A foto que começou como prontuário e terminou no Instagram

Todo consultório odontológico tem uma rotina silenciosa que poucos pacientes enxergam. Antes do procedimento começar, o cirurgião-dentista, ou a equipe auxiliar, pega a câmera, ajusta o foco, posiciona o refletor intraoral e dispara uma sequência de fotos que documenta o caso. Foto frontal do rosto em repouso. Foto do sorriso forçado. Foto lateral direita, foto lateral esquerda. Foto intraoral da arcada superior. Foto da arcada inferior em oclusão. Foto do palato. Foto oclusal. Às vezes, vídeo curto mostrando a função. Tudo isso vira prontuário, alimenta o software de gestão, sustenta o planejamento em software de simulação, apoia o caso clínico em congresso. É registro legítimo, frequente e tecnicamente necessário. Acontece que essa mesma imagem, registrada por motivo clínico legítimo, costuma acabar no Instagram da clínica. Às vezes em carrossel de "antes e depois". Às vezes em stories celebrando a alta do tratamento. Às vezes em material comercial de implantes ou alinhadores. E aí a foto clínica, que nasceu com finalidade de registro, ganha uma segunda finalidade sem que o paciente tenha autorizado especificamente esse uso. Quando o dentista percebe isso, geralmente é tarde. A foto está no ar, o TCLE (Termo de Consentimento Livre e Espontâneo) do prontuário cobre a parte assistencial, e a divulgação em rede social acontece sem documento específico para aquela finalidade. O risco é triplo: processo ético no CRO por descumprimento da CFO-196/2019, autuação da ANPD por tratamento de dado sensível sem consentimento específico para marketing, e ação judicial cível por uso de imagem sem autorização para aquele fim. Quando o paciente é criança, a camada extra é séria. Odontopediatras e ortodontistas interceptivos documentam casos com a mesma intensidade que outras especialidades, mas o paciente é menor de idade. Aí se somam LGPD, Estatuto da Criança e do Adolescente e recomendações do CONANDA, com proteção reforçada e exigência de consentimento dos responsáveis legais. A regra não é "não fotografar". É separar finalidades, com TCLE próprio para cada uma.

O que a CFO-196/2019 faz (e o que ela não faz)

A Resolução CFO-SEC-196, editada em 29 de janeiro de 2019 e em vigor desde a publicação, autoriza duas categorias de divulgação, ambas condicionadas:

Autoretratos (selfies) do cirurgião-dentista, acompanhados de pacientes ou não, desde que com autorização prévia do paciente ou representante legal por Termo de Consentimento Livre e Esclarecido (TCLE), Art. 1º.
Imagens relativas ao diagnóstico e à conclusão do tratamento, divulgadas pelo cirurgião-dentista responsável pela execução do procedimento, com TCLE prévio, Art. 2º. E veda explicitamente:

Imagens de equipamentos, instrumentais, materiais e tecidos biológicos (Art. 1º, §1º), porque tendem a virar subterfúgio de divulgação comercial e expõem partes do corpo humano fora de contexto educativo.
Vídeos e imagens do transcurso do procedimento (Art. 3º), exceto em publicações científicas. Essa vedação já existia no Art. 44, item 12, do Código de Ética Odontológica e foi reforçada pela 196/2019.
Expressões de sensacionalismo, autopromoção, concorrência desleal, mercantilização da Odontologia ou promessa de resultado (Art. 2º, §1º).
Casos clínicos de autoria de terceiros, não é permitido publicar trabalho de outro colega como se fosse seu (Art. 4º).
Publicações sem identificação do profissional: nome e número de inscrição no CRO são obrigatórios em toda imagem ou vídeo (Art. 4º). A norma é clara em um ponto que muita gente ignora: a divulgação é ato do cirurgião-dentista. Pessoas jurídicas (clínicas) não estão autorizadas a publicar antes e depois de procedimento executado por profissional do seu corpo clínico. Isso foi reforçado em comunicação oficial do próprio CFO, em resposta a dúvidas sobre uso de imagens de cursos, bastidores e ambiente clínico por clínicas. Em FAQ institucional, o CFO também é explícito em dois pontos que costumam gerar confusão:
O CFO ainda não tem modelo padrão de TCLE. Cada profissional é responsável pelo seu documento, e a recomendação é obter autorização formal, por escrito, mesmo quando há autorização verbal.
Processos éticos em andamento devem ser reavaliados sob a nova regra. Casos que se enquadrem na 196 podem ser arquivados pelas Comissões de Ética, sem prejuízo nem direito a indenização, porque a lei não retroage para prejudicar.

