LGPD para clínica de estética: o guia que sua clínica não pode ignorar

Uma clínica de estética lida diariamente com muito mais do que nomes e números de telefone. Cadastro de pacientes, documentos, fotografias de antes e depois, informações sobre procedimentos, histórico de atendimento, dados de pagamento, mensagens pelo WhatsApp e, em muitos casos, informações relacionadas à saúde fazem parte da rotina.

Por isso, a LGPD — Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) é um assunto que não pode ser tratado como algo exclusivo de grandes hospitais ou empresas de tecnologia. A legislação se aplica ao tratamento de dados pessoais realizado por pessoas físicas ou jurídicas, públicas ou privadas.

E existe um motivo especial para clínicas de estética prestarem atenção: determinadas informações utilizadas no atendimento podem ser classificadas como dados pessoais sensíveis, que recebem proteção reforçada pela LGPD.

Neste guia, você vai entender, de forma prática, o que uma clínica de estética precisa observar, quais são os principais riscos e como transformar a proteção de dados em parte da própria gestão da clínica.

---

O que é a LGPD?

A Lei Geral de Proteção de Dados Pessoais estabelece regras para o tratamento de dados pessoais e busca proteger direitos fundamentais relacionados à liberdade, privacidade e ao livre desenvolvimento da personalidade. A lei se aplica tanto a tratamentos realizados em meios digitais quanto em meios físicos.

Em termos simples, tratamento de dados é praticamente qualquer operação realizada com uma informação pessoal: coletar, armazenar, consultar, organizar, utilizar, compartilhar, alterar ou eliminar.

Isso significa que uma clínica pode estar realizando tratamento de dados quando:

• cadastra uma nova paciente;
• anota informações em uma ficha;
• agenda um procedimento;
• armazena fotografias de antes e depois;
• envia uma confirmação pelo WhatsApp;
• registra informações financeiras;
• compartilha uma informação com um profissional autorizado;
• mantém o histórico de atendimento;
• envia uma campanha de marketing;
• armazena os dados em um sistema de gestão.

Portanto, LGPD não é apenas uma questão de criar um documento chamado "política de privacidade". Ela envolve a forma como a clínica coleta, utiliza, armazena, compartilha e protege informações.

---

Por que a LGPD é especialmente importante para uma clínica de estética?

Porque uma clínica de estética pode trabalhar com informações que revelam aspectos da saúde, características físicas, histórico de procedimentos e outros dados relacionados à pessoa.

A LGPD define como dados pessoais sensíveis, entre outros, dados referentes à saúde, dados genéticos e dados biométricos quando vinculados a uma pessoa natural.

Além disso, o próprio Ministério da Saúde destaca que informações relacionadas à saúde são dados pessoais sensíveis e exigem proteção reforçada.

Para uma clínica de estética, isso merece atenção especial em situações como:

• avaliações e anamneses;
• informações sobre condições de saúde;
• alergias e contraindicações;
• histórico de procedimentos;
• fotografias utilizadas para acompanhamento;
• informações sobre tratamentos;
• documentos e prontuários;
• dados biométricos, quando utilizados;
• informações compartilhadas com profissionais envolvidos no atendimento.

Importante: a classificação jurídica de um dado depende do contexto e da forma como ele é tratado. Por isso, este artigo é um guia educativo e não substitui uma análise jurídica específica da sua clínica.

---

Dados pessoais x dados pessoais sensíveis: qual a diferença?

Essa é uma das primeiras distinções que a equipe de uma clínica precisa compreender.

Dados pessoais

São informações relacionadas a uma pessoa natural identificada ou identificável.

Exemplos comuns em uma clínica:

• nome;
• CPF;
• telefone;
• e-mail;
• endereço;
• data de nascimento;
• informações cadastrais.

A ANPD explica que o conceito de dado pessoal é amplo e pode incluir informações como hábitos de consumo, aparência e características relacionadas a uma pessoa identificada ou identificável.

Dados pessoais sensíveis

São informações que recebem proteção adicional pela LGPD, incluindo dados relacionados à saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, dados genéticos e dados biométricos vinculados a uma pessoa.

Para clínicas, a diferença é fundamental porque o tratamento de dados sensíveis possui regras específicas e hipóteses legais próprias.

---

Preciso pedir consentimento para tudo?

Não.

