LGPD para aromaterapeutas: ficha, fotos, WhatsApp e guarda de dados

A LGPD vale para a aromaterapeuta que atende: quem decide como os dados das pacientes são coletados e guardados é a controladora desses dados, mesmo sendo pessoa física^[1][2]. Ficha de anamnese, queixas, medicamentos e exames são dados referentes à saúde, que a lei chama de dados pessoais sensíveis^[1]. Na prática: coletar só o necessário, pedir consentimento específico e destacado, cuidar de fotos, prints e WhatsApp, guardar tudo com segurança e saber agir se algo vazar^[1][5]. Este artigo é um guia educativo, não é aconselhamento jurídico: para o seu caso, procure uma advogada ou um advogado com experiência em proteção de dados.

Por Camila CastellanBiomédica, neurocientista e aromaterapeuta clínica · Publicado em 14 de outubro de 2026

Resumo rápido

Este artigo é para aromaterapeutas e estudantes. Importante: é um conteúdo educativo e não substitui aconselhamento jurídico. As regras foram conferidas no texto oficial da lei e nas publicações da ANPD, a autoridade nacional de proteção de dados, mas a aplicação ao seu caso depende de detalhes que só uma profissional do Direito pode avaliar.

Por que a LGPD também é assunto da aromaterapeuta

Muita aromaterapeuta acha que a LGPD é coisa de empresa grande ou de hospital. Não é. A lei se aplica a quem trata dados pessoais com finalidade profissional, e “tratar” é quase tudo: coletar, anotar, guardar, enviar, compartilhar, apagar^[1].

O guia da ANPD sobre agentes de tratamento diz que a pessoa natural pode ser controladora quando toma as principais decisões sobre os dados, como os profissionais liberais. O exemplo do guia é o de uma médica que guarda prontuários no computador do consultório: ela, pessoa física, é a controladora^[2]. A aromaterapeuta que atende por conta própria, com ou sem CNPJ, está na mesma situação.

Se você trabalha como MEI ou como pessoa física, provavelmente é agente de tratamento de pequeno porte. A Resolução CD/ANPD nº 2/2022 traz facilidades para esse grupo, como registro simplificado e dispensa de indicar encarregado, desde que exista um canal de contato com a paciente^[3]. Facilidade não é isenção: os princípios da lei continuam valendo, em especial finalidade, necessidade e segurança^[1].

Dados de saúde são dados sensíveis

Dado pessoal é qualquer informação ligada a uma pessoa identificada ou identificável. Dado pessoal sensível é uma categoria especial, que inclui o “dado referente à saúde” (art. 5º, II)^[1]. No atendimento de aromaterapia, quase tudo o que importa é sensível: queixa, doenças, medicamentos, gestação, alergias, sono, humor, exames, evolução e até a sinergia indicada, porque ela revela o problema de saúde.

Anonimizar não é só tirar o nome: idade exata, cidade pequena, profissão rara e uma história muito particular podem, juntos, revelar quem é a pessoa.

Bases legais: consentimento e tutela da saúde

Nenhum dado pode ser tratado sem uma “base legal”, a justificativa prevista na lei. Para dados sensíveis, as bases estão no art. 11 e são mais restritas^[1]. Três interessam mais à aromaterapeuta.

1. Consentimento (art. 11, I). Vale “quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas”. Autorizações genéricas são nulas, a paciente pode revogar o consentimento a qualquer momento e cabe a você provar que ele foi obtido corretamente (art. 8º)^[1].

2. Tutela da saúde (art. 11, II, “f”). Permite tratar dados sensíveis sem consentimento quando indispensável para a “tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária”^[1]. Aqui é preciso cuidado: a lei não define quem é “profissional de saúde” para esse fim, e a aplicação à aromaterapia não está pacificada. Pode depender da sua formação de origem, de registro em conselho e de como o serviço é organizado. Não é prudente se apoiar só nela sem orientação jurídica.

