Posso disparar reativação automática para pacientes antigos da base? Como tratar consentimento e descadastramento?

"Posso disparar reativação automática para os pacientes antigos da minha base? Como fico em relação a consentimento e descadastramento?"

Pode disparar. A lei quase nunca é o que trava a reativação.

O que trava é outra coisa: a sua base foi construída para atender, não para receber campanha. Ficha de anamnese, WhatsApp da recepção, planilha de orçamento, CRM que já trocou de nome duas vezes.

Nada disso nasceu com registro de consentimento para marketing. E é aí que o disparo automatizado vira risco, não porque alguém proibiu, mas porque ninguém registrou.

Repare no padrão que se repete: o disparo sai, alguém responde "pare", ninguém processa, e três meses depois a mesma pessoa recebe de novo.

O segundo disparo é que gera a reclamação. Nunca o primeiro.

Neste guia você vai ver:

• Por que dado de paciente não entra na régua de uma lista de mailing comum
• Qual base legal sustenta cada tipo de disparo, e qual não sustenta nenhum
• Como registrar consentimento de um jeito que aguenta auditoria
• Como montar o descadastramento nos quatro níveis que a operação exige
• O que apagar quando o paciente pede eliminação e o prontuário precisa ficar
• Como desenhar a automação para o opt-out nunca vazar de volta para a fila

Nota: este guia é orientação de operação de marketing, escrito para dono de clínica decidir o desenho da campanha. Não substitui parecer jurídico sobre o seu caso concreto.

A resposta direta: pode disparar, com três condições

Vamos ao que interessa antes da explicação.

Você pode reativar a base antiga por automação se três coisas forem verdadeiras ao mesmo tempo:

1. Cada disparo tem uma finalidade declarada e uma base legal que a sustenta. Não "a clínica pode falar com o paciente", e sim "esta mensagem existe para isso, amparada nisso".
2. Você consegue provar o consentimento quando ele é a base. Prova documental, não lembrança da recepcionista.
3. Existe uma saída fácil e ela funciona de verdade, em todos os canais, com efeito imediato na próxima fila de disparo.

Falhou uma das três? O disparo continua tecnicamente possível, mas você passou a operar sem rede.

E a falha mais comum não é a primeira nem a segunda. É a terceira.

Por que a base de paciente não é uma lista de mailing qualquer

Aqui está a diferença que muda todo o resto: você não trata dado de contato, você trata dado de saúde.

A Lei 13.709/2018 (LGPD), no art. 11, estabelece que "o tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses", e a primeira delas, o inciso I, é "quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas".

Dado referente à saúde entra na categoria de dado pessoal sensível. O prontuário do seu paciente, o procedimento que ele fez, o orçamento de implante que ele pediu: tudo isso está nessa categoria.

O art. 11 lista outras hipóteses de tratamento sem consentimento, e uma delas, a alínea "f" do inciso II, é a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

Repare no escopo: essa hipótese existe para o ato de cuidado, não para a campanha. Usar "tutela da saúde" como guarda-chuva de oferta comercial é esticar a norma para fora do que ela diz.

A lei também não deixa a transparência solta. O art. 9º garante ao titular "o acesso facilitado às informações sobre o tratamento de seus dados", que devem ser disponibilizadas de forma clara, adequada e ostensiva.

Lembre: a régua do seu disparo não é a régua do e-commerce. Lista de e-commerce guarda preferência de compra; a sua guarda informação de saúde, e a lei trata as duas de maneira diferente de propósito.

"Autorizo contato" na ficha não é consentimento

Esse é o ponto que derruba a maior parte das bases antigas.

A LGPD é literal sobre isso. O art. 8º, §4º determina que "o consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas".

Traduzindo para a sua ficha de cadastro: um campo com "autorizo a clínica a entrar em contato" não diz para quê. Não é finalidade determinada. É autorização genérica.

O que isso significa na prática? Que o pedaço mais antigo da sua base provavelmente não tem consentimento válido para marketing. E isso não é motivo para parar a reativação.

É motivo para desenhar a reativação em duas camadas:

• Camada 1, a base sem registro: mensagem sóbria, sem detalhe clínico, sem preço agressivo, com opt-out visível logo na primeira mensagem e pedido explícito de permissão para os próximos contatos.
• Camada 2, a base com consentimento novo: quem respondeu e autorizou entra no fluxo comercial completo, com oferta, cadência e segmentação.

