Confirmação de consulta por WhatsApp não homologado viola privacidade

Por Jomar Nascimento

Você já se perguntou se o WhatsApp que usa em sua clínica ou consultório médico é regular? Provavelmente não, e o motivo é simples. O WhatsApp mudou a forma de interação entre médicos e pacientes, mas as regras desse contato ainda não são claras para a grande maioria dos usuários, que assumem que estão usando uma ferramenta legal. E é, desde que utilizada da maneira correta.

A preocupação com a segurança da informação nunca foi tão relevante como hoje, com a LGPD e com as preocupações crescentes em relação aos bancos de dados pessoais e limites da proteção dos dados. Neste contexto, ter um serviço de envio de WhatsApp homologado é primordial para a segurança dos médicos e pacientes.

O WhatsApp Business é um aplicativo para dispositivos móveis, que traz recursos profissionais relevantes na gestão de clínicas e consultórios, facilitando o contato entre equipe e pacientes. Essa comunicação pode ser muito eficiente para confirmar os agendamentos e organizar a agenda dos profissionais, reduzindo inclusive o absenteísmo nas consultas, um problema recorrente para os médicos. Essa comunicação deve ocorrer sempre pela postura do “opt-in”, o que significa que o paciente, de forma consciente, cadastra o seu número de telefone ou e-mail no banco de dados da clínica, sabendo que ela pode usar estes meios para lhe enviar mensagens.

Com mais de 120 milhões de instalações somente no Brasil, o WhatsApp é gratuito na maioria dos casos, o que causa confusão para muitos usuários do WhatsApp Business, que não compreendem o fato de terem que pagar pelo serviço. Se o disparo de mensagens for em escala, ou seja, quando não é feito pelo dispositivo móvel, o serviço deve ser realizado por meio da WhatsApp API, um serviço pago, que impede spam. A WhatsApp Business API, acrônimo para “Interfaces de Programas Aplicativos”, permite o disparo de mensagens de maneira controlada, com mensagens introdutórias – chamadas de notificações – que precisam ser pré-aprovadas pelo WhatsApp/Facebook.

Usar uma API não homologada, também conhecida como API pirata, pode parecer inofensivo, mas envolve muitos riscos.

Em primeiro lugar, como saber se estou utilizando um serviço de WhatsApp homologado?

A LGPD trata de um assunto complexo, com muitas variáveis de origem tecnológica, mas que tem particularidades relacionadas ao mercado da saúde. Todas as instituições que têm sob sua guarda informações pessoais e sensíveis de seus clientes, têm responsabilidade direta. No caso de fraudes financeiras, por exemplo, uma pesquisa recente mostrou que entre os fatos que antecederam a fraude, 13% foram por fornecimento acidental de dados pessoais para terceiros por telefone, e-mail, WhatsApp ou sites. Esse fornecimento de dados pode ser através do próprio indivíduo ou por vazamento de informações sensíveis que estão sob a guarda de instituições, como clínicas médicas. As APIs piratas são instrumentos para permitir esse vazamento.

Quais são os riscos que a sua clínica está correndo se utiliza uma solução não homologada?

As APIs piratas são criadas por hackers que destrincham o código do WhatsApp para encontrar brechas. Ao fazer isso, a ferramenta funciona como um “telefone fantasma”, conectando-se ao WhatsApp como se fosse um usuário real e se utilizando dos protocolos do aplicativo para se comunicar com números verdadeiros. Neste momento, os hackers podem ter acesso àqueles dados trafegados pelas mensagens, podendo se apropriar dos mesmos. Portanto, informações que deveriam ser de conhecimento exclusivo do médico e do paciente, ficam disponíveis para terceiros, que podem fazer mau uso das mesmas.

Risco Legal na esfera cível: a nova Lei Geral de Proteção de Dados (LGPD) proíbe a utilização de dados sem o consentimento de seus titulares. Portanto, mesmo que a sua base de dados tenha sido obtida de forma legal, com informações devidamente cedidas por seus titulares, as boas práticas já determinam que é preciso o ‘opt-in’ (aceite) antes do envio de mensagens, e uma API homologada para isso. Se a sua não for, você está violando essa lei e o regulamento do WhatsApp.

Risco operacional e reputacional: Além de estar violando a lei, a API pirata pode ser bloqueada a qualquer momento. Como é um serviço irregular, quando detectado pelo WhatsApp/Facebook, o número é automaticamente bloqueado. Desta forma, a clínica ou consultório fica impedida de enviar mensagens. Esse bloqueio é um desastre operacional, já que inviabiliza o contato dos pacientes com o estabelecimento, causando confusão e passando uma mensagem negativa para os clientes.

Os preços cobrados por serviços que utilizam uma API pirata chegam a ser 75% mais baratos que aqueles cobrados pelos players autorizados. Além do risco de bloqueio, não há garantia nenhuma da entrega das mensagens e do tempo para isso ocorrer. É o famoso barato que sai caro.

Risco de segurança: A API pirata não é paga por uma questão óbvia: a forma de capitalizar é com base na venda de informações e é justamente por isso que não há nenhuma preocupação com a segurança, mas sim o interesse em violá-la. Ao utilizar uma ferramenta não-homologada, você pode estar contribuindo para que violem a privacidade dos seus pacientes, a sua e de sua clínica.

As instituições, como clínicas e consultórios médicos, têm a guarda dos dados e são responsáveis por zelar pela sua integridade, segurança e confidencialidade. Por não compreenderem que o seu papel de guardião inclui cuidar para que os dados não sejam mal utilizados desde o momento em que entraram na clínica, os profissionais de saúde acreditam que ao contratar uma empresa ou um serviço, como confirmação de consulta via WhatsApp, há uma transferência de responsabilidade, o que não é verdade. A clínica continua responsável pela integridade dos dados, sejam eles manipulados pelos próprios funcionários da clínica ou terceiros.

A era da informação também é a era da privacidade. É dever de todos zelar por ela.

*Jomar Nascimento é Diretor Geral e Co-Fundador da ProDoctor.