidade atualizada: seu texto no site explica de forma clara o uso de dados para marketing, indica um canal de contato e lista os direitos do titular?
• Contratos com fornecedores revisados: agência, software de automação, CRM, call center e TI estão com cláusulas de LGPD e papel de operador bem descritos?
• Opt-in e opt-out configurados: checkboxes, confirmação de WhatsApp e links de descadastramento funcionam de verdade e são registrados no sistema?

Erros perigosos que vejo todo mês em clínicas

Alguns cenários que encontro com frequência em clínicas de diferentes portes:

• Usar lista de pacientes antigos para remarketing de tratamentos, sem qualquer consentimento, com assunto de e-mail tipo “Promoção de retorno para controle de diabetes para você, João”.
• Não ter prova de consentimento: o gestor afirma que todo mundo aceitou receber campanhas, mas o sistema não registra onde, nem quando, nem em qual formulário isso ocorreu.
• Enviar mensagens de WhatsApp com informações de saúde em listas de transmissão, onde um número salvo errado ou um print compartilhado já quebra sigilo profissional.
• Contratar ferramenta estrangeira sem checar onde os dados ficam armazenados, se há servidor fora do Brasil, quais medidas de segurança são adotadas e o que o contrato diz sobre responsabilidade em caso de incidente.

Se você se enxergou em algum desses pontos, o próximo passo não é aumentar verba de tráfego. É ajustar a LGPD na automação de marketing da clínica antes de escalar campanhas.

Base legal certa para cada etapa da jornada do paciente: quando usar consentimento e quando não

A LGPD traz bases legais diferentes para dados pessoais comuns (no artigo que trata dessas hipóteses) e para dados sensíveis, como saúde (no artigo específico de dados sensíveis). Na rotina da clínica, quase tudo cai em quatro grupos:

• Consentimento: quando a pessoa escolhe, de forma livre e informada, receber marketing, newsletter, campanhas e comunicação não essencial ao atendimento.
• Execução de contrato: uso de dados necessário para prestar o serviço contratado, como consulta, exame ou procedimento.
• Legítimo interesse: comunicações que o paciente pode razoavelmente esperar, sem surpresa ou exposição indevida, avaliadas com cuidado de caso a caso.
• Proteção da saúde: uso de dados sensíveis para assistência à saúde, por profissionais e serviços de saúde, em contexto clínico ou hospitalar.

Qual base legal usar em cada etapa

No tratamento de dados sensíveis de saúde, a base de “proteção da saúde” está ligada à assistência, não a campanhas de marketing ou ações comerciais.

Traduzindo: usar diagnóstico para disparar campanha automática do tipo “voltou sua promoção de controle de colesterol” tende a exigir consentimento específico e destacado, e ainda assim pode gerar risco ético a depender do conselho profissional que regula a área.

Exemplo de fluxos ajustados na prática

Fluxo baseado em consentimento (marketing):

• Lead baixa um guia “7 sinais de alerta para problemas de coluna” em uma landing page da Clínica X.
• Formulário coleta nome e e-mail, com checkbox desmarcado: “Aceito receber conteúdos e ofertas da Clínica X por e-mail e WhatsApp”.
• Ao marcar o checkbox, o contato entra em uma automação de 5 e-mails educativos sobre postura, ergonomia e tipos de tratamento, sem citar diagnóstico do próprio paciente.
• Depois disso, recebe campanhas segmentadas por interesse (dor na coluna, dor no joelho), com linguagem geral, sem mencionar CID, exame ou médico que o atendeu.

Fluxo baseado em execução de contrato (assistencial):

• Paciente agenda consulta de cardiologia pelo site para o dia 15/09.
• Recebe WhatsApp automático: “Sua consulta com Dr. João está confirmada para 15/09 às 14h, na unidade Centro. Responda 1 para confirmar, 2 para remarcar.”
• Na véspera, recebe orientações pré-exame: jejum, documentos necessários, endereço da unidade, tempo médio de atendimento.
• Esse fluxo é obrigatório para o bom atendimento, não depende de aceite de marketing e não deveria ser desligado só porque a pessoa não quer receber promoções.

Na LGPD aplicada à automação de marketing da clínica, o cuidado principal é não misturar fluxo assistencial (que garante a prestação do serviço) com fluxo comercial, que precisa de escolha ativa do paciente.

