Teleconsulta Segura: O Que CFM e LGPD Exigem de Você em 2026

Você faz teleconsulta pelo WhatsApp pessoal, manda receita em PDF no chat e nunca pediu consentimento formal por escrito. Rolou que em novembro de 2024, o CREMERS publicou parecer deixando isso bem claro: WhatsApp pessoal não reúne os requisitos técnicos e éticos para suportar teleconsulta. Não é opinião. É posição oficial de conselho regional de medicina.

A Resolução CFM nº 2.314/2022 e a Lei nº 14.510/2022 são específicas sobre o que é obrigatório. O problema é que boa parte dos médicos que fazem telemed ainda ignora pelo menos uma dessas exigências. Se você faz parte desse grupo, continue lendo — não pra te assustar, mas porque esse checklist te protege.

Se você ainda está estruturando a operação do consultório, vale antes ler o checklist de LGPD para o consultório médico solo — a telemedicina tem camadas específicas em cima disso.

O Consentimento Informado: Antes de Ligar a Câmera

Antes de qualquer coisa: consentimento não é aquela mensagem no WhatsApp “ok pra consultar online?”. Não cola.

A Resolução CFM 2.314/2022 exige — no Art. 5º — que o paciente ou representante legal autorize expressamente:

1. O atendimento por telemedicina
2. A transmissão de suas imagens e dados

E a autorização precisa constar no prontuário eletrônico. Áudio de WhatsApp não é registro de prontuário.

Mas veja o que a LGPD (Lei 13.709/2018) acrescenta — e que a maioria ignora: o consentimento precisa ser granular e específico por finalidade. Um consentimento genérico pra “telemedicina” não cobre automaticamente gravação de consulta, nem compartilhamento com outro especialista, nem armazenamento em nuvem. São finalidades distintas. Cada uma precisa de autorização separada.

Vi muito médico confundindo isso — assumindo que um formulário de meia página, cobrindo teleconsulta, gravação, repasse pra secretária e armazenamento em servidor tudo de uma vez, resolve. Tecnicamente, um advogado competente derruba esse tipo de formulário genérico. Consentimento amplo demais não protege ninguém — nem paciente, nem médico.

O que funciona: um documento separado para cada finalidade, com registro de timestamp de quem assinou e quando. Preferencialmente dentro do próprio sistema de prontuário eletrônico — iClinic, Shosp, OmniPaciente — desde que tenha rastreabilidade auditável.

E tem mais: a Lei nº 14.510/2022, no Art. 3º, garante ao paciente o direito de recusar a telemedicina a qualquer momento, com encaminhamento garantido para atendimento presencial. Esse direito também precisa estar no seu fluxo — e o paciente precisa ser informado antes de começar.

Gravação de Consulta: Quando Pode e Como Deve Ser

A gravação de teleconsulta é permitida. Mas tem condições.

Sem o OK explícito e separado do paciente, gravar é violação do sigilo profissional (Art. 73 do Código de Ética Médica) e potencialmente violação de dado sensível na LGPD. Dado de saúde é dado sensível na lei brasileira. O tratamento sem base legal adequada expõe você a sanção da ANPD — que vai de advertência até multa de 2% do faturamento anual, limitada a R$ 50 milhões por infração.

Segundo ponto, que a maioria não pensa: depois de gravar, a responsabilidade não termina. A gravação entra no prontuário. Prontuário tem prazo mínimo de guarda de 20 anos (Resolução CFM 1.638/2002). Isso significa que servidor local do consultório não resolve sozinho — você precisa de backup com redundância e rastreabilidade de acesso. Quem vai manter isso se você sair de circulação por três meses?

Terceiro: se você quiser usar a gravação como material educativo — aula, post, apresentação — precisa de um terceiro consentimento ainda mais específico, com direito de imagem. Sem isso é tiro no pé. É comum médico usar clipe de teleconsulta num webinar ou aula achando que o consentimento de telemedicina cobria tudo — e só descobrir o problema quando o paciente reclama meses depois.

Mas e se o paciente quiser a gravação? A LGPD garante o direito de portabilidade. Você tem que entregar. De forma segura — não um link aberto de Google Drive que qualquer um com o link acessa.

É muita camada, mano. Mas cada uma existe por uma razão concreta.

WhatsApp Pessoal: Por Que a Cilada É Estrutural

Deu ruim pra muita gente. Mas continua rolando.

O WhatsApp pessoal tem quatro problemas estruturais que nenhuma configuração de privacidade resolve:

Sem prontuário vinculado. A Resolução CFM 2.314/2022 exige SRES — Sistema de Registro Eletrônico de Saúde — com padrão de interoperabilidade. WhatsApp não é SRES. Você atende, mas onde fica o registro clínico rastreável?

Sem autenticação forte. A resolução exige que a plataforma atenda ao Nível de Garantia de Segurança 2 (NGS2) no padrão ICP-Brasil ou equivalente aceito legalmente. WhatsApp pessoal não tem essa certificação.

Sem rastreabilidade. Se o paciente alegar que você disse algo numa consulta pelo WhatsApp, você não tem como provar o contrário. Chat pode ser editado, deletado, screenshot manipulado. Em processo ético, esse ônus é todo seu.

Metadados indo pro Meta. O WhatsApp processa metadados — hora, frequência, tamanho de arquivo. Dado de saúde é sensível. Encaminhar dado sensível pra servidor de empresa americana sem cláusula contratual de DPD compatível com a LGPD (Art. 33 da Lei 13.709/2018) é transferência internacional sem base legal.

O CREMERS deixou isso documentado em novembro de 2024: o WhatsApp pessoal não reúne os requisitos técnicos e éticos para suportar teleconsulta. Período.

Mas — e isso é o ponto que muita gente não entende — WhatsApp pode e deve continuar no seu fluxo. Como canal de agendamento, confirmação de consulta e lembrete. Se você ainda não usa automação de lembrete pelo WhatsApp, vale ver como configurar isso sem complicação. O atendimento clínico em si, esse vai em plataforma adequada.

Plataforma Certificada: O Que a Lei Realmente Exige

O médico não precisa construir a plataforma. Precisa escolher uma que já atenda os requisitos.

A Resolução CFM 2.314/2022 especifica quatro exigências técnicas para a plataforma:

• Criptografia end-to-end no tráfego de informações clínicas
• Prontuário integrado com padrão de interoperabilidade (HL7 FHIR ou compatível)
• Autenticação forte (NGS2, ICP-Brasil ou padrão legalmente aceito)
• Assinatura digital do médico nos registros de atendimento

No mercado brasileiro em 2026, plataformas como iClinic, Doctoralia, Shosp e Prontmed atendem esses requisitos com variações de recurso e preço. Não é lista exaustiva — mas se a ferramenta que você usa não tem prontuário integrado com assinatura digital, provavelmente não está em conformidade.

O custo de ficar fora da conformidade não é só ético. A ANPD já aplicou a primeira multa por descumprimento à LGPD — sinal de que a autoridade saiu da fase de orientação e entrou na fase de autuação.

É comum médico com anos de consultório passar por processo no CRM justamente porque a teleconsulta era pelo WhatsApp pessoal e um ex-paciente insatisfeito juntou os prints. Nem sempre vira condenação — mas vira meses de suspeita e custo com advogado.

Mas aqui vai uma declaração honesta: a maioria dos médicos não vai ser autuada amanhã. O risco real e imediato é processo no CRM. Basta um paciente insatisfeito com print do WhatsApp. Isso acontece semana sim, semana não.