3. Exercício regular de direitos (art. 11, II, “d”). Permite tratar dados indispensáveis para exercer direitos, inclusive em contrato e em processo judicial ou administrativo^[1]. Pode justificar manter registros depois do fim do acompanhamento, para se defender numa eventual reclamação.

Na prática, o caminho que costuma trazer mais segurança é o consentimento específico e destacado, dado no início do atendimento, por escrito ou por meio que deixe registro. Se você também tem uma profissão de saúde regulamentada, a análise pode ser diferente.

Ficha de anamnese: pergunte só o que vai usar

O princípio da necessidade pede que você colete só o que é pertinente e proporcional ao objetivo^[1]. O guia de segurança da ANPD vai na mesma linha: guardar dados “apenas porque um dia poderão ser úteis” não é prática adequada^[5]. Antes de cada pergunta, vale pensar: eu uso essa informação para escolher óleo, via e dose, ou para decidir encaminhar? Preciso do CPF ou do endereço completo? Preciso da cópia do exame ou basta anotar o dado relevante?

No início da ficha, inclua um aviso curto: quem é a responsável pelos dados, para que serão usados, onde ficam guardados, com quem podem ser compartilhados e como a paciente pode pedir acesso ou exclusão. Veja como montar a ficha em ficha de anamnese em aromaterapia.

Termo de consentimento: o que não pode faltar

O termo de consentimento da aromaterapia já trata dos riscos e limites do atendimento. Ele também deve cuidar dos dados, com consentimento específico, destacado e ligado a finalidades determinadas^[1]. Uma frase genérica como “autorizo o uso dos meus dados” não serve. Um bom bloco de proteção de dados costuma ter:

1. Identificação da responsável e um canal de contato.
2. Finalidades separadas: atendimento, contato por WhatsApp ou e-mail, nota fiscal, envio de produtos.
3. Consentimentos opcionais em campos próprios: fotos, depoimento, discussão do caso anonimizado em supervisão ou ensino.
4. Onde os dados ficam e por quanto tempo.
5. Os direitos da paciente, incluindo a revogação do consentimento.

A paciente precisa poder dizer “sim” ao atendimento e “não” à foto sem perder o atendimento. A lei garante o direito de saber que pode não consentir e quais as consequências (art. 18, VIII)^[1]. Veja o modelo em termo de consentimento em aromaterapia.

Fotos e depoimentos: só com autorização

Fotos de antes e depois e prints de agradecimento são tentadores para a divulgação, e é onde mais se erra. Uma foto que mostra uma condição de pele, um rosto ou um nome é dado pessoal, muitas vezes sensível, publicado para milhares de pessoas.

Uma revisão sobre fotografia clínica com smartphones recomendou documentar o consentimento sempre, usar configurações de privacidade rígidas e manter as imagens no celular pelo menor tempo possível^[12]. Numa pesquisa com 265 dentistas, a maioria via o compartilhamento de dados de pacientes nas redes como invasão de privacidade, mas menos da metade pedia o consentimento de forma consistente^[14]. E, num estudo da Mayo Clinic, 90% dos pacientes fotografados aceitavam o uso da foto para ensinar um aluno, mas só 42% achavam adequado usá-la em redes sociais^[13]. Quanto maior a plateia, menor a aceitação.

• Autorização por escrito, específica para cada uso (post, story, aula, site).
• Sem rosto e sem nome sempre que possível; corte a imagem e tire tatuagens, joias e fundos que identifiquem.
• Print de depoimento: apague nome, foto de perfil e número, e peça autorização mesmo assim.
• Story também é publicação, inclusive no “close friends”.
• Se a paciente revogar a autorização, retire o conteúdo.

Para divulgar sem expor ninguém, veja como divulgar atendimentos de aromaterapia.

WhatsApp e redes sociais

O WhatsApp virou o consultório estendido: é por ali que a paciente marca horário, manda áudio, envia exame e tira dúvidas. Num estudo com 283 médicos e enfermeiros em hospitais de Israel, praticamente todos usavam o aplicativo no trabalho e dados identificáveis eram compartilhados mesmo com regras proibindo; os autores chamaram isso de “normalização do descumprimento”^[11]. Na Austrália, 39% dos profissionais de hospital usavam o WhatsApp para comunicação clínica e cerca de 75% não sabiam de treinamento em segurança para o celular pessoal ou não tinham recebido nenhum^[9].

