LGPD en el marketing de la clínica: consentimiento de contacto

El marketing de una clínica vive del contacto: mensaje de control, recordatorio, lista de difusión, anuncio, foto en el perfil. Cada uno de esos actos toca datos personales del paciente y, en salud, un tipo de dato que la ley trata con más cuidado. La Ley General de Protección de Datos de Brasil (Ley 13.709/2018, LGPD) no prohíbe que la clínica se comunique. Exige que la clínica sepa por qué usa el dato, con qué base legal, por cuánto tiempo y cómo puede el paciente decir que no.

Esta guía traduce eso al marketing de la clínica de armonización orofacial (HOF): qué es un dato personal y sensible, qué bases legales existen, cómo pedir y registrar el consentimiento de contacto, cómo tratar listas y mensajes, qué derechos tiene el paciente y un paso a paso para organizarse. El uso de fotos del paciente es otro tema y está en consentimiento y LGPD para fotos.

¿Qué datos trata la clínica en el marketing?

Atención: la lista de pacientes que se hicieron un procedimiento específico es, por sí sola, información de salud. Usarla para segmentar una campaña ("quienes se hicieron relleno de labios") es tratar datos sensibles para marketing, y eso pide más cautela que enviar un aviso general.

¿Qué bases legales existen?

La LGPD dice que todo tratamiento de datos necesita una base legal (art. 7 para datos comunes; art. 11 para datos sensibles). En términos prácticos, para una clínica las más relevantes son:

El punto principal: el cuidado clínico y el marketing son finalidades distintas. El dato recopilado para atender al paciente no se convierte automáticamente en material de campaña. Si la clínica quiere usar el contacto para promociones, necesita una base propia para eso, y el consentimiento suele ser el camino más claro.

¿Un recordatorio de control es marketing?

Depende del contenido. Un recordatorio de reevaluación con motivo clínico, ligado al cuidado ya contratado, se acerca a la relación con el paciente. Un mensaje con descuento, paquete o invitación a un procedimiento nuevo se acerca al marketing. Mezclar ambos en el mismo mensaje borra la diferencia y dificulta la defensa de la clínica. Por eso:

• Separa los flujos: recordatorios de cuidado por un lado, comunicación promocional por otro.
• Dale al paciente la opción de recibir uno sin el otro.
• Evita las ofertas comerciales en el mensaje de reevaluación. Consulta recall de pacientes en HOF.

¿Cómo pedir y registrar el consentimiento de contacto?

El consentimiento válido tiene características que la clínica debe cumplir. En la práctica:

1. Pídelo por separado. No escondas la aceptación dentro del documento del procedimiento ni del registro. Usa un ítem propio ("Autorizo recibir comunicaciones de la clínica por WhatsApp y correo electrónico").
2. Indica la finalidad. Qué se enviará (recordatorios, novedades, ofertas) y por qué canal.
3. No marques la casilla de antemano. La aceptación debe ser activa.
4. Explica cómo negarse y que el paciente puede cambiar de opinión en cualquier momento.
5. Registra. Guarda la fecha, el canal, el texto presentado y la persona que lo registró. Un campo en el registro y en la historia clínica basta.
6. Revisa de vez en cuando y depura la base de quienes pidieron salir.

Un texto corto para el registro o el documento:

Acuerda las opciones con el contacto de quien trata los datos (el responsable en la clínica). Los modelos de documentos están en modelo de consentimiento de uso de imagen del paciente y guiones de WhatsApp.

¿Qué derechos tiene el paciente?

La LGPD (art. 18) garantiza al titular, entre otros, el derecho a:

• confirmar que la clínica trata sus datos y acceder a ellos;
• corregir datos incompletos o desactualizados;
• pedir la anonimización, el bloqueo o la eliminación de datos innecesarios o tratados en desacuerdo con la ley;
• pedir información sobre con quién se compartieron los datos;
• revocar el consentimiento (art. 8, § 5), que sigue siendo válido para lo ya hecho, pero debe cesar hacia el futuro;
• oponerse a un tratamiento hecho sin consentimiento, cuando haya incumplimiento de la ley.

La clínica necesita un canal sencillo para recibir esas solicitudes (correo electrónico, formulario o recepción capacitada) y un procedimiento para responder dentro de los plazos reglamentados. Registra cada solicitud y la respuesta. La eliminación no se aplica a los datos que la clínica debe conservar por obligación legal, como la historia clínica, lo cual debe explicarse al paciente.