Formulários do site da clínica em conformidade com LGPD: campos, textos legais e provas de consentimento

Formulário mal pensado faz você perder leads e ganhar risco jurídico ao mesmo tempo. Um campo errado pode derrubar taxa de conversão e ainda atrair questionamento de titular de dados.

Quais campos pedir e o que evitar

Pense em um formulário simples de contato para agendar avaliação inicial:

• Campos necessários: nome completo, e-mail, telefone/WhatsApp, cidade ou unidade de interesse, melhor horário para contato.
• Campos opcionais (se fizer sentido): “como nos encontrou?”, área de interesse geral (odontologia, ortopedia, psicologia, dermatologia).
• Evitar nessa etapa: diagnóstico (“tenho depressão”), exame específico (“resultado do meu hemograma”), relato detalhado de sintomas ou envio de exames por anexo.

Se for realmente indispensável coletar algo sensível online, por exemplo em telemedicina ou segunda opinião, faça isso em ambiente protegido do prontuário ou portal do paciente, com autenticação, e não no formulário de marketing aberto.

Textos de consentimento prontos para adaptar

Você pode usar textos como base (sempre alinhando com o jurídico da clínica):

• Para receber conteúdo educativo: “Autorizo o envio de conteúdos informativos e educativos da Clínica X por e-mail e/ou WhatsApp. Posso cancelar quando quiser.”
• Para receber campanhas promocionais: “Aceito receber ofertas, condições especiais e novidades comerciais da Clínica X por e-mail e/ou WhatsApp.”
• Para personalização de comunicação: “Autorizo o uso dos meus dados de contato e de interação com os conteúdos da Clínica X para personalização de mensagens e ofertas.”

Separe essas autorizações em checkboxes diferentes, para ter consentimento granular. Um paciente pode topar receber conteúdo educativo, mas não se sentir confortável com campanhas promocionais frequentes.

Boas práticas de opt-in e prova de consentimento

Alguns cuidados simples fazem muita diferença em uma auditoria:

• Checkboxes desmarcados por padrão: não use checkboxes pré-marcados em “quero receber novidades”. Ação tem que ser explícita.
• Link visível para política de privacidade ao lado do formulário, com texto curto do tipo “Veja como usamos seus dados”.
• Registro da versão do texto aceito na ferramenta de automação ou CRM, para você provar qual política estava vigente na data do aceite.

Como guardar prova de consentimento na prática:

• Configurar o CRM ou a automação para registrar data, hora, IP, página de origem e tags de consentimento sempre que alguém marcar um checkbox.
• Manter esses logs enquanto durar a relação com o titular e pelo prazo que seu jurídico considerar adequado para defesa em eventual processo.
• Evitar planilhas soltas em computadores pessoais; se exportar bases, registrar quem exportou, quando, para qual finalidade e onde esse arquivo foi armazenado.

Se sua clínica ainda está desenhando formulários e nutrição, vale olhar o passo a passo de funil que mostro em funil de vendas para clínica pequena e já montar tudo alinhado com LGPD desde o início.

WhatsApp, chatbots e atendimento digital: limites do que pode ser automatizado sem ferir a LGPD e os conselhos profissionais

WhatsApp é, de longe, o canal onde clínica mais erra em privacidade e ética. A mistura de agendamento, recados e conversa clínica no mesmo número cria uma bomba-relógio se ninguém define limite.

Contato iniciado pelo paciente x contato iniciado pela clínica

Quando o paciente chama primeiro (“Quero marcar consulta”, “Qual o valor da avaliação?”), existe uma expectativa legítima de resposta e continuidade do atendimento naquele canal.

Isso não significa que você pode pegar esse número e incluí-lo automaticamente em campanhas de marketing em massa. Atender a demanda é uma coisa; transformar esse contato em mailing é outra totalmente diferente.

Quando a clínica inicia o contato em lista de transmissão ou ferramenta de disparo em massa, o risco jurídico aumenta bastante. Sem consentimento prévio e claro, você pode violar a LGPD e também o código de ética da categoria profissional.