Uma análise jurídica sobre grupos de WhatsApp na saúde lembra que compartilhar conteúdo num grupo equivale a publicar^[10]. Alguns cuidados resolvem boa parte do problema:

• Grupos de colegas: caso só sem nome, sem foto, sem print e sem detalhes que identifiquem.
• Prints: nunca circule print de conversa com paciente, nem para “pedir opinião”.
• Exames enviados: anote o que importa, guarde o arquivo no local seguro e apague do celular quando não precisar mais.
• Número profissional separado do pessoal.
• Grupos de pacientes: avise que todos verão o número de todos e nunca discuta caso individual ali.

O guia da ANPD recomenda aplicativos com criptografia de ponta a ponta e, para enviar documentos de saúde por e-mail, cifrar o e-mail ou o arquivo^[5]. Se você atende a distância, veja atendimento online de aromaterapia.

Armazenamento e segurança: senhas, backup e nuvem

A LGPD exige medidas de segurança técnicas e administrativas contra acesso não autorizado, perda e vazamento (art. 46)^[1]. Para quem atende sozinha, isso cabe numa lista curta, baseada no guia da ANPD para agentes de pequeno porte^[5].

Nos EUA, entre 2010 e 2017, foram 2.149 vazamentos de dados de saúde notificados, a maioria envolvendo prestadores de cuidado, com aumento dos ataques de hackers^[7]. Em simulações de golpe por e-mail em seis instituições de saúde, cerca de 1 em cada 7 mensagens falsas foi clicada, mas o treino repetido reduziu a chance de clicar^[8].

Por quanto tempo guardar os dados

A resposta honesta é: não há uma regra única de prazo de guarda definida para aromaterapeutas. A LGPD diz que os dados devem ser eliminados quando a finalidade é alcançada ou a paciente pede, mas autoriza guardá-los para cumprir obrigação legal ou regulatória, entre outras hipóteses (arts. 15 e 16), e o exercício regular de direitos também pode justificar a guarda^[1].

Para prontuários de pacientes existe a Lei nº 13.787/2018, que prevê prazo mínimo de 20 anos a partir do último registro antes da eliminação^[6]. Ela foi pensada para o prontuário nos serviços de saúde; se ela se aplica à ficha da aromaterapeuta é uma pergunta jurídica. Se você tem uma profissão regulamentada, o seu conselho pode ter regras próprias.

• Busque orientação jurídica para definir o prazo e registre o motivo por escrito.
• Informe o prazo no termo.
• Elimine com segurança quando o prazo vencer, inclusive dos backups^[5].

Direitos da paciente

A paciente é a titular dos dados e pode, a qualquer momento e mediante pedido (art. 18)^[1]: confirmar se você trata dados dela e ter acesso a eles; corrigir dados errados ou desatualizados; pedir anonimização, bloqueio ou eliminação de dados desnecessários; pedir a eliminação dos dados tratados com consentimento, ressalvadas as hipóteses de guarda; saber com quem foram compartilhados; e revogar o consentimento.

Tenha um canal claro para esses pedidos e responda com agilidade. Se precisar manter algo por obrigação legal ou para se defender, explique com transparência. A agente de pequeno porte pode não precisar de encarregado, mas precisa oferecer esse canal^[3].

E se acontecer um incidente

Celular roubado com conversas de pacientes, e-mail invadido, ficha esquecida num lugar público, print enviado para o grupo errado: tudo isso pode ser um incidente de segurança. A LGPD obriga a controladora a comunicar à ANPD e às pacientes o incidente que possa acarretar risco ou dano relevante (art. 48)^[1]. A Resolução CD/ANPD nº 15/2024 fixa o prazo geral de 3 dias úteis, com possibilidade de complementar as informações depois^[4]. Agentes de pequeno porte podem ter prazo diferenciado, mas não quando houver risco à integridade física ou moral das pessoas^[3]. Com dado de saúde, não conte com prazo extra.