¿Qué hacer con listas y mensajes masivos?

Incluso cuando la LGPD permite el contacto, pueden aplicarse otras reglas: las de las plataformas de mensajes y anuncios, el Código de Defensa del Consumidor de Brasil y las normas de publicidad de tu consejo. Consulta divulgar el precio de la armonización y anuncios pagados para HOF dentro de las reglas.

¿Y el sitio, el píxel y los anuncios?

Si el sitio de la clínica usa formularios, cookies, píxeles de anuncios o un botón de WhatsApp con rastreo, trata datos de navegación. Lo mínimo recomendable:

• Política de privacidad clara, en el sitio, que diga qué datos recopila, para qué y cómo ejercer los derechos.
• Aviso de cookies cuando haya rastreadores no esenciales.
• Cuidado con los datos de salud en anuncios: no envíes a las plataformas listas de pacientes por procedimiento ni eventos que revelen una condición de salud. Eso es un dato sensible.
• Formulario breve: pide solo lo necesario (nombre, contacto, interés).

Más sobre el sitio en sitio web para clínicas de HOF.

¿Cuánto tiempo conservar y cómo proteger?

• Historia clínica: sigue las reglas de tu consejo y la legislación de salud sobre conservación. Consúltalo con el consejo y el abogado.
• Datos de marketing: consérvalos mientras haya finalidad y consentimiento. Quien pidió salir debe ser retirado de las listas, manteniendo solo el registro de la solicitud.
• Acceso: limítalo por función. La recepción no necesita ver la historia clínica, y el área comercial no necesita ver fotos.
• Dispositivos: usa cuentas y equipos de la clínica, con contraseña y bloqueo, en lugar de celulares personales del equipo.
• Salida de un colaborador: revocar accesos y recoger los equipos.
• Proveedores: quien trata datos en nombre de la clínica (sistema de gestión, agencia, herramienta de mensajes) necesita un contrato con cláusulas de protección. Consulta software de gestión para clínicas de HOF.
• Incidente de seguridad: ten un plan para filtraciones o accesos indebidos, que incluya la comunicación al paciente y a la ANPD cuando corresponda.

Paso a paso para organizarte en un mes

Después de eso, una revisión cada seis meses o cuando surja un nuevo canal (por ejemplo, un sistema nuevo o una campaña).

Errores comunes

• Creer que "el paciente conoce la clínica" exime de todo cuidado.
• Usar la historia clínica para segmentar campañas.
• Marcar de antemano la casilla de consentimiento o esconderlo en el documento.
• Armar grupos de WhatsApp con pacientes.
• No dar al paciente una forma de pedir salir.
• Comprar una lista de contactos.
• Usar el celular personal del equipo para guardar fotos y conversaciones.
• No registrar el consentimiento y quedarse sin prueba.
• Enviar datos de salud a las plataformas de anuncios.

Cómo maneja Harmy los datos

Harmy es una app del profesional. La foto del paciente se envía a una IA de terceros para generar la proyección, con la aceptación del profesional en la app, y los contornos del rostro se calculan en el dispositivo y no se guardan. Eso no sustituye el consentimiento del paciente: el profesional debe explicarle qué se hará con la foto y obtener la autorización necesaria. Los recordatorios de la app (push y correo electrónico) se pueden desactivar en Cuenta, Recordatorios. La proyección es una simulación ilustrativa; nunca la uses en la divulgación como si fuera un resultado.

Lista de verificación de la LGPD para el marketing

• ¿Sé qué datos recopila la clínica y dónde están?
• ¿Cada uso de marketing tiene una base legal y una finalidad definidas?
• ¿El consentimiento de contacto es separado, activo, con finalidad y registro?
• ¿Los recordatorios de cuidado están separados de los mensajes promocionales?
• ¿El paciente puede negarse y revocar con facilidad?
• ¿Hay un canal para los derechos del titular y una política de privacidad en el sitio?
• ¿Las listas son propias, sin grupos y sin compra?
• ¿Acceso por función, equipos de la clínica y plan de incidentes?
• ¿Se capacitó al equipo?
• ¿Un abogado revisó los textos y los flujos?

La LGPD no impide que la clínica se comunique: pide que la comunicación sea transparente, con finalidad y con respeto a la elección del paciente. Para quien trabaja con salud e imagen, eso es parte de la confianza que sostiene el negocio.