Esse é um dos maiores equívocos sobre a LGPD.

A lei não determina que toda utilização de qualquer dado pessoal dependa necessariamente de um termo de consentimento. Existem diferentes bases legais que podem permitir o tratamento de dados.

Entre as hipóteses previstas na LGPD estão, por exemplo, consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato, exercício regular de direitos, proteção da vida e tutela da saúde, dentro das condições estabelecidas pela legislação.

No caso de dados pessoais sensíveis, o artigo 11 estabelece hipóteses específicas, incluindo consentimento específico e destacado para finalidades específicas e determinadas situações sem consentimento, como cumprimento de obrigação legal, proteção da vida, exercício regular de direitos e tutela da saúde nas condições previstas na lei.

Por isso, simplesmente colocar um checkbox dizendo "aceito a LGPD" não resolve a questão.

A clínica precisa entender por que está coletando cada informação, para qual finalidade, qual base legal sustenta o tratamento e quem terá acesso aos dados.

---

O princípio mais importante para começar: não colete dados sem necessidade

Uma boa política de proteção de dados começa antes mesmo de escolher um sistema.

Começa na ficha de cadastro.

Pergunte:

• Eu realmente preciso desta informação?
• Para qual finalidade ela será utilizada?
• Quem precisa ter acesso?
• Por quanto tempo ela precisa ser armazenada?
• Ela será compartilhada com alguém?
• Existe uma forma mais segura de realizar esse processo?

A lógica é simples: quanto mais dados desnecessários a clínica coleta, maior é a superfície de risco.

Não faz sentido solicitar dezenas de informações apenas porque "sempre foi assim". A coleta deve estar relacionada à finalidade do tratamento.

---

Fotografias de antes e depois exigem atenção especial

Esse é um dos pontos mais importantes para clínicas de estética.

Fotos de antes e depois são ferramentas extremamente úteis para acompanhar resultados, demonstrar evolução e, em determinadas situações, divulgar o trabalho da clínica.

Mas existem diferenças importantes entre:

• tirar uma fotografia para acompanhamento interno do tratamento;
• armazenar a fotografia no histórico da paciente;
• utilizar a fotografia para treinamento interno;
• publicar a fotografia no Instagram;
• utilizar a fotografia em anúncios;
• enviar a fotografia para terceiros.

São finalidades diferentes.

Portanto, a clínica deve evitar a lógica de "pegamos a autorização para tudo". É necessário avaliar a finalidade específica e o fundamento jurídico adequado para cada tratamento.

Especialmente quando a fotografia for utilizada para marketing, a clínica deve ter procedimentos claros para demonstrar que a utilização daquela imagem está autorizada e é compatível com a finalidade informada ao titular.

Também é importante controlar quem consegue visualizar essas fotografias internamente.

---

WhatsApp e LGPD: um dos maiores pontos de atenção

O WhatsApp tornou-se uma ferramenta indispensável para clínicas, mas também pode criar riscos quando utilizado sem processos adequados.

Imagine uma recepcionista utilizando o próprio celular pessoal para armazenar:

• fotos de pacientes;
• resultados de exames;
• informações de saúde;
• documentos;
• dados de pagamento;
• conversas sobre tratamentos.

Se o aparelho for perdido, roubado, compartilhado com outra pessoa ou utilizado sem mecanismos adequados de segurança, a clínica pode perder o controle sobre essas informações.

Por isso, é recomendável estabelecer regras internas claras.

Boas práticas para WhatsApp

• Utilize contas corporativas sempre que possível.
• Evite armazenar informações sensíveis desnecessariamente no aparelho pessoal.
• Utilize bloqueio de tela e autenticação em dois fatores quando disponível.
• Defina quem pode acessar as conversas da clínica.
• Evite compartilhar dados de pacientes em grupos inadequados.
• Não envie informações para contatos errados.
• Crie procedimentos para desligamento de funcionários.
• Defina como fotos e documentos serão armazenados e eliminados.

A proteção de dados não termina no software de gestão. O comportamento da equipe é parte fundamental da segurança.

---

Quem pode acessar os dados dos pacientes?

Essa pergunta deveria fazer parte da rotina de toda clínica.

Nem todo funcionário precisa ter acesso a todas as informações.