1. Contenha: troque senhas, bloqueie o aparelho a distância, encerre sessões abertas.
2. Anote: o que aconteceu, quando, quais dados e quais pacientes.
3. Avalie o risco com ajuda jurídica.
4. Comunique à ANPD e às pacientes quando for o caso, dentro do prazo.
5. Ajuste a rotina para que não se repita.

Mitos e verdades

• “LGPD é só para empresas.” Mito. A profissional liberal que decide sobre os dados é controladora^[2].
• “Se a paciente mandou o exame pelo WhatsApp, posso fazer o que quiser com ele.” Mito. O dado continua sensível e protegido^[1].
• “Uma frase genérica no termo resolve.” Mito. Autorizações genéricas são nulas^[1].
• “Tirei o nome do print, então está anonimizado.” Nem sempre. Foto, número e detalhes da história podem identificar a pessoa^[1].
• “Pequeno porte tem regras mais simples.” Verdade, em parte: há facilidades, mas a segurança e os direitos da paciente continuam valendo^[3].
• “Papel é mais seguro que o digital.” Mito. Papel também vaza^[7].

Como a Mentoria ATP trabalha esse tema

Na Mentoria ATP, proteção de dados faz parte da estrutura do consultório, junto com ficha de anamnese, termo de consentimento, atendimento online e divulgação. As alunas revisam a ficha para perguntar só o necessário, montam o termo com consentimentos separados para fotos e depoimentos, organizam a guarda dos dados e aprendem a divulgar sem expor ninguém. Os casos clínicos são discutidos sempre sem nome e sem rosto.

Em mais de 10 anos de atendimento clínico e com mais de 300 alunas formadas, percebo que cuidar dos dados é também cuidar da paciente: quem confia que a sua história está protegida conta mais, e o atendimento fica melhor. Para as questões jurídicas do seu caso, procure uma profissional do Direito. Para estruturar o seu consultório com esse cuidado, conheça a Mentoria ATP.

Mentoria ATP · Formação profissional em aromaterapia clínica

Atenda com aromaterapia clínica, com segurança e base científica

• ✓Raciocínio clínico em saúde mental: da avaliação ao plano de cuidado personalizado
• ✓Segurança para atender quem usa medicamentos psiquiátricos
• ✓Casos clínicos reais discutidos em encontros ao vivo quinzenais
• ✓Como estruturar, divulgar e valorizar os seus atendimentos, sem prometer cura

+300 alunas formadas+10 anos de atendimento clínicoDra. Camila Castellan

O que dizem as alunas

▶Daise, aluna da ATP▶Letícia, aluna da ATP▶Tânia, aluna da ATP

Conhecer a Mentoria ATP

Usa óleos só para você e sua família? Conheça o curso Aromaterapia Segura, para uso pessoal e familiar. Quer um plano feito para você? Agende uma consulta com Camila Castellan e/ou aromaterapeutas da equipe.

Perguntas frequentes

A LGPD vale para aromaterapeutas?

Vale. Quem decide sobre os dados das pacientes é controladora, mesmo como pessoa física^[2], e dado de saúde é sensível (art. 5º, II)^[1].

A ficha de anamnese é dado sensível?

Sim. Queixas, doenças, medicamentos e exames são dados referentes à saúde, protegidos pelo art. 11 da LGPD^[1].

Preciso de consentimento da paciente?

O caminho mais seguro costuma ser o consentimento específico e destacado (art. 11, I)^[1]. Para o seu caso, busque orientação jurídica.

A aromaterapeuta pode usar a base “tutela da saúde”?

A lei fala em profissionais de saúde, serviços de saúde ou autoridade sanitária (art. 11, II, “f”)^[1]. A aplicação à aromaterapia não está pacificada; não se apoie só nela sem orientação jurídica.

Posso postar foto de antes e depois de paciente?