Onde começa o risco real

A leitura combinada de três normas é o que mais pega cirurgião-dentista desavisado:

1. CEO + Art. 44, item 12

O Código de Ética Odontológica já tratava como infração ética a publicação de imagens "antes, durante e depois". A 196/2019 regulamentou a divulgação de autorretratos e imagens de diagnóstico e conclusão, mas não revogou a vedação ao "durante". Publicar stories do procedimento acontecendo continua sendo infração ética, mesmo que o paciente tenha autorizado.

2. Art. 5º da própria CFO-196/2019

Toda divulgação em desacordo com a norma é considerada infração ética de manifesta gravidade. Não existe infração leve aqui. A gravidade qualificada já sinaliza que o CRO pode aplicar penalidades na faixa superior do que o CEO permite.

3. LGPD, Art. 5º, II e Art. 11

Dados de saúde são dados pessoais sensíveis. A LGPD exige consentimento livre, informado, específico, destacado e revogável a qualquer tempo. Um TCLE genérico, daqueles de uma linha ampla que autoriza "qualquer uso em qualquer meio", não atende nem a 196/2019 nem a LGPD. E como o TCLE do prontuário cobre a finalidade assistencial, ele não cobre automaticamente a finalidade de divulgação. São documentos distintos para a mesma imagem.

Camada extra: quando o paciente é criança

Odontopediatras e ortodontistas interceptivos documentam casos com a mesma intensidade que outras especialidades, mas o paciente é menor de idade. Três camadas se somam:

LGPD, Art. 14. O tratamento de dados pessoais de crianças e adolescentes deve ser realizado com cuidado específico, e o consentimento deve ser dado por pelo menos um dos pais ou responsável legal. A finalidade precisa ser explicitada de forma destacada, e o melhor interesse da criança deve prevalecer.
Estatuto da Criança e do Adolescente (Lei 8.069/1990), Art. 17. O direito à imagem da criança e do adolescente é protegido, e a exposição em meio de comunicação sem autorização pode configurar irregularidade.
Resolução CONANDA e boas práticas de mercado. Diversas entidades recomendam que exposição de imagem de menor em rede social seja feita com finalidade claramente educativa, com consentimento específico e revogável dos responsáveis, e com cuidado adicional de não identificação (sem nome completo, sem escola, sem dados que permitam localização). A CFO-196/2019 não trata especificamente de menores, mas o cruzamento com LGPD e ECA é direto: a foto de arcada de uma criança de 7 anos em tratamento ortodôntico interceptivo é dado sensível, e a divulgação sem consentimento específico dos responsáveis configura infração ética pela 196/2019 e potencial irregularidade civil. A recomendação operacional é: para pacientes menores de idade, o TCLE de divulgação deve ser assinado por pais ou responsável legal (a gradação do Art. 14 da LGPD pede "pelo menos um dos pais"), especificar prazo de uso, canal, finalidade, e forma de revogação, e a publicação deve passar por revisão adicional antes de ir ao ar.

As penalidades que estão no horizonte

Quem publica em desacordo com a 196/2019 responde em três frentes simultâneas, e cada uma tem custo próprio:

Processo ético no CRO. Tramita em duplo grau (CRO de origem e CFO como instância revisora). As penalidades previstas no CEO vão de advertência confidencial, passando por multa, até suspensão do exercício profissional e cassação do registro, nos casos mais graves. A gravidade qualificada do Art. 5º empurra a tipificação para cima.
Autuação da ANPD pela LGPD. Sanções administrativas incluem advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração), bloqueio, eliminação dos dados e publicização da infração. Em 2024 e 2025 a ANPD intensificou a fiscalização sobre dados de saúde, inclusive no setor de clínicas.
Ação judicial cível. O direito à imagem tem proteção constitucional (Art. 5º, V e X da CF) e regulamentação no Art. 20 do Código Civil. Indenização por dano moral em caso de uso indevido é jurisprudence consolidada e independe de processo ético. Para menores, o CDC também pode ser invocado em casos de prática abusiva.

