Nome, telefone e e-mail já são dados pessoais. Quando um formulário revela sintomas, exames, diagnóstico, especialidade procurada ou histórico de tratamento, o risco aumenta: a LGPD classifica dados referentes à saúde como dados pessoais sensíveis.
Isso não significa que uma clínica não possa ter formulário, agenda ou atendimento digital. Significa que o site da clínica deve coletar somente o necessário, informar a finalidade e proteger o caminho percorrido pelo dado.
Por que dado de saúde é sensível?
O art. 5º, II, da Lei nº 13.709/2018 inclui dados referentes à saúde na categoria sensível. O tratamento segue hipóteses próprias, descritas principalmente no art. 11. Consentimento pode ser uma delas, mas não é uma frase genérica capaz de justificar qualquer coleta.
A base legal precisa corresponder à finalidade concreta. Por isso, copiar uma política pronta sem mapear formulários, sistemas e fornecedores cria aparência de conformidade, não conformidade real.
Onde o site coleta dados
A coleta não acontece apenas no formulário “Fale conosco”. Revise:
- formulários de contato e pré-agendamento;
- botões e integrações de WhatsApp;
- chat online e chatbot;
- plataformas externas de agenda;
- cookies, pixels e ferramentas de análise;
- uploads de exames ou documentos;
- logs, backups e mensagens enviadas por e-mail.
Formulário de contato não é prontuário
Um erro comum é pedir ao visitante para descrever livremente o quadro clínico antes de qualquer necessidade. Se o objetivo é apenas solicitar retorno, nome, meio de contato e preferência de horário podem ser suficientes.
Evite campos como “conte seu problema de saúde” em formulários genéricos. Quando informações clínicas forem indispensáveis, use um sistema apropriado, com acesso controlado, regras de retenção e responsabilidade definida.
Política de privacidade precisa refletir a prática
O documento deve explicar quem trata os dados, quais categorias são coletadas, para quais finalidades, com quem podem ser compartilhadas, por quanto tempo são mantidas, quais direitos o titular possui e como entrar em contato.
O gerador de política de privacidade e termo LGPD ajuda a estruturar um ponto de partida, mas o texto final precisa ser revisado conforme a operação real da clínica.
Cookies e rastreadores
Ferramentas de publicidade e análise podem enviar dados a terceiros antes mesmo de o visitante preencher um campo. Inventarie tags, pixels, mapas, vídeos incorporados e widgets. Classifique o que é necessário e o que depende de escolha do usuário.
Um banner que só oferece “Aceitar” e instala tudo imediatamente dificilmente representa controle significativo. A implementação técnica precisa acompanhar o texto apresentado.
Segurança é parte da LGPD
- usar HTTPS e hospedagem atualizada;
- limitar acessos administrativos;
- adotar senhas fortes e autenticação adicional;
- manter plugins, tema e servidor corrigidos;
- proteger backups e definir retenção;
- testar formulários e destinos de e-mail;
- ter procedimento para incidentes.
Checklist mínimo para a clínica
- Mapear todos os pontos de coleta.
- Reduzir campos ao estritamente necessário.
- Definir finalidade, base legal, retenção e responsáveis.
- Revisar contratos com hospedagem, agenda e fornecedores.
- Alinhar política, banner e comportamento técnico.
- Treinar quem recebe e responde aos contatos.
LGPD não é somente uma página no rodapé. É a combinação de escolhas de design, tecnologia e processo. Quanto menos dado desnecessário circula, menor a superfície de risco — e mais clara fica a experiência do paciente.
Conteúdo informativo baseado na Lei nº 13.709/2018 e nas orientações da ANPD, consultadas em 30/08/2026. Não substitui assessoria jurídica ou de proteção de dados.