Regras de sigilo e ética em mensagens

Conselhos de medicina, odontologia, psicologia e outros regulam de forma específica sigilo, publicidade e atendimento à distância, inclusive em aplicativos de mensagem.

Como padrão de segurança, configure suas mensagens automatizadas de WhatsApp para nunca incluírem:

• Diagnósticos, resultados de exame ou detalhes do plano de tratamento.
• Fotos de antes e depois associadas ao nome do paciente, número de prontuário ou qualquer dado que permita identificação.
• Comentários que exponham condição de saúde em celular compartilhado, aparelho emprestado ou grupo de família.

Esse tema se conecta diretamente com os cuidados de automação que detalhei em erros de automação em clínicas que matam o retorno de pacientes.

Modelo de fluxo seguro de WhatsApp

Um fluxo enxuto, prático e mais seguro pode seguir esta linha:

• Mensagem inicial automática: “Olá, aqui é a Clínica X. Esta conversa é destinada a agendamentos e informações administrativas. Não compartilhe exames ou informações detalhadas sobre sua saúde por aqui. Ao continuar, você concorda com a nossa política de privacidade (link).”
• Confirmação de canal: botão ou resposta “1 – Agendar consulta / 2 – Falar com atendente”.
• Perguntas permitidas por bot: horários disponíveis, valores aproximados de avaliação, convênios aceitos, endereço, opções de unidade, preparo básico.
• Bloqueio de envio automático de informações sensíveis: sempre que o bot identificar termos clínicos (“exame”, “laudo”, “dor intensa”), direcionar para atendimento humano ou orientar agendamento de consulta.

Configurações recomendadas em bots e automação

Na ferramenta de automação ou WhatsApp Business API, configure alguns pontos mínimos:

• Logs de conversa com controle de acesso por perfil, para que estagiários de marketing não leiam histórico clínico.
• Limites de tempo de retenção de histórico para leads que nunca agendaram consulta, apagando ou anonimando após um período definido.
• Anonimização onde possível em relatórios gerenciais, removendo nome e telefone e mantendo só volume, origem e taxa de resposta.
• Bloqueio de envio automático de mídia sensível (fotos de procedimentos, por exemplo) sem aprovação de um responsável autorizado.

E-mail marketing e nutrição de pacientes: como estruturar fluxos, segmentação e opt-out em conformidade

No e-mail marketing da clínica, o pulo do gato é separar com clareza o que é comunicação transacional (ligada ao serviço) do que é comunicação comercial (marketing).

Transacional x marketing: regras de consentimento

Campanhas transacionais são mensagens associadas diretamente a um serviço já contratado ou em andamento, como:

• Confirmação de agendamento de consulta ou exame.
• Lembrete de consulta, com data, horário e endereço.
• Orientações pré e pós-procedimento, sem detalhar diagnóstico.

Essas mensagens se apoiam em execução de contrato e proteção da saúde. Não dependem de aceite de newsletter ou promoções.

Campanhas de marketing incluem:

• Newsletters com artigos, vídeos e convites.
• Ofertas, combos, condições especiais e programas de fidelidade.
• Convites para eventos, palestras, semanas temáticas e ações sazonais.

Nesse grupo você precisa de consentimento claro para marketing e de registro dessa autorização na sua ferramenta.

Segmentação que não expõe condição clínica

É possível segmentar bem sem expor a vida clínica da pessoa no assunto ou no corpo do e-mail.

Exemplo ruim: assunto “Promoção para controle da sua depressão está acabando”. Você expõe uma condição sensível diretamente.

Exemplo melhor: “Condições especiais em acompanhamento psicológico este mês”. O sistema sabe que o contato interagiu com conteúdos de psicologia, mas você não afirma que ele tem depressão, ansiedade ou qualquer diagnóstico específico.

Nas automações, dê preferência a gatilhos comportamentais neutros, como:

• Cliques em conteúdos de “dor nas costas”, “ortodontia invisível” ou “rejuvenescimento facial”.
• Abertura de e-mails sobre “check-up anual” ou “prevenção de lesões esportivas”.
• Download de guias educativos por tema, sem pedir diagnóstico no formulário.