Uma recepcionista pode precisar consultar agenda e dados cadastrais, enquanto um profissional pode precisar acessar informações relacionadas ao atendimento. O responsável financeiro pode precisar consultar dados de pagamentos, mas não necessariamente todo o conteúdo clínico.

Por isso, uma boa plataforma de gestão deve permitir algum nível de controle de permissões e acessos.

Quanto mais granular for o controle, melhor.

Uma estrutura possível

• Recepção: agenda e dados necessários para atendimento.
• Profissional: informações necessárias para realizar o atendimento.
• Financeiro: dados financeiros necessários à sua função.
• Gestão: informações administrativas e indicadores.
• Administrador: configurações e permissões do sistema.

Isso reduz o princípio de "todo mundo vê tudo", que é uma prática desnecessariamente arriscada.

---

O que acontece quando um funcionário deixa a clínica?

Esse é um teste simples para saber se a clínica possui uma boa política de acesso.

Quando um funcionário deixa a empresa, seu acesso aos sistemas deve ser revogado de forma organizada.

Isso inclui:

• sistema de gestão;
• e-mail corporativo;
• WhatsApp;
• ferramentas de marketing;
• armazenamento de arquivos;
• painéis administrativos;
• outros serviços utilizados pela clínica.

Uma conta antiga que permanece ativa pode representar um risco desnecessário.

Por isso, inclua o desligamento de acessos em seu procedimento de saída de funcionários.

---

O sistema de gestão ajuda na LGPD?

Sim, mas ele não torna a clínica automaticamente adequada à LGPD.

Esse ponto é fundamental.

A conformidade depende de processos, pessoas, contratos, políticas, bases legais, segurança e governança. O sistema é uma ferramenta que pode ajudar a implementar esses controles.

Uma boa plataforma deve oferecer recursos que contribuam para a segurança, como:

• controle de acesso;
• usuários individuais;
• permissões;
• armazenamento seguro;
• controle de informações;
• gestão organizada dos dados;
• processos de backup e segurança;
• estrutura para limitar acessos conforme a função.

O Ministério da Saúde destaca que os agentes de tratamento devem observar responsabilidades relacionadas ao tratamento dos dados, incluindo a distinção entre controlador e operador.

---

Controlador e operador: o que a clínica precisa entender?

A LGPD define diferentes papéis no tratamento de dados.

O controlador é quem toma as decisões referentes ao tratamento dos dados. O operador realiza o tratamento em nome do controlador. A legislação também prevê o encarregado como canal de comunicação relacionado à proteção de dados, nos termos da legislação aplicável.

Na prática, uma clínica normalmente precisa avaliar cuidadosamente a relação com seus fornecedores de tecnologia.

Por exemplo, se a clínica utiliza um sistema de gestão em nuvem para armazenar informações de pacientes, é importante saber:

• quais dados são armazenados;
• para quais finalidades;
• como o fornecedor protege essas informações;
• quem pode acessá-las;
• como funciona a eliminação ou exportação dos dados;
• quais responsabilidades estão previstas no contrato.

É recomendável que a clínica tenha contratos e documentação adequados para suas relações com fornecedores que tratam dados pessoais.

---

Não basta ter uma senha: segurança da informação é essencial

Uma clínica pode ter uma excelente política de privacidade e ainda assim apresentar riscos enormes se os controles de segurança forem fracos.

Algumas medidas básicas incluem:

• senhas fortes e individuais;
• autenticação multifator quando disponível;
• computadores protegidos;
• celulares corporativos adequadamente configurados;
• controle de permissões;
• backup adequado;
• atualização de softwares;
• proteção contra malware;
• treinamento da equipe;
• procedimentos para incidentes.

A própria ANPD possui regulamentação e orientações relacionadas à segurança e comunicação de incidentes de segurança.

---

E se houver um vazamento de dados?

Um incidente pode acontecer mesmo em uma empresa cuidadosa.

Um celular pode ser roubado. Uma senha pode ser comprometida. Um funcionário pode enviar uma informação para a pessoa errada. Um computador pode ser infectado.

Por isso, a clínica precisa ter um plano de resposta a incidentes.

O primeiro passo é identificar o que aconteceu e conter o incidente. Depois, é necessário avaliar quais dados foram afetados, quais titulares podem ter sido impactados e quais providências precisam ser tomadas.

A ANPD possui regulamentação específica sobre comunicação de incidentes de segurança envolvendo dados pessoais.

