Artigos · Busca ativa

LGPD e busca ativa pós-alta: o hospital pode contatar o paciente por WhatsApp?

Por Enf.ª Julliana Porto · 24 de ago. de 2026

Pode. A LGPD (Lei 13.709/2018, art. 11, II, "a" e "f") autoriza o tratamento de dados de saúde sem consentimento para cumprir obrigação regulatória e para a tutela da saúde. A vigilância pós-alta de infecção de sítio cirúrgico é exatamente isso, e a NT 01/2026 da Anvisa cita o contato direto com o paciente como método.

Resposta rápida

O hospital pode contatar o paciente por WhatsApp ou telefone para a busca ativa pós-alta. A base está na LGPD, art. 11, II, alíneas "a" e "f".
Não precisa de consentimento. Obrigação regulatória e tutela da saúde dispensam a autorização do titular (Lei 13.709/2018, art. 7º, II e VIII; art. 11, II).
A NT 01/2026 da Anvisa cita o contato direto com o paciente e o telefone como meios de vigilância pós-alta.
A vigilância de ISC dura 30 dias na cesariana e 90 dias nas demais cirurgias de notificação nacional (NT 01/2026).
O registro do contato integra o prontuário. Guarda mínima de 20 anos a partir do último registro (Lei 13.787/2018, art. 6º).

O que é LGPD contato com paciente por WhatsApp

É o uso de mensagens ou telefone pelo serviço de saúde para falar com o paciente após a alta. Na CCIH, a finalidade é a busca ativa pós-alta: saber se houve febre, secreção ou dor após a cirurgia. Dado referente à saúde é dado pessoal sensível (LGPD, art. 5º, II). Por isso a mensagem precisa de base legal, finalidade clara e cuidado com o conteúdo.

O que a norma exige

A Lei 13.709/2018 (LGPD), art. 7º, II e VIII, permite tratar dados pessoais em duas hipóteses. Cumprir obrigação legal ou regulatória e tutelar a saúde. Para dados sensíveis, o art. 11, II, dispensa o consentimento em duas hipóteses que interessam à CCIH. Alínea "a": "cumprimento de obrigação legal ou regulatória pelo controlador". Alínea "f": tutela da saúde "em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária".

A obrigação regulatória existe. A NT 01/2026 da Anvisa determina vigilância das infecções de sítio cirúrgico por 30 ou 90 dias, conforme a cirurgia. São 30 dias na cesariana. São 90 dias nas próteses mamária, de quadril e de joelho, na revascularização do miocárdio, na derivação neurológica e na catarata. A mesma nota descreve a vigilância pós-alta como busca de informações "diretamente com o paciente ou por meio do médico". Cita "contato telefônico, correspondência, dentre outros" como meios. E manda a equipe "definir critérios para vigilância pós-alta, quando esta for necessária", e como será a coleta. A RDC 36/2013, art. 8º, XIII, inclui o controle das IRAS no Plano de Segurança do Paciente.

Outros deveres da LGPD que valem para a busca ativa:

Art. 6º, I e III: finalidade informada ao titular; tratamento limitado ao mínimo necessário.
Art. 9º: o titular tem direito a saber a finalidade, a duração, quem é o controlador e como contatá-lo.
Art. 18, § 2º: o titular pode se opor ao tratamento sem consentimento se a lei for descumprida.
Art. 37: controlador e operador devem manter registro das operações de tratamento.
Art. 46: medidas técnicas e administrativas contra acesso não autorizado, perda ou comunicação indevida.

A Lei 13.787/2018, art. 1º, diz que a digitalização e a guarda informatizada do prontuário seguem a própria lei e a LGPD. O art. 6º fixa o prazo mínimo de 20 anos a partir do último registro.

Critérios: o que pode e o que não pode ir na mensagem

Item	Pode	Não pode	Base
Identificação do hospital e do profissional	Sim, sempre	Número pessoal sem identificação	LGPD, art. 9º, III e IV
Finalidade do contato	"Acompanhamento após a cirurgia"	Omitir por que está escrevendo	LGPD, art. 6º, I
Perguntas sobre sinais e sintomas	Sim, de forma objetiva	Pedir dados além do necessário	LGPD, art. 6º, III
Diagnóstico, exame ou nome do procedimento em texto aberto	Evitar; preferir ligação ou retorno presencial	Enviar laudo ou cultura sem necessidade	LGPD, art. 11, § 1º; art. 46
Direito de não responder	Informar e respeitar	Insistir após recusa expressa	LGPD, art. 18, § 2º
Prazo de acompanhamento	30 ou 90 dias, conforme a cirurgia	Contatos fora do período definido	NT 01/2026

Modelo de aviso na alta, para entregar por escrito ou ler ao paciente:

"A CCIH do hospital vai entrar em contato por telefone ou WhatsApp durante 30 (ou 90) dias após a cirurgia, para acompanhar a cicatrização. É uma exigência da vigilância de infecção da Anvisa. Você pode escolher o canal e pode pedir para não ser contatado. As respostas ficam registradas no seu prontuário. Dúvidas: [telefone do serviço]."