Requisitos de opt-out bem feitos

Cada e-mail de marketing da clínica precisa ter, no mínimo:

• Link claro de descadastramento, em texto legível, que funcione em um clique.
• Registro de data/hora do opt-out na ferramenta, para você provar que respeitou o pedido.
• Bloqueio automático de novos envios de marketing para aquele e-mail, sem ficar dependendo de atualização manual em planilhas.

Evite esconder o opt-out em fonte minúscula ou exigir que o paciente faça login em área restrita só para se descadastrar. Isso aumenta insatisfação e vira munição em reclamações em Procon, ANPD e redes sociais.

Configurações técnicas na automação e no CRM: segurança, acesso interno e integrações com prontuário

Não adianta ter textos bonitos nos formulários se, na prática, qualquer estagiário consegue baixar a base completa de pacientes para o notebook pessoal ou enviar por e-mail sem controle.

Requisitos mínimos de segurança das ferramentas

Ao escolher CRM, automação, sistema de prontuário e chatbot, verifique se a solução oferece pelo menos:

• Criptografia em trânsito (site com HTTPS, APIs seguras).
• Autenticação em dois fatores para usuários internos com acesso a dados de pacientes.
• Controle de acesso por perfil (recepção, marketing, direção, equipe clínica), limitando o que cada grupo enxerga.
• Registro de logs de acesso e edição de dados, com data, hora e usuário responsável.

Quem pode ver o quê no CRM e no prontuário

Uma boa prática é separar claramente o ambiente comercial do ambiente clínico, mesmo que o sistema seja o mesmo:

• Área de marketing/comercial: vê dados de contato, origem do lead, histórico de campanhas, interesse declarado, status no funil e agendamentos futuros.
• Área clínica: acessa diagnóstico, plano de tratamento, exames, receitas, evolução e anotações do profissional de saúde.
• Recepção: acessa dados necessários para agendar, confirmar, remarcar e orientar pacientes, sem acesso a detalhes desnecessários do prontuário.

Se o mesmo sistema armazenar tudo, use perfis e permissões para que o time de marketing não enxergue laudos e o time clínico não precise ver detalhes de campanhas.

Cuidados com integrações e operadores

Integrações por API, webhooks e exportações de base para planilhas precisam estar cobertas por contratos de operador, como previsto na LGPD para quem trata dados em nome da clínica.

Na prática, faça três perguntas objetivas para cada fornecedor que recebe dados da sua clínica:

• Onde os dados são armazenados (Brasil, EUA, Europa, nuvem específica)?
• Quais dados exatamente trafegam entre nossos sistemas (só contato ou também informações de prontuário)?
• O contrato especifica deveres de confidencialidade, segurança e finalidade de uso desses dados?

Crie uma política simples e escrita sobre:

• Prazo de retenção de leads inativos (por exemplo, apagar ou anonimizar após 24 meses sem abertura de e-mail, resposta ou agendamento).
• Regras para exportar bases: quem pode exportar, para qual finalidade, por qual canal (evitar pendrive e e-mail pessoal; priorizar ambientes controlados).
• Revogação de acessos no desligamento de funcionários, troca de agência ou encerramento de contrato com fornecedor.

Documentos obrigatórios e rotinas jurídicas para provar conformidade da clínica perante a LGPD

Quando houver fiscalização, reclamação em órgão oficial ou notificação de titular, você precisa mostrar que não está improvisando. Tem processo, documentos e registro.

Documentos mínimos que uma clínica deve ter

• Política de privacidade voltada a pacientes, publicada no site, mencionada em formulários e acessível em QR Code na recepção, se fizer sentido.
• Termos de uso do site, se houver área logada, agendamento online, teleatendimento ou portal do paciente.
• Registro de atividades de tratamento (mapeamento interno de onde, como e por que você trata dados de pacientes, leads e parceiros).
• Contratos com operadores: agência de marketing, software de automação, CRM, call center, empresas de TI, manutenção de servidor e hospedagem.

Papel do Encarregado/DPO na clínica

Mesmo que seja terceirizado, o Encarregado/DPO tem algumas funções claras no contexto de marketing e atendimento:

• Ser o canal oficial de atendimento aos titulares de dados que questionarem o uso de informações pela clínica.
• Organizar resposta a ofícios e fiscalizações da ANPD, ajudando a juntar comprovantes e registros.
• Apoiar na revisão de campanhas e fluxos de marketing de maior risco, como remarketing baseado em histórico de tratamento ou segmentações sensíveis.

