App que analisa a pele da cliente pela foto: o que a LGPD exige da esteticista

O rosto da cliente vira dado sensível assim que a foto entra no app

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, consolidada com alterações até 2026) separa os dados pessoais em duas categorias. Uma é comum: nome, telefone, endereço. A outra é sensível, e tem regra mais dura. O artigo 5º, inciso II, lista o que entra nessa segunda categoria: origem racial, religião, opinião política e, no que interessa aqui, "dado referente à saúde" e "dado genético ou biométrico, quando vinculado a uma pessoa natural".

Uma selfie usada para medir poros, oleosidade ou rugas é as duas coisas ao mesmo tempo. É biométrico porque mapeia traços físicos do rosto. E é de saúde porque o app está avaliando a condição da pele, às vezes sinalizando acne, rosácea ou manchas que podem ter causa clínica. Não importa se o aplicativo é gratuito ou pago, nem se o salão tem uma cadeira ou é uma rede de clínicas: a lei classifica o dado pelo que ele é, não pelo tamanho de quem trata.

O que o artigo 11 exige antes da primeira foto

Para dado sensível, a LGPD tem uma seção própria (artigos 11 a 13). A regra geral está no inciso I do artigo 11: o tratamento só pode ocorrer quando o titular (a cliente) consentir "de forma específica e destacada, para finalidades específicas". Isso é mais rígido do que o consentimento comum do artigo 7º, que vale para dado não sensível.

Há exceções no inciso II do mesmo artigo, mas quase nenhuma se aplica ao salão de estética. A alínea "f" libera o tratamento sem consentimento quando feito "exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária". A esteticista, no exercício da estética, não se enquadra nessa exceção; ela não presta tutela de saúde no sentido da lei. Na prática, isso significa que, salvo raras situações, o consentimento específico não é opcional: é o único caminho legal.

O consentimento que vale e o que não vale

O artigo 8º detalha como esse consentimento precisa ser colhido, e boa parte dos apps de beleza erra justamente aqui. Quatro pontos do artigo merecem atenção:

• Forma: por escrito ou por outro meio que prove a manifestação de vontade (um clique registrado também serve, desde que documentado).
• Destaque: se vier em contrato ou termo de uso, precisa estar em cláusula separada, não diluído em parágrafo de termos gerais.
• Finalidade determinada: o parágrafo 4º do artigo 8º diz que "as autorizações genéricas para o tratamento de dados pessoais serão nulas". Um "aceito os termos" que cobre qualquer uso futuro da foto não vale como consentimento para dado sensível.
• Revogação: a cliente pode retirar o consentimento a qualquer momento, por procedimento gratuito e facilitado (artigo 8º, parágrafo 5º).

O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas.

Lei nº 13.709/2018 (LGPD), art. 8º, § 4º

Na prática do salão, isso quer dizer que mostrar a tela de cadastro do app e pedir para a cliente assinar embaixo não basta. Ela precisa saber, antes da foto, que a imagem vai ser usada para análise de pele por inteligência artificial, por quanto tempo fica guardada e se sai do celular do estabelecimento.

Perguntas que a esteticista precisa fazer ao fornecedor do app

A esteticista que usa o app é, na linguagem da lei, controladora dos dados: é ela quem decide coletar a foto e para quê. O fornecedor do app costuma ser o operador, quem processa em nome dela. Essa divisão não tira a responsabilidade da esteticista, por isso vale levar uma lista de perguntas antes de assinar qualquer plano:

1. Onde as fotos ficam armazenadas (servidor próprio, nuvem de terceiro, dentro ou fora do Brasil)?
2. Por quanto tempo a imagem é guardada depois do atendimento?
3. A foto é usada para treinar o modelo de inteligência artificial do fornecedor, além de gerar o relatório da cliente?
4. Existe opção de excluir a imagem a pedido da cliente, e em quanto tempo isso acontece?
5. Quem é o encarregado de dados (o contato oficial para dúvidas sobre tratamento de dados) do fornecedor?
6. A política de privacidade do app está em português e explica isso de forma clara, como pede o artigo 9º da LGPD?

Se o fornecedor não responde com clareza a esses pontos, ou empurra tudo para um termo de uso genérico em inglês, o risco de tratamento irregular sobe, e quem responde perante a cliente e a Autoridade Nacional de Proteção de Dados (ANPD) é quem decidiu usar o app no salão, não só quem programou.

O que muda na rotina do atendimento

Na prática, três mudanças pequenas resolvem a maior parte do problema:

• Antes de fotografar: mostrar, em uma tela ou papel separado do cadastro geral, que a foto será usada especificamente para análise de pele por IA, com data e assinatura ou clique registrado.
• Depois do atendimento: nunca reaproveitar a foto para post de rede social ou material de divulgação sem um consentimento separado e explícito para esse uso, porque a finalidade do artigo 11 é específica, não acumulativa.
• Se a cliente pedir: ter um caminho simples para apagar a imagem do aplicativo e confirmar a exclusão, já que a revogação do consentimento precisa ser "gratuita e facilitada" (artigo 8º, § 5º).

Quando não vale a pena usar o app

Se o fornecedor do aplicativo se recusa a explicar onde guarda as fotos ou se compartilha dados com terceiros, o risco passa a ser maior que o ganho de diagnóstico. Isso vale tanto para a esteticista autônoma de uma cadeira quanto para a clínica com várias unidades: a LGPD não abre exceção por porte do negócio quando o dado é sensível, ela abre exceção pela finalidade do tratamento, e a estética facial comum não entra nas hipóteses de dispensa do artigo 11.

O aplicativo de análise de pele pode ser uma ferramenta útil para montar protocolo e acompanhar evolução da cliente ao longo dos meses. Mas a foto do rosto não é só uma imagem bonita para antes e depois: é dado biométrico e, muitas vezes, dado de saúde ao mesmo tempo, com toda a exigência legal que isso carrega.

Fonte: Planalto: Lei Geral de Proteção de Dados (Lei nº 13.709/2018)