LGPD para clínica de estética: guia prático em 8 passos

Ficha de anamnese, foto do rosto antes do peeling, histórico de alergias, conversa no WhatsApp sobre uma mancha na pele. Quase tudo o que passa pela recepção de uma clínica é dado pessoal, e boa parte é dado de saúde. Por isso a LGPD para clínica de estética não é burocracia de empresa grande: é parte do dia a dia de quem atende.

A boa notícia é que a lei não exige um departamento jurídico. Para micro e pequenas empresas, a Autoridade Nacional de Proteção de Dados (ANPD) criou regras simplificadas. O que ela exige é organização: saber o que você coleta, por que coleta, quem acessa e por quanto tempo guarda.

A seguir, você vê o que a lei diz sobre dados de saúde, o que muda para a clínica pequena e um passo a passo para ajustar ficha, fotos, WhatsApp e acessos da equipe. Não é consultoria jurídica, mas é um bom roteiro para começar.

Por que a LGPD pesa mais na clínica de estética

A Lei Geral de Proteção de Dados (Lei 13.709/2018) separa os dados em dois grupos. Nome, telefone e e-mail são dados pessoais comuns. Já o dado "referente à saúde", o dado genético e o biométrico são dados pessoais sensíveis (art. 5º, II), com regras mais rígidas.

Na estética, isso aparece o tempo todo:

• Ficha de anamnese: doenças, medicamentos, gravidez, alergias, cirurgias anteriores.
• Fotos de antes e depois: mostram acne, manchas, cicatrizes, gordura localizada. É informação de saúde em forma de imagem.
• Evolução do tratamento: anotações sobre reações, sessões e resultados.
• Conversas no WhatsApp: a cliente manda foto de uma irritação e pergunta se é normal.

Quando algo dá errado, a conta pode ser alta. As sanções da LGPD (art. 52) vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. E a cliente prejudicada pode pedir indenização na Justiça (art. 42).

O que muda para clínica pequena: as regras simplificadas da ANPD

A Resolução CD/ANPD nº 2/2022, feita em parceria com o Sebrae, criou um tratamento diferenciado para os chamados agentes de tratamento de pequeno porte: MEI, microempresa, empresa de pequeno porte e startups, além de pessoas físicas que tratam dados como controladoras.

Atenção a um detalhe. A resolução tira o benefício de quem faz tratamento de alto risco. Alto risco é a soma de um critério geral (larga escala ou tratamento que possa afetar significativamente direitos da pessoa) com um critério específico, e o uso de dados sensíveis é um deles. Ou seja: a clínica de estética já cumpre o critério específico. Uma clínica de bairro dificilmente trata dados em larga escala, mas redes com muitas unidades ou volume alto de clientes devem avaliar com cuidado, de preferência com um advogado.

Resumo: ser pequeno não isenta ninguém da LGPD. Muda o tamanho da papelada, não o dever de proteger os dados das clientes.

LGPD para clínica de estética: passo a passo para se adequar

1. Mapeie os dados que você coleta

Pegue uma folha e liste, para cada etapa do atendimento, que dado entra, onde fica guardado e quem acessa. Por exemplo:

• Agendamento: nome, telefone, serviço escolhido (sistema de agenda, WhatsApp).
• Primeira consulta: ficha de anamnese (papel, tablet, planilha?).
• Procedimento: fotos (celular de quem? nuvem pessoal ou da clínica?).
• Pagamento: CPF para nota fiscal, dados de cartão (maquininha).

Esse mapa é a base do registro simplificado que a ANPD pede. E costuma revelar surpresas, como fotos de clientes espalhadas no celular de três profissionais.

2. Colete só o que você realmente usa

A lei tem o princípio da necessidade (art. 6º, III): coletar o mínimo para a finalidade. Revise a ficha de anamnese. Se a pergunta não muda a indicação, a contraindicação ou o cuidado com a cliente, ela não precisa estar lá. Endereço completo para fazer uma limpeza de pele, por exemplo, raramente é necessário.

3. Organize a ficha de anamnese

Dado sensível só pode ser tratado nas hipóteses do art. 11 da LGPD. As duas que mais interessam à clínica são:

• Consentimento da cliente, "de forma específica e destacada, para finalidades específicas" (art. 11, I).
• Tutela da saúde, exclusivamente em procedimento feito por profissionais de saúde ou serviços de saúde (art. 11, II, f).

Se a sua equipe tem profissionais de saúde com registro em conselho, a segunda hipótese pode se aplicar à anamnese. Na dúvida, o caminho mais seguro para a maioria das clínicas é ter um termo de consentimento separado, curto e claro, assinado junto com a ficha. Ele deve dizer para que os dados servem, quem acessa e por quanto tempo ficam guardados. Para clientes menores de idade, o consentimento deve ser dado por um dos pais ou responsável (art. 14).

4. Separe as fotos de antes e depois em duas finalidades

Aqui mora o maior risco da estética. A mesma foto pode ter dois usos bem diferentes:

1. Registro do tratamento: serve para acompanhar a evolução e fica no histórico da cliente.
2. Divulgação: Instagram, site, material impresso.

Uma autorização não cobre a outra. Para divulgar, peça um consentimento à parte, por escrito, dizendo onde a imagem vai aparecer. Além da LGPD, o Código Civil (art. 20) protege o uso da imagem da pessoa. E lembre que o consentimento pode ser revogado a qualquer momento (art. 8º, § 5º): se a cliente pedir, a foto sai do perfil.

Se você tem formação em área regulada (biomedicina, fisioterapia, medicina, enfermagem), confira também as regras de publicidade do seu conselho, que podem ser mais restritivas.

