A Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica à clínica veterinária porque o cadastro e o prontuário trazem dados pessoais do tutor. Cada uso precisa de base legal, finalidade definida, segurança adequada e respeito aos direitos do titular, inclusive no marketing.
Dados do animal e dados do tutor
A LGPD protege dados de pessoa natural. Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). Informações exclusivamente sobre o animal, como espécie, raça, peso e diagnóstico, não são, em si, dados pessoais.
O prontuário, porém, associa essas informações a um responsável identificado: nome, CPF, endereço, telefone, e-mail, histórico de pagamentos, relatos e decisões sobre o tratamento. Quando o registro clínico do animal está vinculado a uma pessoa identificada, o conjunto passa a revelar informações sobre essa pessoa (hábitos, endereço, capacidade de pagamento, escolhas). Por isso, a abordagem mais segura é tratar o prontuário inteiro sob as regras da LGPD.
Os dados do tutor em regra não são sensíveis (art. 5º, II), categoria que abrange, entre outros, saúde, origem racial, convicção religiosa e biometria da pessoa. A atenção deve ser redobrada quando a clínica coleta biometria para acesso, imagens com reconhecimento facial ou informações de saúde do próprio tutor (por exemplo, uma alergia relatada para justificar um cuidado no manejo).
Princípios e informação ao titular
O tratamento deve observar a boa-fé e os princípios do art. 6º, entre eles finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização. Na rotina da clínica, o princípio da necessidade orienta o cadastro: coletar o que serve ao atendimento, à cobrança e às obrigações regulatórias, sem campos supérfluos.
O titular tem direito a informações claras sobre o tratamento (art. 9º): finalidade, forma e duração, identificação do controlador e contato, uso compartilhado e seus direitos. Um aviso de privacidade na recepção e no site atende a essa exigência.
Bases legais para cada uso
A LGPD prevê bases legais diferentes para cada finalidade (art. 7º). O consentimento é apenas uma delas e, na clínica, raramente é a mais adequada para o atendimento em si.
- Execução de contrato (art. 7º, V): cadastro, agendamento, atendimento, emissão de orçamento e cobrança decorrem do contrato de prestação de serviço com o tutor.
- Cumprimento de obrigação legal ou regulatória (art. 7º, II): manutenção do prontuário e dos documentos exigidos pela Resolução CFMV 1.321/2020, emissão de documentos fiscais, registros sanitários e notificações obrigatórias.
- Exercício regular de direitos em processo (art. 7º, VI): guarda de prontuário e termos de consentimento para defesa em ação judicial, administrativa ou ético-disciplinar.
- Legítimo interesse (arts. 7º, IX, e 10): comunicações relacionadas ao serviço já contratado, como lembrete de retorno ou de reforço de vacina, desde que dentro da expectativa do tutor e com opção de recusa.
- Consentimento (art. 7º, I, e art. 8º): uso de imagem nas redes sociais, envio de ofertas de produtos e serviços sem relação direta com o atendimento, participação em pesquisas de marketing.
O legítimo interesse exige finalidade legítima, situação concreta, uso dos dados estritamente necessários e transparência (art. 10). A clínica deve conseguir demonstrar por escrito por que o uso atende ao interesse dela sem contrariar a expectativa razoável do titular.
Prontuário: guarda, acesso e cópia
O prontuário deve ser mantido pelo prazo mínimo estabelecido pela Resolução CFMV 1.321/2020. Além do prazo regulatório, a clínica deve considerar o prazo prescricional para ações do consumidor por defeito do serviço, de cinco anos contados do conhecimento do dano e de sua autoria (art. 27 do CDC). A LGPD autoriza a conservação dos dados após o fim do tratamento para cumprimento de obrigação legal ou regulatória (art. 16, I) e para exercício regular de direitos.