Só com autorização por escrito para aquele uso, de preferência sem rosto e sem nome. Bem menos pacientes aceitam o uso em redes sociais do que no ensino^[13].

Posso discutir caso de paciente em grupo de WhatsApp?

Só anonimizado, sem nome, foto, print ou detalhes que identifiquem. Compartilhar num grupo equivale a publicar^[10].

Por quanto tempo devo guardar a ficha?

Não há prazo único definido para aromaterapeutas^[1]. Defina o prazo com orientação jurídica e informe no termo.

Preciso indicar um encarregado de dados?

Agentes de pequeno porte podem ser dispensados, mas precisam oferecer um canal de contato com a paciente^[3].

E se meu celular com conversas de pacientes for roubado?

Bloqueie o aparelho, troque senhas e avalie o risco com ajuda jurídica. Incidente com risco relevante deve ser comunicado à ANPD e às pacientes, em regra em 3 dias úteis^[4].

Este artigo substitui uma consultoria jurídica?

Não. É um guia educativo baseado na lei e nas publicações da ANPD^[1][5]; o seu caso deve ser avaliado por uma advogada ou um advogado.

Referências

1. Brasil. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD), com redação dada pela Lei nº 13.853/2019. planalto.gov.br
2. Autoridade Nacional de Proteção de Dados (ANPD). Guia orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado. Versão 2.0. Brasília: ANPD; abr. 2022. gov.br/anpd
3. Autoridade Nacional de Proteção de Dados (ANPD). Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. gov.br/anpd
4. Autoridade Nacional de Proteção de Dados (ANPD). Resolução CD/ANPD nº 15, de 24 de abril de 2024. Regulamento de Comunicação de Incidente de Segurança. Orientações em: gov.br/anpd
5. Autoridade Nacional de Proteção de Dados (ANPD). Guia orientativo sobre segurança da informação para agentes de tratamento de pequeno porte. Versão 1.0. Brasília: ANPD; out. 2021. gov.br/anpd
6. Brasil. Lei nº 13.787, de 27 de dezembro de 2018. Dispõe sobre a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. planalto.gov.br
7. McCoy TH, Perlis RH. Temporal trends and characteristics of reportable health data breaches, 2010-2017. JAMA. 2018;320(12):1282-4. doi:10.1001/jama.2018.9222
8. Gordon WJ, Wright A, Aiyagari R, et al. Assessment of employee susceptibility to phishing attacks at US health care institutions. JAMA Netw Open. 2019;2(3):e190393. doi:10.1001/jamanetworkopen.2019.0393
9. Wani TA, Mendoza A, Gray K, Smolenaers F. BYOD usage and security behaviour of hospital clinical staff: an Australian survey. Int J Med Inform. 2022;165:104839. doi:10.1016/j.ijmedinf.2022.104839
10. Bouter C, Venter B, Etheredge H. Guidelines for the use of WhatsApp groups in clinical settings in South Africa. S Afr Med J. 2020;110(5):364-8. doi:10.7196/SAMJ.2020.v110i5.14558
11. Vinker DBM, Peled-Raz M. When practice outpaces policy: WhatsApp use among nursing and medical staff in Israeli hospitals. Isr J Health Policy Res. 2026;15(1):8. doi:10.1186/s13584-026-00754-3
12. Kunde L, McMeniman E, Parker M. Clinical photography in dermatology: ethical and medico-legal considerations in the age of digital and smartphone technology. Australas J Dermatol. 2013;54(3):192-7. doi:10.1111/ajd.12063
13. Wyatt KD, Finley A, Uribe R, et al. Patients’ experiences and attitudes of using a secure mobile phone app for medical photography: qualitative survey study. J Med Internet Res. 2020;22(5):e14412. doi:10.2196/14412
14. Joshi NV, Jawdekar A, Joshi M, et al. Knowledge, attitude, and practices of dentists in Maharashtra, India, regarding sharing patients’ data on social media: a questionnaire-based study. Cureus. 2025;17(7):e88778. doi:10.7759/cureus.88778