A camada 1 existe para produzir a camada 2. Cada ciclo de reativação bem feito aumenta a fatia da base que você pode trabalhar sem ressalva.

Se você ainda está montando o desenho da campanha em si, veja como montar uma campanha de reativação da base inativa.

Qual base legal sustenta cada tipo de disparo

Nem todo disparo é a mesma coisa, e tratar tudo como "campanha" é o que mistura risco baixo com risco alto na mesma fila.

A LGPD admite o legítimo interesse do controlador como base, no art. 7º, IX, "exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais". E impõe um limite duro logo adiante: pelo art. 10, §1º, quando o tratamento se apoia no legítimo interesse, "somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados".

Note o detalhe que decide o seu caso: o legítimo interesse é hipótese do art. 7º, que trata do dado pessoal em geral. Ele não aparece na lista fechada do art. 11, que governa o dado sensível.

Ou seja: quanto mais a sua mensagem se apoia na condição de saúde da pessoa (o tratamento que ela fez, o que ela deixou pela metade), menos o legítimo interesse te cobre e mais você precisa de consentimento específico.

Tipo de disparo	O que a mensagem faz	O que costuma sustentar	O que precisa estar registrado
Lembrete de retorno ou manutenção	Comunica cuidado, sem oferta	Relação assistencial, comunicação ligada ao atendimento	Vínculo do paciente, data do último atendimento, canal de saída
Aviso operacional (mudança de endereço, horário)	Informa, não vende	Legítimo interesse, com dado mínimo	Registro da operação e da finalidade
Convite para avaliação genérica	Oferta comercial leve, sem citar o caso da pessoa	Consentimento, ou legítimo interesse com dado mínimo e opt-out	Consentimento ou registro do teste de legítimo interesse
Oferta de procedimento citando o histórico ("seu implante parado")	Usa dado de saúde para vender	Consentimento específico e destacado	Texto aceito, data, canal e versão do termo
Campanha de preço para a base inteira	Marketing puro, em massa	Consentimento específico e destacado	Consentimento por titular, com prova

A linha de baixo da tabela é a que mais gera reclamação e a que mais gente dispara sem pensar duas vezes.

E tem um requisito que vale para as duas colunas do meio: o art. 37 obriga controlador e operador a "manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse".

Sem esse registro, você não tem como demonstrar a lógica da sua decisão depois. E "depois" é sempre no pior momento possível.

O teste de quatro perguntas antes de apertar disparar

Antes da fila sair, rode este teste. Ele é rápido e evita o disparo que você não consegue defender.

1. Qual é a finalidade desta mensagem, escrita em uma frase? Se a resposta for "reativar a base", não é finalidade, é objetivo comercial. Finalidade é "convidar para reavaliação periódica".
2. A mensagem revela algo sobre a saúde desta pessoa? Se o texto cita procedimento, diagnóstico ou orçamento específico, você subiu de categoria e precisa de consentimento específico.
3. Eu consigo provar, hoje, de onde veio a permissão desta pessoa? Se a resposta depende de "ela veio aqui, então autorizou", você não tem prova.
4. Se esta pessoa pedir para sair agora, em quanto tempo ela some das próximas filas? Se a resposta for "no próximo upload da planilha", o seu opt-out é decorativo.

A pergunta 4 é a que mais reprova operação madura.

Como construir um consentimento que aguenta auditoria

Aqui está a inversão que quase ninguém considera na hora de montar a campanha.

Pela LGPD, art. 8º, §2º, "cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei".

O paciente não precisa provar que não autorizou. Você precisa provar que ele autorizou.

Isso muda o que é o consentimento na sua operação: ele deixa de ser um checkbox e vira um registro. E registro tem campos obrigatórios.

O que guardar em cada consentimento coletado:

• O texto exato que a pessoa viu, não um resumo do texto.
• A versão desse texto (se você mudou a redação em março, precisa saber quem aceitou qual).
• Data e hora da aceitação.
• O canal onde aconteceu (formulário do site, WhatsApp, tablet da recepção, ficha digital).
• A identificação da origem que o seu sistema conseguir capturar com segurança.
• A finalidade específica que estava declarada ali.