Em situações concretas, a clínica deve buscar orientação jurídica e seguir as obrigações aplicáveis ao caso.

---

Os direitos dos pacientes segundo a LGPD

O paciente não é apenas uma pessoa cadastrada no sistema. Ele é o titular dos dados.

A LGPD estabelece diversos direitos aos titulares, incluindo confirmação da existência de tratamento, acesso aos dados, correção de informações incompletas ou desatualizadas e, em determinadas situações, anonimização, bloqueio ou eliminação.

Também existem direitos relacionados à informação sobre compartilhamento de dados e outras garantias previstas na legislação.

Por isso, a clínica deve ter um canal e um procedimento para receber e tratar solicitações dos titulares.

---

Checklist de LGPD para clínica de estética

• Mapeie quais dados sua clínica coleta.
• Separe dados pessoais de dados pessoais sensíveis.
• Identifique a finalidade de cada tratamento.
• Verifique a base legal aplicável.
• Evite coletar informações desnecessárias.
• Controle quem pode acessar cada tipo de informação.
• Revogue acessos de funcionários desligados.
• Estabeleça regras para utilização do WhatsApp.
• Tenha atenção especial às fotos de antes e depois.
• Defina como documentos e fotografias serão armazenados.
• Analise os contratos com fornecedores de tecnologia.
• Verifique as medidas de segurança utilizadas pelos sistemas contratados.
• Tenha procedimentos para atender solicitações dos titulares.
• Crie um procedimento para incidentes de segurança.
• Treine sua equipe.
• Revise periodicamente suas práticas de privacidade e segurança.

---

LGPD e marketing: cuidado com a base de contatos

Uma clínica de estética geralmente possui uma grande quantidade de contatos de pessoas que já fizeram avaliações, solicitaram informações ou realizaram procedimentos.

Isso não significa que toda essa base possa ser utilizada livremente para qualquer campanha.

É necessário avaliar a finalidade e a base legal aplicável ao tratamento e respeitar os direitos dos titulares.

Por exemplo, existe diferença entre utilizar os dados necessários para administrar um agendamento e utilizar informações pessoais para uma campanha promocional.

Também é importante respeitar pedidos de oposição, descadastramento ou outras solicitações quando aplicáveis.

Uma boa gestão de CRM deve ajudar a clínica a organizar seus relacionamentos sem transformar a base de pacientes em uma lista para utilização indiscriminada.

---

LGPD não é apenas um documento

Esse talvez seja o ponto mais importante deste artigo.

Uma clínica não fica adequada à LGPD simplesmente porque criou uma política de privacidade.

Conformidade envolve processos + tecnologia + pessoas + documentação + segurança + governança.

Uma política de privacidade é importante, mas precisa refletir o que realmente acontece dentro da empresa.

Se a política diz que os dados são protegidos e, na prática, toda a equipe compartilha prontuários em grupos pessoais de WhatsApp, existe um problema.

Se o documento diz que apenas pessoas autorizadas possuem acesso e todos utilizam a mesma senha, existe um problema.

Se a clínica promete eliminar dados e não possui nenhum processo para isso, existe um problema.

Portanto, o objetivo não deve ser simplesmente "ter um documento de LGPD". O objetivo deve ser construir uma cultura de proteção de dados.

---

Como um sistema de gestão pode contribuir para uma clínica mais organizada?

Quanto mais informações ficam espalhadas entre papel, planilhas, computadores pessoais e diferentes aplicativos, mais difícil tende a ser controlar quem acessa cada informação e onde os dados estão armazenados.

Centralizar a gestão em uma plataforma adequada pode facilitar a organização dos processos.

O Iter Clinic, por exemplo, reúne recursos de agenda, prontuário, CRM, financeiro, estoque, sessões, pacotes e outros processos da clínica em uma única plataforma.

Para uma clínica que busca melhorar sua organização, centralizar essas informações pode reduzir a necessidade de manter dados espalhados em diferentes ferramentas.

Naturalmente, utilizar um sistema de gestão não significa, por si só, estar em conformidade com a LGPD. A clínica continua responsável por definir seus processos, permissões, políticas e práticas de tratamento de dados.

Mas uma tecnologia adequada pode ser uma parte importante dessa estrutura.

---

Como começar a adequação à LGPD sem complicar?

Se sua clínica ainda não fez nada sobre LGPD, não precisa tentar resolver tudo em um único dia.