Rotinas de revisão e preparação para incidentes

Defina uma agenda de governança mínima que caiba na rotina da clínica:

• Auditoria semestral ou anual das ferramentas de automação e CRM, verificando acessos, integrações e retenção de dados.
• Revisão periódica dos textos legais em formulários, e-mails, páginas de captura e mensagens padrão de WhatsApp.
• Conferência das bases legais usadas em cada fluxo de automação, atualizando quando necessário.

Para incidentes (vazamento, acesso indevido, envio de e-mail para base errada), tenha definido:

• Um plano de resposta a incidentes com responsáveis, prazos e passos claros.
• Procedimentos para apurar rapidamente o que ocorreu, quem foi afetado e qual o impacto.
• Organização mínima para, se necessário, notificar autoridades e titulares no prazo que vier a ser exigido pela ANPD em cada caso.

Passo a passo para adequar a automação de marketing da clínica à LGPD sem travar o crescimento online

Você não precisa desligar todas as campanhas para ajustar LGPD. Precisa priorizar, cortar o que mais expõe a clínica e ajustar o resto em fases, enquanto continua captando pacientes.

Fase 1: mapeamento dos dados e fluxos críticos

Em 1 a 3 dias, sente com marketing, recepção e TI (ou quem cuida das ferramentas) e desenhe na parede ou em um quadro:

• Quais canais captam dados hoje (site, WhatsApp, Instagram, Facebook Ads, telefone, indicações, feiras, parcerias).
• Quais ferramentas recebem esses dados (planilha, CRM, prontuário eletrônico, automação de e-mail, chatbot, sistema de call center).
• Quais automações disparam sem intervenção humana (e-mails, SMS, WhatsApp, bots, lembretes, fluxos de nutrição).

Use uma cor específica (por exemplo, vermelho) para marcar tudo que envolve dado de saúde ou listas antigas sem consentimento claro para marketing.

Fase 2: ajustes rápidos em formulários, textos e opt-out

Em até 15 dias, a maior parte das clínicas consegue ajustar o básico sem parar operação:

• Ajustar formulários do site e landing pages para pedir menos dados, retirar campos sensíveis e incluir textos de consentimento adequados.
• Configurar checkboxes desmarcados e separar “quero receber conteúdos” de “quero receber promoções”.
• Revisar rodapés de e-mails de marketing e incluir opt-out funcional em 1 clique.
• Ajustar mensagem inicial de WhatsApp com aviso de privacidade e limite de uso daquele canal.

Fase 3: revisão de contratos e ferramentas

Nesta fase, envolva jurídico interno ou consultoria especializada para olhar a parte pesada:

• Revisar contratos com agência, softwares, call center, hospedagem e TI que tenham acesso a dados de pacientes ou leads.
• Checar localização de servidores, cláusulas sobre segurança da informação, confidencialidade e tratamento de incidente.
• Definir prazos de retenção de dados por ferramenta e processo, alinhando com a estratégia de marketing e com o risco jurídico.

Fase 4: rotinas e melhoria contínua

Depois de arrumar a base, a prioridade é não voltar ao caos seis meses depois.

• Treinar marketing e recepção sobre o que pode ou não pode ser enviado em campanhas e WhatsApp, com exemplos práticos da própria clínica.
• Criar checklist de LGPD obrigatório para qualquer nova automação ou campanha antes de ir ao ar.
• Medir o impacto das mudanças em conversão e, se notar queda desnecessária, ajustar formulários e textos sem abrir mão da conformidade.

Métricas para acompanhar o impacto dos ajustes

Algumas métricas simples ajudam a provar que a adequação não “matou” o marketing e a identificar gargalos:

• Taxa de conversão dos formulários antes e depois de inserir consentimento explícito, por tipo de página.
• Taxa de opt-out em e-mails e WhatsApp ao longo dos meses, por segmento de lista.
• Origem dos leads (orgânico, pago, indicação, redes sociais) e quais canais trazem leads mais engajados e com consentimento completo.
• Volume de reclamações ligadas a privacidade em canais oficiais da clínica e em sites de reclamação.