Uma observação prática: consentimento coletado no atendimento presencial vale, mas só se sobrar registro. Assinatura em papel que ninguém digitaliza não entra na fila de defesa. A coleta eletrônica resolve isso, desde que o registro fique guardado junto com o texto aceito.

E cuidado com um detalhe que passa despercebido: se você obteve consentimento e depois precisa compartilhar aquela base com outro controlador, o art. 7º, §5º exige consentimento específico do titular para esse fim, ressalvadas as hipóteses de dispensa previstas na lei.

Isso pega exatamente o caso de subir a base para uma plataforma de anúncio como público personalizado. É outra finalidade, e a pessoa não a autorizou só por ser sua paciente.

Descadastramento: o que a lei exige e o que a maioria implementa errado

Agora a parte que a operação mais erra, e que é a mais simples de acertar.

O art. 8º, §5º diz que "o consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado [...]".

E o art. 18 coloca a revogação do consentimento (inciso IX) entre os direitos que o titular exerce a qualquer momento, mediante requisição.

Leia de novo as duas palavras que decidem o desenho: gratuito e facilitado.

Isso reprova, na prática, quatro implementações comuns:

• Opt-out que exige ligar para a clínica em horário comercial. Não é facilitado.
• Link que pede login ou cadastro para descadastrar. Não é facilitado.
• Resposta em formato exato ("responda exatamente SAIR"), quando a pessoa escreveu "não quero mais receber isso". A lei fala em manifestação expressa, não em sintaxe correta.
• Opt-out por canal apenas, quando a pessoa pediu para sair de tudo.

Lembre: a manifestação expressa é do titular, na linguagem dele. Se a sua automação só reconhece a palavra-chave que você escolheu, ela está filtrando o direito da pessoa pela conveniência do seu sistema.

Os quatro níveis de saída que a sua automação precisa distinguir

Este é o pedaço que separa operação séria de disparo em massa. "Descadastrar" não é uma coisa só, são quatro, e tratar as quatro como uma só é o que gera tanto o disparo indevido quanto a perda desnecessária de paciente.

Nível	O que o paciente quis dizer	O que a automação deve fazer	O que continua valendo
1. Canal	"Não me manda no WhatsApp"	Suprime o canal, mantém os demais se houver consentimento	Contato por telefone ou e-mail, se autorizado
2. Campanha	"Não quero receber sobre clareamento"	Suprime aquela finalidade ou segmento	Lembretes clínicos e avisos operacionais
3. Marketing	"Não quero mais receber nada de promoção"	Suprime toda comunicação comercial, em todos os canais	Comunicação ligada ao atendimento em curso
4. Tratamento de dados	"Quero que apaguem meus dados"	Aciona o fluxo de direito do titular, com resposta formal	O que a lei obriga a conservar

A diferença entre o nível 3 e o nível 4 é grande e quase nunca é perguntada.

Muita clínica apaga o paciente inteiro quando ele só queria sair da lista de promoção. Perde histórico, perde vínculo e depois não consegue nem cumprir a obrigação de guarda.

Outras fazem o contrário: tratam um pedido de eliminação como se fosse um "não me manda mais oferta", e deixam o requerimento sem resposta formal.

Na dúvida, pergunte. Uma mensagem de confirmação ("você quer parar de receber nossas ofertas ou quer que a gente apague seus dados de contato?") é barata e resolve a ambiguidade na origem.

O paciente pediu para apagar tudo: o que sai e o que precisa ficar

Esse é o ponto onde a resposta errada custa caro nos dois sentidos.

A LGPD (art. 18, VI) garante ao titular a "eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei".

E o art. 16 autoriza a conservação dos dados, entre outras finalidades, para "cumprimento de obrigação legal ou regulatória pelo controlador".

Repare no recorte da regra, que é onde quase todo mundo escorrega: o direito do inciso VI alcança o que foi tratado com o consentimento, e mesmo assim cede quando existe obrigação legal de guarda.

Na prática da clínica, isso separa duas coisas que costumam viver no mesmo sistema:

• O que sai: o contato nas listas de disparo, os públicos de anúncio, os campos usados para segmentação comercial, o histórico de campanha.
• O que fica: o prontuário e os registros clínicos, que seguem a norma própria de guarda e existem para cumprir obrigação legal e regulatória.

Ou seja, atender ao pedido de eliminação não significa apagar o histórico de saúde. Significa tirar a pessoa do tratamento de dados que ela revogou.

