Checklist LGPD para mensagens automáticas na saúde
Controlador, base legal, dado mínimo, retenção, PARE e direitos dos titulares. Seis perguntas que a clínica precisa saber responder antes de ligar o robô.
Mensagem automática para paciente é tratamento de dado pessoal, e dado de saúde é sensível. A LGPD não proíbe; ela exige que você saiba responder seis perguntas. Este checklist é um ponto de partida, não parecer jurídico.
- Quem é o controlador? A clínica. Não o n8n, não a TN Costa, não a Evolution. Quem decide mandar a mensagem responde por ela. Os fornecedores são operadores, e isso deve estar no contrato com cada um.
- Qual é a base legal? Lembrete e confirmação de uma consulta marcada se apoiam na execução do contrato de prestação de serviço (art. 7º, V) e, quando há dado de saúde envolvido, na tutela da saúde (art. 11, II, f). Aniversário, recall e promoção não: pedem consentimento, registrado, com data. Cobrança se apoia no contrato. Escreva a base de cada mensagem; se não conseguir, não mande.
- Dado mínimo. O lembrete precisa de nome, data e hora. Não precisa do procedimento, do profissional, do convênio, da idade. Se a mensagem funciona sem o dado, o dado não entra. Vale para o texto e para o que fica gravado nas tabelas.
- Retenção. Por quanto tempo as respostas e os envios ficam guardados? Defina um prazo, escreva e limpe. Prontuário tem prazo próprio e não vive no n8n.
- PARE. Todo paciente pode parar de receber, com uma palavra, a qualquer hora, e o pedido vale para todos os fluxos. O Núcleo TN faz isso por padrão. Informe que existe.
- Direitos dos titulares. O paciente pode pedir o que você tem sobre ele, corrigir, apagar. Você precisa saber onde procurar: na agenda, na planilha, nas Data Tables, no histórico do WhatsApp. Um roteiro de uma página resolve.
E a política de privacidade da clínica precisa dizer que o WhatsApp é usado para lembretes e atendimento, com quais fornecedores, e como pedir para parar. Sem isso, o resto do checklist fica invisível para quem mais importa.