O que o time pode fazer sozinho x onde envolver jurídico

Time de marketing e atendimento consegue executar boa parte do plano com orientação clara, sem travar agenda de consultório:

• Ajuste de formulários, textos de e-mail, fluxos de automação e critérios de segmentação.
• Configuração de opt-in e opt-out nas ferramentas usadas hoje.
• Organização de acesso por perfil dentro do CRM e ferramentas de atendimento.

Envolva jurídico ou consultoria especializada nos pontos mais sensíveis:

• Definir base legal para fluxos de maior risco (remarketing, segmentação que possa revelar condição clínica).
• Revisar contratos com operadores e termos do site, teleatendimento e aplicativos.
• Estruturar resposta a incidentes e relacionamento com ANPD e conselhos profissionais, se algo der errado.

10 ações concretas para executar em 30 dias

Se você quer sair deste texto com um roteiro direto, priorize estas 10 ações nas próximas quatro semanas:

1. Listar todos os formulários da clínica (site, landing pages, agendamento, contatos rápidos) e remover campos de saúde desnecessários.
2. Incluir textos de consentimento claros e checkboxes desmarcados separados para conteúdo educativo e promoções.
3. Configurar, na automação, o registro de data/hora, IP e origem de cada opt-in, por tipo de consentimento.
4. Rever todos os e-mails de marketing e inserir link de descadastramento simples, com bloqueio automático de novos envios.
5. Criar mensagem padrão de abertura no WhatsApp com aviso de privacidade, limite de uso e link para a política.
6. Separar no CRM os perfis de acesso de marketing, recepção e equipe clínica, limitando visualização de dados sensíveis.
7. Revisar, com apoio jurídico, pelo menos os contratos dos três principais fornecedores que tratam dados de pacientes.
8. Definir prazo de retenção para leads inativos e começar a apagar ou anonimizar o que não faz mais sentido manter.
9. Mapear quais automações usam ou podem inferir dados de saúde e suspender as mais arriscadas até revisão jurídica.
10. Agendar uma revisão semestral da automação de marketing focada em LGPD, com participação de marketing, recepção, TI e jurídico.

Comece hoje pelos formulários e fluxos que mais geram volume de leads. Ajustando esses pontos primeiro, você reduz o risco de fiscalização e exposição de pacientes, protege a reputação da clínica e continua crescendo online com um marketing que você consegue defender juridicamente se alguém bater na porta.

Sobre o autor: Jefte. CEO da Escaly Conheça o profissional.

Perguntas frequentes

Como começar a adequar a automação de marketing da minha clínica à LGPD?

Comece mapeando todos os pontos de coleta e uso de dados: formulários, WhatsApp, e-mail, CRM e prontuário. Em seguida, separe o que é dado de marketing do que é dado de saúde e defina a base legal de cada fluxo. Ajuste formulários, textos de consentimento e permissões de acesso no CRM. Por fim, revise contratos com fornecedores que tratam dados em nome da clínica.

É obrigatório contratar um DPO/Encarregado para uma clínica pequena?

A LGPD recomenda a figura do Encarregado, mas a própria ANPD admite modelos proporcionais ao porte e risco do tratamento. Clínicas pequenas podem ter um DPO terceirizado ou acumular a função em alguém com visão de processos e apoio jurídico. O importante é ter um responsável claro por incidentes, dúvidas de pacientes e revisão periódica dos fluxos de dados.

Posso usar dados do prontuário para segmentar campanhas de marketing?

O uso direto de dados clínicos para marketing é altamente sensível e, em geral, desaconselhado sem avaliação jurídica específica. Em muitos casos, isso exigiria consentimento explícito, destacado e ainda assim pode esbarrar em regras éticas da profissão. Prefira segmentações comportamentais neutras, baseadas em interação com conteúdos, e mantenha o prontuário separado da camada de marketing.

Qual a diferença prática entre legítimo interesse e consentimento no marketing de clínicas?

No consentimento, o paciente escolhe ativamente receber campanhas e você registra essa autorização de forma rastreável. No legítimo interesse, a clínica ampara comunicações que o paciente pode razoavelmente esperar, como pesquisas simples ou lembretes neutros, após análise de impacto e mitigação de riscos. Para campanhas comerciais e segmentações mais agressivas, a base mais segura costuma ser o consentimento específico.