RGPD·8 min de leitura·
WhatsApp para clínicas: o que o RGPD permite e como automatizar sem asneiras
Quase todas as clínicas em Portugal já falam com os pacientes por WhatsApp. A maioria fá-lo a partir do telemóvel pessoal da recepcionista, com conversas sobre infecções, medicação e exames guardadas num aparelho que sai porta fora às 18h30. Ninguém tem de deixar de usar o WhatsApp. Tem é de o usar como deve ser.
Por Jorge Ferreira, fundador da loominary · LinkedIn·
O que o RGPD diz sobre isto
Uma mensagem a dizer "queria marcar uma limpeza" é um dado pessoal como outro qualquer. Uma mensagem a dizer "o implante está a supurar, o que faço?" é um dado de saúde, e os dados de saúde são categoria especial no artigo 9.º do RGPD. A regra de partida é que não se tratam, salvo excepções, e a excepção que serve às clínicas é a prestação de cuidados de saúde por profissionais sujeitos a sigilo (n.º 2, alínea h)). Confirme com quem trata do RGPD na sua clínica, mas é esta a base que costuma aplicar-se.
A clínica é a responsável pelo tratamento. A Meta, ou qualquer fornecedor que ponha um sistema em cima do WhatsApp, é subcontratante, e o artigo 28.º exige um contrato escrito entre os dois. O paciente tem direito a saber que a clínica usa WhatsApp e para quê (artigo 13.º), o que na prática quer dizer uma frase na política de privacidade e outra na primeira mensagem. E o artigo 32.º pede medidas de segurança adequadas, o que é difícil de defender quando a segurança é o código PIN do telemóvel da Sandra.
Os três erros que vemos em quase todas as clínicas
- O número pessoal. A recepcionista usa o WhatsApp dela. Quando sai da clínica, leva dois anos de conversas com pacientes, e a clínica não tem cópia de nada. Isto acontece muito mais do que se pensa.
- O WhatsApp normal em vez do Business. Sem contrato de subcontratação, sem forma de exportar, sem controlo de quem tem acesso. Se um paciente pedir os dados dele ao abrigo do artigo 15.º, a clínica vai andar a fazer capturas de ecrã.
- Guardar tudo para sempre. O RGPD pede um prazo de conservação. Uma conversa de 2021 sobre uma consulta que já aconteceu não tem razão para continuar num telemóvel em 2026.
WhatsApp normal, Business App ou API: qual serve a uma clínica
| WhatsApp normal | WhatsApp Business App | WhatsApp Business API | |
|---|---|---|---|
| Para quem | Pessoas | Pequenos negócios, uma pessoa a atender | Empresas com vários atendedores ou automação |
| Número da clínica | Não, é o número da pessoa | Sim | Sim |
| Vários atendedores ao mesmo tempo | Não | Até alguns aparelhos ligados | Sim, sem limite prático |
| Contrato de subcontratação (art. 28.º) | Não existe | Termos genéricos da Meta | Sim, através do fornecedor que liga a API |
| Automação (confirmar, lembrar, marcar) | Não | Só respostas rápidas e mensagem de ausência | Sim |
| Custo | Gratuito | Gratuito | Pago por conversa, à Meta ou ao fornecedor |
A API tem duas regras que convém saber antes de escolher fornecedor. Primeira: a clínica só pode iniciar uma conversa com um modelo de mensagem aprovado pela Meta (um lembrete de consulta, por exemplo). Segunda: depois de o paciente responder, abre-se uma janela de 24 horas em que a clínica pode escrever livremente. Passadas as 24 horas, volta a precisar de um modelo. Não é um problema, mas explica porque é que o "olá, tudo bem?" às três semanas não sai.
Como automatizar sem ir contra o RGPD
Automatizar não é o problema. Um lembrete de consulta enviado por um sistema é mais seguro do que o mesmo lembrete escrito à mão num telemóvel pessoal. O que interessa é o desenho.
- Um número da clínica, nunca de uma pessoa. Se hoje o número é pessoal, a migração é chata mas faz-se: avisa-se os pacientes com um mês de antecedência e mantém-se o antigo com mensagem de ausência.
- Fornecedor que assine o contrato do artigo 28.º e aloje os dados na União Europeia. Se o fornecedor não souber do que está a falar quando pedir isto, já tem a resposta.
- Informar o paciente. Uma linha na política de privacidade e uma frase na primeira mensagem automática: "Esta conversa é gerida pela clínica X através de um sistema automático. Para falar com a recepção, responda FALAR."
- Minimizar. O sistema que marca consultas não precisa de saber o motivo clínico em detalhe. "Consulta de avaliação" chega. Se o paciente escrever sintomas, a conversa passa para a equipa e o sistema não faz mais nada com isso.
- Prazo de conservação e apagar a sério. Defina um prazo (as conversas de marcação não precisam de viver mais do que o processo clínico exige) e garanta que o fornecedor apaga mesmo.
- Registo de actividades de tratamento. O WhatsApp entra na lista, com a finalidade, a base legal e o subcontratante. É uma linha num documento que a clínica já devia ter.
O que a Maria faz e o que não faz
A Maria, a recepcionista virtual da Loominary, usa a API do WhatsApp com o número da clínica. Marca, confirma e reagenda consultas, e responde a perguntas sobre horários, morada e seguros. A parte clínica fica com a equipa. A Loominary é subcontratante da clínica, com contrato de tratamento de dados, e os pacientes são informados na primeira mensagem de que estão a falar com um sistema automático. Os detalhes estão na nossa política de privacidade.