E tem um efeito colateral que ninguém antecipa: se você apagar o contato por completo, perde a própria memória de que aquela pessoa pediu para sair. Aí ela volta na próxima importação de planilha.

O padrão correto é manter uma lista de supressão, com o mínimo necessário para reconhecer e bloquear aquele contato, e documentar por que ela existe.

O relógio de 15 dias e o canal do titular

Pedido de titular tem prazo, e quase nenhuma clínica tem canal preparado para ele.

A LGPD, no art. 19, II, determina que a confirmação de existência ou o acesso aos dados seja providenciado "por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular".

Leia o escopo com atenção: esse prazo de até 15 dias vale para o pedido de confirmação de existência ou acesso na forma de declaração clara e completa. Não é um prazo genérico para qualquer pedido, e o próprio art. 19, I prevê a resposta em formato simplificado, imediatamente.

O que isso pede da sua operação, em concreto:

1. Um endereço de contato para assunto de dados, divulgado de forma ostensiva (site, rodapé, primeira mensagem do disparo).
2. Alguém responsável por abrir e responder esses pedidos, com um lugar único onde eles ficam registrados.
3. Um modelo de resposta pronto, dizendo de onde veio o dado, para que ele é usado e qual foi a providência.
4. Registro da data do requerimento, porque a contagem começa nela.

Quem fiscaliza o cumprimento da LGPD e aplica sanção é a ANPD, a Autoridade Nacional de Proteção de Dados. O canal do titular é a primeira coisa que aparece quando um pedido vira reclamação.

Uma clínica que responde rápido, com registro e com resposta formal, raramente chega lá.

Como desenhar a automação para o opt-out não vazar de volta

Aqui está o defeito de engenharia que produz quase toda reclamação real de reativação.

O opt-out é registrado num lugar (a conversa do WhatsApp, o CRM, a cabeça da recepcionista) e a fila de disparo é montada em outro (a planilha exportada na sexta-feira). Aí o filtro é aplicado depois, ou não é aplicado.

A regra de desenho é uma só: a supressão precisa ser aplicada no momento do envio, não no momento da montagem da lista.

Cinco pontos de controle que resolvem isso:

1. Lista de supressão global, consultada no envio. Não uma coluna na planilha, e sim uma checagem imediatamente antes de cada mensagem sair.
2. Reconhecimento amplo de intenção de saída. "Pare", "parar", "não quero", "sair", "descadastrar", "me tira daqui", xingamento explícito: tudo entra como opt-out, sem exigir formato.
3. Identificação do remetente na primeira linha. Quem recebe precisa saber que é a sua clínica antes de decidir se quer continuar. Mensagem anônima aumenta bloqueio e denúncia.
4. Deduplicação antes da fila. O mesmo paciente costuma existir em mais de um sistema, com mais de um telefone. Se um cadastro saiu e os outros não, o opt-out vaza de volta para a fila.
5. Teto de frequência por pessoa, não por campanha. Campanhas diferentes, cada uma com cadência que parece civilizada, viram assédio quando caem todas na mesma pessoa no mesmo mês. O teto que protege a base é o teto por pessoa.

O ponto 1 tem uma implicação de tecnologia que vale dizer com clareza: quem processa a saída precisa ser a mesma camada que lê a resposta, em tempo real.

Segundo dados internos da Odonto Results (2026), nas clínicas atendidas a IA de Agendamento responde o primeiro lead em mediana de 5,7 segundos. Base: IA de Agendamento da Odonto Results no WhatsApp. Janela: 25 de março a 25 de agosto de 2026.

O que importa aqui não é a velocidade de venda. É que a mesma camada que lê uma mensagem em segundos consegue registrar um "não quero mais receber" no mesmo segundo, em vez de esperar alguém abrir a conversa na segunda-feira.

Opt-out processado por humano em lote é opt-out que chega depois do próximo disparo.

Quem responde quando a agência ou a ferramenta dispara

Terceirizar a execução não terceiriza a responsabilidade, e essa confusão aparece em toda auditoria.

A LGPD separa os papéis no art. 5º: controlador é "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais" (inciso VI), e operador é quem "realiza o tratamento de dados pessoais em nome do controlador" (inciso VII).

A clínica decide reativar, decide o que a mensagem diz e decide quem entra na lista. A clínica é controladora, sempre.

