Posso atender paciente pelo WhatsApp? O que o CFM e a LGPD dizem em 2026

Quase todo médico que eu conheço atende pelo WhatsApp. Pouquíssimos sabem dizer, com segurança, o que pode e o que não pode. A dúvida aparece em grupo de colegas, em congresso, na conversa com o contador. E as respostas costumam vir em dois extremos: "é proibido" ou "não dá nada".

Nenhum dos dois é verdade. Juntei aqui o que as normas dizem de fato, com o artigo e o link para quem quiser conferir.

Posso conversar com paciente pelo WhatsApp?

Pode. O CFM tratou do assunto no Parecer 14/2017, que continua sendo a referência: o WhatsApp pode ser usado entre médico e paciente, entre médicos e em grupos fechados do corpo clínico. Duas condições: tudo o que circula ali é sigiloso, e o aplicativo não substitui a consulta.

Na prática: tirar dúvida sobre preparo de exame, mandar orientação depois da consulta, receber foto de uma lesão para decidir se o paciente precisa vir antes. Tudo isso é comunicação. O que não dá é fazer a consulta inteira por mensagem e chamar de atendimento.

Conversa no WhatsApp conta como teleconsulta?

Não. A telemedicina tem regra própria, a Resolução CFM 2.314/2022. Ela exige registro em prontuário eletrônico com certificação de segurança (o padrão NGS2, com ICP-Brasil), consentimento do paciente registrado e plataforma adequada. Um chat de WhatsApp não cumpre isso.

A mesma resolução trata a consulta presencial como padrão ouro e, para doença crônica em acompanhamento remoto, pede consulta presencial a cada 180 dias no máximo.

A zona cinzenta, e ela existe, é a orientação clínica pontual por mensagem: a norma não diz como arquivar essas conversas. A recomendação prudente é registrar no prontuário o que foi orientado pelo WhatsApp, do mesmo jeito que você registraria um telefonema.

Posso usar robô ou IA para agendar?

Pode, e agora isso está escrito. A Resolução CFM 2.454/2026, que regula a inteligência artificial na medicina, foi publicada em fevereiro e entrou em vigor no fim de agosto. No anexo que classifica os riscos, ela cita como exemplos de baixo risco a IA para agendamento de consultas e os chatbots com informação geral de saúde, desde que sem aconselhamento clínico personalizado.

Baixo risco não quer dizer sem regra. A resolução pede que essas ferramentas sejam monitoradas e revisadas periodicamente, que a instituição faça uma avaliação de risco e que o diretor técnico responda pela fiscalização do uso. Na prática, alguém da clínica precisa olhar de vez em quando o que a IA está respondendo.

E onde a IA tem que parar?

Na decisão clínica. O artigo 5º proíbe delegar à IA a comunicação de diagnóstico, prognóstico ou decisão terapêutica sem mediação humana. E o artigo 7º não deixa dúvida: o médico continua integralmente responsável pelo que for feito com a ajuda da IA.

Uma secretária virtual que responde "isso parece enxaqueca, tome tal remédio" está fora da regra. Uma que responde "vou passar sua dúvida para o doutor, enquanto isso, quer que eu veja um horário?" está dentro.

Preciso avisar que é uma IA?

Sim. A resolução dá ao paciente o direito de saber quando a IA participa do cuidado e de recusar o seu uso, e o artigo 11 fala em comunicar qualquer utilização. O texto não diferencia o robô que agenda da IA que apoia diagnóstico, então ainda não está claro se basta um aviso no início da conversa. Na dúvida, avise. Além de cumprir a norma, evita aquela sensação ruim do paciente que descobre depois.

LGPD: preciso de consentimento para guardar a conversa?

Para o atendimento em si, não. Dado de saúde é dado sensível pela LGPD (art. 5º), mas o artigo 11 permite tratá-lo sem consentimento quando for para a tutela da saúde, em procedimento feito por profissionais ou serviços de saúde. Agendar, confirmar e orientar o paciente cabem aqui.

O cenário muda com a mensagem que não é cuidado. Campanha de check-up, promoção, lista de transmissão com novidades da clínica: isso provavelmente exige outra base legal, como o consentimento. E lembre que a Resolução CFM 2.336/2023, de publicidade médica, inclui expressamente o WhatsApp entre as redes do médico. Informar valor da consulta e forma de pagamento pode; prometer resultado, não.

Consultório pequeno precisa de encarregado de dados?

Depende. A Resolução 2/2022 da ANPD dispensa o agente de pequeno porte de indicar um encarregado, desde que mantenha um canal de contato com o titular. Mas a dispensa cai quando o tratamento é de alto risco, e dado de saúde é um dos critérios. Para uma clínica com volume grande de pacientes, o mais seguro é ter alguém designado e o contato publicado no site.

E se o celular for roubado?

Se o incidente expuser dados de pacientes, a clínica precisa comunicar à ANPD e aos titulares. A Resolução 15/2024 dá três dias úteis a partir do momento em que você sabe do problema.

E a ANPD está mais atenta à saúde. Em 2026 ela virou agência reguladora, ganhou autonomia e pôs dados de saúde e IA entre as prioridades de fiscalização para 2026 e 2027. Em julho, abriu processo contra uma organização social depois de um ataque que expôs dados de cerca de 500 mil pacientes. Entre as falhas apontadas, além da segurança, está ter avisado os pacientes só por um comunicado no site.

Nos tribunais, a régua também subiu. Em maio, o TJ de Santa Catarina condenou clínicas a indenizar uma paciente porque os exames dela apareciam numa busca na internet, sem precisar de login. Para o tribunal, expor dado de saúde gera dano moral por si só, sem precisar provar prejuízo.

Checklist para a rotina da clínica

• Use um número da clínica, não o WhatsApp pessoal da secretária ou do médico.
• Celular com senha, bloqueio de tela e backup criptografado. Saiu da clínica, sai o acesso.
• Orientação clínica dada por mensagem vai para o prontuário.
• IA no atendimento: escopo administrativo, aviso ao paciente e alguém revisando as conversas.
• Mensagem promocional só para quem aceitou receber.
• Saiba quem avisar e o que fazer em caso de vazamento (o prazo é curto).
• Nunca peça senha, código ou dado bancário por WhatsApp. O paciente precisa saber que a clínica não pede.

O que ainda está em aberto

O marco legal da inteligência artificial, o PL 2.338/2023, passou no Senado em dezembro de 2024 e está parado na Câmara. Em agosto, o relator disse que a votação fica para depois das eleições. O texto aprovado no Senado prevê, entre outras coisas, o direito de saber antes que se está falando com uma IA. Se virar lei assim, o aviso deixa de ser boa prática e vira obrigação geral.

Também segue indefinido quem responde, no plano civil, quando a IA erra: o médico, a clínica ou o fornecedor. A resolução do CFM trata só da ética médica. Até isso se resolver, a regra mais segura é a mais simples: a IA cuida da agenda, o médico cuida do paciente.