A Resolução CFMV 1.653/2025 alterou o art. 9º da Resolução 1.321/2020 e detalhou o pedido de cópia do prontuário:
- o pedido pode ser feito pessoalmente ou por meio físico ou eletrônico, com verificação de identidade e comprovante de recebimento;
- somente o responsável cadastrado ou pessoa por ele autorizada pode solicitar a cópia, para preservar o sigilo;
- a entrega deve ocorrer em até cinco dias úteis, em papel ou formato digital;
- não sendo possível, o responsável técnico justifica por escrito e fixa novo prazo de até 30 dias úteis;
- laudos de exames realizados por terceiros contratados pelo estabelecimento seguem prazo de até 30 dias úteis.
Essas regras convivem com o direito de acesso do art. 18 da LGPD. A clínica atende o pedido observando o procedimento do CFMV e registra a entrega. Pedido de terceiro sem autorização (ex-cônjuge, familiar, outra clínica) deve ser recusado ou condicionado à autorização do responsável cadastrado, salvo ordem judicial.
Direitos do titular
O art. 18 da LGPD garante ao titular, entre outros, confirmação da existência de tratamento, acesso, correção de dados incompletos ou desatualizados, anonimização, bloqueio ou eliminação de dados desnecessários, informação sobre compartilhamento e revogação do consentimento.
O pedido de eliminação merece cuidado. O tutor pode pedir que a clínica apague seus dados, mas o prontuário e os documentos fiscais devem ser mantidos pelo prazo regulatório e legal. A resposta adequada explica quais dados serão eliminados (por exemplo, lista de marketing) e quais serão conservados, com o fundamento.
Marketing: WhatsApp, lembretes e aniversário do pet
Lembretes de vacina, retorno e exames
Lembretes ligados a um tratamento em curso ou ao protocolo vacinal iniciado na clínica se aproximam da execução do contrato ou do legítimo interesse. Cada mensagem deve identificar a clínica e oferecer forma simples de interromper o envio.
Promoções e mensagem de aniversário do pet
Ofertas de banho e tosa, produtos, novos serviços e mensagens de aniversário com cupom têm finalidade comercial. O legítimo interesse pode sustentar comunicações com clientes ativos sobre serviços semelhantes, desde que o tutor tenha sido informado no cadastro e possa recusar a qualquer momento. Para listas amplas, contatos antigos ou compra de bases de terceiros, o consentimento é a base mais segura.
Opt-out e WhatsApp
A recusa deve ser respeitada imediatamente e registrada no sistema, para que o contato não volte a receber mensagens. No WhatsApp, separar o número de atendimento do número de campanhas facilita esse controle. Grupos com vários tutores expõem números de telefone de uns aos outros, por isso listas de transmissão ou canais são preferíveis.
Fotos do animal com o tutor nas redes sociais
A foto apenas do animal, sem elementos que identifiquem o responsável, tem pouco impacto sob a LGPD. Quando a imagem mostra o rosto do tutor, o nome dele na legenda, a fachada da casa ou a placa do carro, há dado pessoal e também direito de imagem (art. 5º, X, da Constituição e art. 20 do Código Civil).
Para publicar, a clínica deve colher autorização específica, preferencialmente por escrito, indicando os canais de publicação. A autorização pode ser revogada, e a publicação deve ser retirada quando o tutor pedir. A política interna deve tratar também de fotos publicadas por funcionários em perfis pessoais. Em resposta a avaliação negativa, a clínica não deve expor dados do prontuário.
Compartilhamento com laboratórios, planos pet e sistemas
A clínica é controladora dos dados que coleta. Empresas que tratam dados em nome da clínica são operadoras (art. 5º, VII), como o fornecedor do sistema de gestão, a empresa de armazenamento em nuvem e o prestador de envio de mensagens. O operador deve seguir as instruções do controlador (art. 39), e ambos respondem pelos danos nas hipóteses do art. 42.
O contrato com cada operador deve prever:
- finalidade e limites do tratamento;
- medidas de segurança e confidencialidade;
- comunicação de incidentes à clínica em prazo curto;
- devolução ou eliminação dos dados ao fim do contrato;
- vedação de uso para fins próprios.