Comece pelo básico.

1. Faça um inventário dos dados

Liste onde estão as informações dos pacientes: sistema, papel, computador, celular, WhatsApp, planilhas, e-mail e outros locais.

2. Identifique quem acessa

Descubra quais funcionários e prestadores conseguem visualizar cada tipo de informação.

3. Revise os processos

Observe como a clínica coleta, utiliza, compartilha e armazena dados.

4. Reduza excessos

Elimine coletas desnecessárias e evite manter informações sem finalidade definida.

5. Proteja os acessos

Crie usuários individuais, senhas fortes e, quando disponível, autenticação multifator.

6. Organize os fornecedores

Analise contratos e responsabilidades com sistemas, plataformas de marketing, serviços de armazenamento e outros fornecedores que possam tratar dados.

7. Treine a equipe

Uma única pessoa pode colocar toda a operação em risco se não souber como lidar com dados pessoais.

8. Procure orientação especializada

Para uma adequação completa, especialmente quando a clínica trata dados sensíveis em grande volume ou possui processos mais complexos, procure um profissional especializado em proteção de dados e direito.

---

Conclusão: LGPD deve fazer parte da gestão da sua clínica

A LGPD não deve ser vista apenas como uma obrigação burocrática.

Ela representa uma mudança importante na maneira como empresas tratam informações pessoais.

Para uma clínica de estética, isso é ainda mais relevante porque a operação pode envolver dados cadastrais, informações de saúde, fotografias, histórico de procedimentos, informações financeiras e conversas privadas com pacientes.

Proteger esses dados significa proteger também a confiança que o paciente deposita na clínica.

Comece identificando quais dados você possui, por que os utiliza, quem pode acessá-los e como estão protegidos.

Depois, organize processos, treine a equipe, revise os fornecedores e escolha ferramentas que contribuam para uma gestão mais segura e organizada.

O Iter Clinic pode fazer parte dessa estrutura ao centralizar diferentes processos da clínica em uma plataforma de gestão, incluindo agenda, CRM, prontuário, financeiro, estoque, sessões e outros recursos.

Conheça a plataforma:

https://www.iterclinic.com/

Importante: este conteúdo possui finalidade educativa e não constitui aconselhamento jurídico. A aplicação da LGPD depende das características de cada clínica, dos dados tratados, das finalidades e das bases legais envolvidas. Para uma adequação jurídica específica, consulte um profissional especializado.

---

FAQ: LGPD para clínica de estética

Clínica de estética precisa cumprir a LGPD?

Sim. A LGPD se aplica ao tratamento de dados pessoais realizado por pessoas físicas ou jurídicas, públicas ou privadas.

Dados de pacientes são dados sensíveis?

Nem todo dado de paciente é automaticamente sensível. Nome, telefone e e-mail, por exemplo, são dados pessoais. Já informações relacionadas à saúde e outros dados definidos no artigo 5º, II, da LGPD recebem proteção como dados pessoais sensíveis.

Preciso de autorização para guardar fotos de antes e depois?

A utilização de fotografias deve ser analisada conforme a finalidade e a hipótese legal aplicável. O uso para acompanhamento interno do atendimento é diferente da publicação em redes sociais ou utilização em publicidade. A clínica deve estruturar adequadamente esses tratamentos.

Posso mandar informações de pacientes pelo WhatsApp?

O uso do WhatsApp não é automaticamente proibido pela LGPD, mas a clínica deve adotar medidas adequadas de segurança, controle de acesso e tratamento de dados. Informações sensíveis exigem atenção especial.

Preciso contratar um advogado para cumprir a LGPD?

Não existe uma resposta única para todas as clínicas. A complexidade da adequação depende da operação, volume e natureza dos dados tratados e de outros fatores. Para uma avaliação jurídica específica, é recomendável buscar orientação profissional.

Ter um sistema de gestão significa estar adequado à LGPD?

Não. O sistema é apenas uma parte da estrutura. A conformidade depende também de processos, pessoas, segurança, contratos, governança e demais medidas necessárias.

O que devo fazer primeiro?

Comece mapeando os dados que a clínica coleta, onde estão armazenados, quem possui acesso, para que são utilizados e com quem são compartilhados. Esse diagnóstico inicial ajuda a identificar os principais riscos e prioridades.