O aviso cumpre o art. 9º da LGPD: finalidade, duração, controlador e contato. Não é pedido de consentimento, porque a base legal é outra. É transparência.

Passo a passo da busca ativa pós-alta conforme a LGPD

Escrever o critério no PCIRAS. Quais cirurgias, quantos dias, quantos contatos, qual canal, quem contata. A NT 01/2026 exige essa definição.
Usar número institucional. Linha e aparelho do hospital, com acesso controlado. Número pessoal fere o art. 46 da LGPD.
Avisar o paciente na alta. Com o modelo acima, anotado no prontuário com data e assinatura.
Mandar a mensagem padrão. Identificação, finalidade e perguntas objetivas. Sem diagnóstico em texto aberto.
Registrar cada tentativa. Data, hora, canal, quem contatou, resposta ou ausência de resposta (art. 37).
Levar para o prontuário. O resultado do contato é documento assistencial. Guarda mínima de 20 anos.
Fechar o caso. Infecção confirmada entra na notificação mensal da Anvisa, até o 15º dia do mês seguinte (NT 01/2026).

O roteiro dos contatos em cirurgia com implante está em infecção de prótese mamária e busca ativa por 90 dias.

Erros mais comuns

Pedir "autorização para uso de dados" como se a busca ativa dependesse de consentimento. A base é o art. 11, II.
Profissional de CCIH usando o WhatsApp pessoal. A conversa sai com a pessoa, sem controle de acesso, e o hospital perde o registro.
Enviar o resultado da cultura ou a foto da ferida pelo aplicativo sem necessidade. É dado sensível em texto aberto, contra o art. 6º, III, e o art. 46.
Não registrar as tentativas sem resposta. Sem registro, o hospital não prova que vigiou os 90 dias.
Guardar os contatos em planilha solta, fora do prontuário e fora da guarda de 20 anos.

Como a SEVS resolve

Nos hospitais e clínicas atendidos pela SEVS, a busca ativa pós-alta tem critério escrito no PCIRAS e canal institucional. Os profissionais especializados da SEVS compõem a CCIH com os colaboradores da unidade. Eles conduzem os contatos no prazo de 30 ou 90 dias. Cada tentativa, resposta e recusa fica registrada no SentinelSaúde, vinculada ao paciente e ao procedimento. Conheça a assessoria da SEVS em CCIH e NSP.

Conversar com a SEVS

Perguntas frequentes

O hospital pode mandar WhatsApp para o paciente?

Pode, para a vigilância de infecção após a alta. A LGPD, art. 11, II, "a" e "f", autoriza o tratamento de dados de saúde sem consentimento nessa finalidade. A NT 01/2026 da Anvisa cita o contato direto com o paciente como meio da vigilância pós-alta.

Qual a base legal da LGPD para vigilância de infecção?

Art. 7º, II e VIII, para dados pessoais em geral. Art. 11, II, alíneas "a" (obrigação regulatória) e "f" (tutela da saúde por serviço de saúde), para dados sensíveis. A obrigação regulatória vem da NT 01/2026 da Anvisa, que exige vigilância de ISC por 30 ou 90 dias.

Precisa de consentimento para a busca ativa?

Não. O art. 11, II, da LGPD dispensa o consentimento nessas hipóteses. O que a lei exige é transparência (art. 9º): finalidade, duração e responsável informados ao paciente. Ele pode se opor se a lei for descumprida (art. 18, § 2º).

O que não escrever na mensagem ao paciente?

Diagnóstico, resultado de exame, nome detalhado do procedimento e qualquer dado além do necessário. O art. 6º, III, limita o tratamento ao mínimo. Foto da ferida, quando precisa, deve ir por canal controlado e com registro.

Por quanto tempo guardar os registros do contato?

O registro da busca ativa integra o prontuário. A Lei 13.787/2018, art. 6º, fixa guarda mínima de 20 anos a partir do último registro. A LGPD, art. 16, I, autoriza conservar o dado para cumprir obrigação legal ou regulatória.

Fontes

Quem escreveu

Enf.ª Julliana Porto

Especialista em Gestão de Saúde, Controle de Infecção Hospitalar e Segurança do Paciente. Na área desde 2010, conduz tecnicamente o trabalho da SEVS em hospitais e clínicas.

Conheça a SEVS