Laboratórios de apoio e operadoras de plano pet recebem dados do tutor para executar a parte do serviço que lhes cabe. Esses agentes podem atuar como controladores independentes. O compartilhamento deve se limitar ao necessário (identificação, pedido de exame, autorização de procedimento) e constar do aviso de privacidade.
Encarregado, registro das operações e segurança
O controlador deve indicar um encarregado pelo tratamento de dados (art. 41). A Resolução CD/ANPD 2/2022 dispensa os agentes de tratamento de pequeno porte (como microempresas e empresas de pequeno porte que não realizem tratamento de alto risco) de indicar encarregado, mas exige que disponibilizem canal de comunicação com o titular. A Resolução CD/ANPD 18/2024 regulamenta a atuação do encarregado, inclusive a divulgação da identidade e do contato no site do controlador.
A clínica deve manter registro das operações de tratamento (art. 37). Para agentes de pequeno porte, a Resolução CD/ANPD 2/2022 admite registro simplificado.
As medidas de segurança (arts. 46 a 49) incluem senhas individuais no sistema de gestão, perfis de acesso por função (a recepção não precisa ver todo o histórico clínico), cópia de segurança, atualização de equipamentos, descarte seguro de papéis e cuidado com prontuários impressos deixados no balcão.
Incidente de segurança
Vazamento, acesso indevido, sequestro de dados por ransomware ou perda de dispositivo com dados de tutores configuram incidente. Se o incidente puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e aos titulares (art. 48). A Resolução CD/ANPD 15/2024 fixa o prazo de três dias úteis contados do conhecimento do incidente, com prazo em dobro para agentes de pequeno porte. Todo incidente, comunicado ou não, deve ser registrado e o registro mantido por no mínimo cinco anos.
Fiscalização e sanções
A Lei 15.352/2026 converteu a ANPD em Agência Nacional de Proteção de Dados. As sanções do art. 52 da LGPD incluem advertência, multa simples de até 2% do faturamento limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, além de suspensão do tratamento. A aplicação considera a gravidade, a boa-fé, a cooperação e a adoção de boas práticas (art. 52, § 1º). Independentemente da ANPD, o tutor pode buscar indenização judicial por uso indevido dos dados (art. 42).
Perguntas frequentes
A clínica precisa pedir consentimento para cadastrar o tutor?
Em regra, não. O cadastro e o prontuário se fundamentam na execução do contrato e no cumprimento de obrigação regulatória. O consentimento é necessário para finalidades como uso de imagem nas redes e algumas ações de marketing.
O tutor pode exigir que a clínica apague o prontuário?
O tutor pode pedir a eliminação, mas o prontuário deve ser mantido pelo prazo fixado na regulamentação do CFMV e enquanto for necessário à defesa da clínica. A clínica explica o fundamento da conservação e elimina os dados que não tenham justificativa.
Posso enviar mensagem de aniversário do pet pelo WhatsApp?
Para clientes ativos informados no cadastro, a mensagem pode se apoiar no legítimo interesse, com opção clara de recusa. Para contatos antigos ou listas amplas, o consentimento é mais seguro.
Clínica pequena precisa de encarregado de dados?
Agentes de pequeno porte, nos termos da Resolução CD/ANPD 2/2022, estão dispensados de indicar encarregado, desde que não realizem tratamento de alto risco, mas devem manter canal de comunicação com o titular.
O que fazer se o sistema da clínica for invadido?
Conter o incidente, registrar o ocorrido, avaliar se há risco ou dano relevante aos tutores e, se houver, comunicar a ANPD e os titulares no prazo da Resolução CD/ANPD 15/2024.
Leia também
- Clínica credenciada a plano de saúde pet: contrato, glosas e atraso de repasse
- Prontuário veterinário: o que registrar para proteger a clínica em um processo
- Avaliação negativa e exposição nas redes sociais: o que a clínica pode fazer
Se a sua clínica está diante dessa situação, a análise do caso concreto por um advogado é o passo seguinte. Entre em contato com nossa equipe.
BARBARA DE FARIAS
OAB/SP 395.839
Advogada Especialista em Direito Médico Veterinário, da Artuni, Frazatti e Bonini
