Enviar laudo por WhatsApp pode? O que a LGPD exige da sua clínica

Pode, com condições. Nem a LGPD nem o CFM proíbem o WhatsApp na comunicação entre a clínica e o paciente; o que as duas normas exigem é sigilo garantido e responsabilidade sobre o dado, e é exatamente aí que o PDF solto no chat falha. A resposta prática que este guia defende cabe numa frase: o WhatsApp pode avisar; não deve transportar o laudo. O aviso leva um link, o laudo fica atrás de identificação, e a clínica mantém o canal que o paciente adora sem assumir um risco que não controla.

Agora, as razões e o protocolo.

O que a LGPD diz

Resultado de exame é dado de saúde, e a LGPD trata dado de saúde como dado sensível (art. 11), a categoria com proteção mais alta da lei. Para a clínica, três consequências práticas. Primeira: o tratamento se ampara na tutela da saúde, mas isso não dispensa o dever de segurança; a lei exige medidas aptas a proteger o dado de acessos não autorizados (art. 46). Segunda: a clínica responde pelo caminho que o dado percorre, e um arquivo entregue no aparelho errado é acesso não autorizado consumado. Terceira: o envio equivocado configura incidente de segurança, e o art. 48 obriga a comunicar à autoridade e ao titular quando houver risco ou dano relevante. Um Holter com achado grave na tela de um estranho passa nesse teste com folga.

O que o CFM diz

O Parecer CFM 14/2017 admite o WhatsApp na comunicação entre médico e paciente, desde que o sigilo esteja garantido, e veda a circulação de informações identificáveis de pacientes em grupos. A palavra que sustenta o parecer é a mesma da LGPD: sigilo. O canal é permitido; a exposição do conteúdo, não.

Onde o PDF no chat falha na prática

Quatro pontos, todos vividos por qualquer recepção. O número errado: um dígito trocado e o laudo está no aparelho de um desconhecido, sem botão de desfazer que alcance quem já viu. O destino sem controle: o arquivo fica para sempre no celular de quem recebeu, reencaminhável a qualquer um, fora do alcance da clínica. A ausência de trilha: se amanhã houver discussão sobre quem acessou o resultado, o chat não responde; não há registro de visualização atribuível. E a governança: na clínica média, o envio sai do WhatsApp pessoal de alguém da equipe, misturando dado sensível de paciente com a vida privada de um funcionário.

O jeito certo: o aviso com link

O protocolo que resolve, o mesmo que detalhamos no guia de laudos pelo celular, mantém o WhatsApp e muda o que trafega nele. O paciente recebe a mensagem de sempre, no canal de sempre (WhatsApp ou email, como a clínica preferir), mas o conteúdo é um aviso neutro: "seu exame ficou pronto, acesse a área do paciente". E aqui está o detalhe que muda tudo: o link não aponta para o laudo, aponta para a página de entrada da área do paciente da clínica. Só depois do login os exames aparecem. O texto da mensagem não revela resultado nem detalhe clínico, o link em si não carrega nada sensível, e cada acesso fica registrado com data e hora.

Na prática, os dois canais trabalham de jeitos diferentes. O aviso por email sai sozinho, na liberação do laudo. O de WhatsApp abre pronto, com destinatário e mensagem montados, e alguém da equipe envia em um clique. Não existe disparo automático de WhatsApp, e isso ajuda a governança: a mensagem sai do número institucional, conferida por uma pessoa antes de ir.

Se o número estiver errado, o estranho recebe um aviso inútil e uma tela de login que não abre para ele, não um laudo. Se o aparelho for de um familiar, a identificação filtra. E se houver discussão futura, a trilha responde quem viu o quê, quando. É a diferença entre confiar no acaso e ter um sistema: a mensagem pode errar o alvo; o conteúdo, não.

E se o paciente pedir o PDF direto no chat?

Acontece todo dia, e a resposta honesta tem camadas. A pedido expresso do titular, com identidade confirmada, o envio direto é defensável: o dado é dele, e a LGPD protege o titular, não o burocratiza. Ainda assim, a prática mais segura continua sendo o link, pelo mesmo resultado com menos risco; e se a clínica optar por atender o pedido, que registre a solicitação e confirme o número antes. O que não se sustenta é o envio direto como rotina padrão, sem pedido, para todo paciente.

Checklist de conformidade para a sua clínica

1. Política escrita: o que pode e o que não pode trafegar pelo WhatsApp da clínica, conhecida por toda a equipe.
2. Número institucional: comunicação com paciente sai do número da clínica, nunca do aparelho pessoal de alguém da equipe.
3. Texto de aviso neutro: sem resultado, sem diagnóstico, sem detalhe clínico na mensagem; o conteúdo mora atrás da identificação.
4. Identidade confirmada antes de qualquer envio direto excepcional, com o pedido do paciente registrado.
5. Protocolo de incidente: se um laudo sair para o número errado, a equipe sabe o que fazer na hora (apagar para todos, registrar o ocorrido, avaliar o risco e, conforme o caso, comunicar o paciente e a autoridade), em vez de fingir que não aconteceu.

Em resumo

• WhatsApp na comunicação com paciente é permitido; PDF de laudo solto no chat é onde o sigilo exigido pela LGPD e pelo CFM escapa do controle da clínica.
• Laudo é dado sensível (LGPD, art. 11); envio ao destinatário errado é incidente de segurança com dever de resposta (art. 48).
• A regra que resolve: o WhatsApp avisa, o portal entrega. Aviso neutro com link, laudo atrás de identificação, acesso registrado.
• Pedido expresso do paciente pode ser atendido com identidade confirmada e registro; o que não se sustenta é o envio direto como rotina.
• Política escrita, número institucional e protocolo de incidente completam a conformidade que se demonstra, não só se declara.

Perguntas frequentes

E enviar o laudo por email, pode?+

A lógica é a mesma do WhatsApp: o email com link para o portal é a prática segura; o anexo direto carrega os mesmos riscos de destino errado e ausência de trilha. Email institucional com link é o padrão que recomendamos.

Usar WhatsApp Business muda alguma coisa?+

Melhora a governança: número institucional, perfil da clínica, equipe fora do aparelho pessoal. Mas não muda a natureza do problema; um PDF enviado ao número errado pelo WhatsApp Business é o mesmo incidente. A regra do aviso com link vale igual.

Mandei um laudo para o número errado. E agora?+

Aja imediatamente: apague a mensagem para todos, registre o ocorrido (o quê, quando, para quem), avalie o risco ao paciente e, se houver risco relevante, comunique o titular e considere a comunicação à ANPD prevista no art. 48 da LGPD. O erro tratado às claras é defensável; o erro escondido, não.

Médicos podem discutir casos em grupos de WhatsApp?+

O Parecer CFM 14/2017 admite grupos entre médicos para discussão técnica, mas veda a circulação de informações que identifiquem pacientes. Caso clínico em grupo, só anonimizado de verdade; laudo com nome, nunca.