A ferramenta de disparo, a plataforma de CRM e a agência que executa são operadoras. Isso implica três obrigações práticas do seu lado:

• Contrato que descreve o tratamento, com a finalidade, o tipo de dado e o que o operador pode e não pode fazer.
• Instrução por escrito. O operador atua conforme a instrução do controlador, e instrução verbal não sobrevive a uma troca de gestor.
• Registro das operações, como manda o art. 37, do lado do controlador e do operador.

Uma pergunta que vale fazer a qualquer fornecedor antes de subir a base: onde o opt-out é gravado, quem consegue consultá-lo e o que acontece com ele se o contrato acabar.

Se a resposta for vaga, o risco continua sendo seu. Veja também quem controla os dados quando uma IA lê as conversas dos seus pacientes.

Sigilo profissional: o risco que a multa não mede

Existe uma camada acima da LGPD que fecha clínica, e ela é anterior a qualquer campanha.

O Código de Ética Odontológica (Resolução CFO-118/2012) tipifica como infração ética, no Art. 14, I, "revelar, sem justa causa, fato sigiloso de que tenha conhecimento em razão do exercício de sua profissão".

E, no mesmo Art. 14, o inciso II tipifica "negligenciar na orientação de seus colaboradores quanto ao sigilo profissional".

Pense no que isso significa dentro de um disparo automatizado.

Uma mensagem que diz "seu tratamento de canal ficou pendente" é fato sigiloso viajando por um canal que você não controla. Se o número mudou de dono, se o aparelho é compartilhado em família, se o paciente está em processo de separação, o dano não é regulatório: é pessoal, e volta como reclamação ética.

Por isso a regra de redação que vale para toda a base antiga:

• Não cite procedimento, diagnóstico ou valor em mensagem de reativação para contato não confirmado.
• Convide para retomar a conversa, e leve o detalhe clínico para depois da identificação.
• Oriente a equipe por escrito sobre o que pode e o que não pode aparecer num template. O inciso II fala exatamente da negligência nessa orientação.

Mensagem genérica converte menos por disparo? Converte. Mas ela é a única versão defensável na fatia da base que você não consegue confirmar.

Matriz de decisão: o que dá para disparar amanhã

Para fechar a operação, use esta matriz para separar a sua base em blocos de risco antes de qualquer campanha.

Situação da base	Dá para disparar?	Como	Prioridade de correção
Consentimento específico e registrado, com data e texto	Sim	Fluxo comercial completo, com opt-out em toda mensagem	Manter o registro atualizado
Paciente ativo, sem consentimento de marketing registrado	Sim, com cautela	Mensagem sóbria, sem detalhe clínico, pedindo permissão	Coletar consentimento na próxima visita
Base antiga com "autorizo contato" genérico	Sim, com cautela	Camada 1: reapresentação e pedido de permissão	Recoletar antes de qualquer oferta
Contato que já pediu para sair	Não	Suprimir e manter na lista de supressão	Garantir que a supressão sobreviva à importação
Paciente com histórico de reclamação	Não, antes de segmentar	Retirar da fila automática e tratar por contato humano	Segmentar a base por histórico
Origem do contato desconhecida	Não	Não disparar até identificar a origem	Auditar a origem dos dados

A penúltima linha merece atenção própria, porque o disparo automático não distingue quem saiu satisfeito de quem saiu irritado. Veja como impedir que o disparo chegue em quem reclamou.

E se você quer o panorama completo da conformidade da clínica, não só da campanha, veja LGPD na clínica odontológica: como tratar dados de leads e pacientes.

Seu próximo passo

1. Classifique a base em três blocos antes da próxima campanha. Consentimento registrado, contato sem registro e contato suprimido. Enquanto os três estiverem na mesma planilha, todo disparo carrega o risco do pior bloco.
2. Monte a lista de supressão e ligue a checagem no envio. Palavras de saída reconhecidas de forma ampla, gravação imediata, consulta antes de cada mensagem sair, e uma regra de que nenhuma importação sobrescreve a supressão.
3. Publique o canal do titular e cronometre a resposta. Endereço visível, responsável nomeado, modelo de resposta pronto e a data do requerimento registrada, para o prazo do art. 19, II nunca ser descoberto na véspera.

Quer reativar a base antiga com consentimento registrado, opt-out que funciona e paciente chegando na cadeira em vez de reclamação chegando na recepção? Agende uma apresentação.