5. Tire os dados das clientes do celular pessoal

Foto de procedimento no rolo da câmera do celular da profissional é o cenário clássico de vazamento: o aparelho é perdido, vai para o conserto ou a pessoa sai da clínica levando tudo. Defina um lugar único da clínica para guardar fotos e fichas, com senha, e combine que nada fica no aparelho pessoal depois do atendimento.

No WhatsApp, use um número da clínica, não o pessoal da recepcionista. Se ainda não organizou isso, veja nosso guia de WhatsApp Business para clínica de estética.

6. Controle quem acessa o quê

O art. 46 exige medidas de segurança para proteger os dados contra acessos não autorizados. Na prática, para uma clínica pequena:

• Cada pessoa com o próprio login, sem senha compartilhada.
• A recepção vê a agenda; a ficha clínica fica com quem atende.
• Quando alguém sai da equipe, o acesso é cortado no mesmo dia.
• Ficha em papel fica em armário trancado, não na bancada.
• Termo de confidencialidade assinado por quem lida com dados.

A ANPD publicou um guia de segurança da informação voltado justamente para pequenos negócios, com um checklist de medidas administrativas e técnicas. Vale usar como lista de conferência.

7. Prepare-se para os pedidos das clientes

A cliente tem direito de saber quais dados a clínica guarda, pedir cópia, corrigir informações e, nos casos de consentimento, pedir a eliminação (art. 18). Tenha um canal para isso, que pode ser um e-mail ou o próprio WhatsApp da clínica, e informe esse canal na sua política de privacidade.

Um sistema ajuda bastante nessa parte. No MarkFacil para clínicas de estética, o agendamento registra o consentimento da cliente e o painel permite exportar ou anonimizar os dados de uma pessoa quando ela pedir, sem caçar informação em planilhas.

8. Saiba o que fazer se houver um vazamento

Celular roubado com fotos de clientes, planilha enviada para o grupo errado, conta invadida: isso é um incidente de segurança. Pela Resolução CD/ANPD nº 15/2024, se o incidente puder causar risco ou dano relevante às pessoas, o controlador deve comunicar a ANPD e as titulares em até 3 dias úteis a partir de quando souber que dados pessoais foram afetados. Para agentes de pequeno porte, o prazo conta em dobro.

A mesma resolução manda registrar todos os incidentes, mesmo os que não precisam ser comunicados, e guardar esse registro por pelo menos 5 anos. Deixe anotado desde já quem decide e quem comunica, para ninguém perder o prazo procurando o que fazer.

Por quanto tempo guardar ficha e fotos

A LGPD manda eliminar os dados quando o tratamento termina (art. 16), mas permite guardá-los para cumprir obrigação legal ou regulatória. Na prática:

• Registros clínicos: siga o prazo do conselho profissional de quem atende. Se o seu conselho fixa um prazo de guarda de prontuário, ele vale mesmo que a cliente peça a exclusão.
• Fotos para divulgação: duram enquanto o consentimento estiver valendo.
• Contatos de marketing: clientes que não voltam há anos e não pediram para receber novidades não precisam continuar na sua lista.

Escreva esses prazos numa política interna simples, de uma página. Ela ajuda a equipe e mostra boa-fé se a clínica um dia for questionada.

Erros comuns de LGPD em clínicas de estética

• Postar antes e depois "sem mostrar o rosto" achando que dispensa autorização. Tatuagem, pinta ou cicatriz identificam a pessoa.
• Usar a mesma autorização genérica, escondida no fim da ficha, para tudo.
• Mandar ficha preenchida por foto no WhatsApp pessoal.
• Manter acesso ao sistema de ex-funcionárias.
• Colar dados de clientes em ferramentas de inteligência artificial gratuitas para "montar um protocolo".
• Não ter política de privacidade no site ou na página de agendamento.

Perguntas frequentes

Clínica de estética pequena precisa ter encarregado (DPO)?

Microempresa, empresa de pequeno porte e MEI estão dispensados pela Resolução CD/ANPD nº 2/2022, desde que não façam tratamento de alto risco. Mesmo assim, é preciso ter um canal de comunicação para as clientes. Indicar um responsável é considerado boa prática.

Preciso de consentimento para guardar a ficha de anamnese?

Depende da base legal. Procedimentos feitos por profissionais de saúde podem se apoiar na tutela da saúde (art. 11, II, f). Fora disso, o consentimento específico e destacado é o caminho mais seguro. Na dúvida, use o termo de consentimento.

Posso postar foto de antes e depois de cliente no Instagram?

Só com autorização específica e por escrito para divulgação, separada da autorização de registro do tratamento. A cliente pode retirar essa autorização depois, e a foto precisa sair. Profissionais de áreas regulamentadas devem conferir também as regras do seu conselho.

Qual é a multa da LGPD para clínica?

A lei prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de advertência, publicização da infração e bloqueio ou eliminação dos dados. O valor considera, entre outros pontos, a gravidade, a boa-fé e as medidas de segurança adotadas.

Se a cliente pedir para apagar os dados, sou obrigada a apagar tudo?

Dados tratados com base em consentimento devem ser eliminados a pedido. Registros que você precisa manter por obrigação legal ou regulatória, como o prontuário exigido pelo conselho profissional, podem ser guardados pelo prazo exigido. Explique isso à cliente com clareza.

Para começar ainda esta semana, faça o mapa dos dados (passo 1) e resolva as fotos no celular pessoal (passo 5). São as duas ações que mais reduzem risco com menos esforço. Depois, revise a ficha, crie os termos e escreva sua política de guarda. Com a casa em ordem, vale cuidar da vitrine da clínica, como o perfil no Google, sabendo que os dados de quem chega estão bem cuidados.