Cinco erros que aparecem toda semana em clínicas odontológicas

Não é má-fé. É improviso sobre tema que ninguém ensinou na graduação. O padrão que se repete:

Foto de prontuário indo para rede social sem TCLE de divulgação. É o caso clássico. A foto intraoral está no prontuário, o paciente assinou TCLE assistencial (ou nem assinou formalmente, dependendo do contrato de serviço), e a mesma imagem aparece no carrossel "antes e depois" do Instagram. A foto é a mesma, a finalidade mudou, e o TCLE não cobre a finalidade nova.
Foto de rosto inteiro publicada sem autorização específica. Em odontologia estética, especialmente em reabilitações com lentes de contato, facetas e clareamento, é comum fotografar o rosto do paciente em repouso e em sorriso forçado. Quando essa foto vai para rede social, a identificação é direta, e o risco de uso indevido de imagem é máximo.
Clínica publicando antes e depois no lugar do dentista. A página comercial da clínica tem mais seguidores que o perfil do profissional, e alguém do marketing posta. Quem responde pelo Art. 2º da CFO-196/2019 é o cirurgião-dentista executante, não a pessoa jurídica.
Carrossel com imagem "durante". Vídeo da broca, da sutura, do sangramento. Contexto educativo é diferente de stories de Instagram. Para plataforma aberta, a regra é não publicar (Art. 3º da 196/2019, com respaldo no Art. 44, item 12, do CEO).
Equipamento em destaque. Foto do scanner intraoral, do laser, do enxerto ósseo. O Art. 1º, §1º veda. A intenção era demonstrar tecnologia, mas o efeito regulatório é o mesmo.

A foto que parou no celular pessoal (e foi sincronizada na nuvem pessoal do dentista)

Tem um detalhe operacional que a discussão normativa costuma deixar de lado, e que aparece em praticamente toda clínica que fotografa paciente com regularidade. A câmera dedicada do consultório é exceção, não regra. O que se vê no dia a dia é o cirurgião-dentista, ou a auxiliar, tirando fotos com o próprio celular pessoal. Às vezes por praticidade. Às vezes porque o refletor intraoral é compatível com smartphone. Às vezes porque ninguém parametrizou câmera dedicada no fluxo. Acontece que esse celular é pessoal. Tem iCloud, Google Fotos, ou alguma nuvem pessoal configurada com a conta pessoal do profissional. As fotos de arcada, de rosto, intraorais, de prontuário, ficam ali, na galeria pessoal, com backup automático em servidor terceiro, muitas vezes fora do Brasil, sem controle de retenção, sem política de exclusão quando o paciente pede revogação. Esse cenário cria três problemas concretos em simultâneo.

1. Dado sensível em servidor pessoal

A LGPD trata dado de saúde como sensível e exige que o controlador defina o operador, a finalidade, o prazo de retenção e a localização do armazenamento. Quando a foto vai para iCloud, Google Fotos ou OneDrive pessoal, o controlador (a clínica ou o dentista) perde o controle sobre onde está o dado, quem tem acesso (a equipe de suporte do provedor, em tese, tem) e como ele é tratado. Em eventual incidente de segurança, a notificação à ANPD fica comprometida porque o controlador não tem nem o inventário do que foi exposto.

2. Mistura de dado profissional com dado pessoal

Quando o dentista troca de celular, vende o aparelho, manda para assistência, ou simplesmente compartilha a galeria com a família, as fotos de pacientes vão junto. Em casos extremos, fotos de arcada e rosto inteiro de pacientes já apareceram em álbuns automáticos do tipo "este dia há três anos" compartilhados em redes sociais pessoais do profissional. Não é cenário teórico. É padrão que aparece em auditoria.

3. Impossibilidade de revogação

O Art. 18 da LGPD garante ao titular o direito de revogar consentimento e exigir eliminação dos dados. Quando a foto está espalhada em celular pessoal, nuvem pessoal, WhatsApp pessoal, e eventualmente em backup do provedor, a clínica não tem como garantir a exclusão completa. Responder à revogação com "provavelmente já foi apagado" não atende o direito do titular e expõe o controlador. A recomendação operacional é separar três fluxos desde o início. Fluxo de captura, em equipamento da clínica (câmera dedicada ou tablet/setor configurado para a função), com backup em sistema da clínica. Fluxo de tratamento, no software de gestão ou sistema de prontuário, vinculado ao caso do paciente. Fluxo de divulgação, em sistema que registra TCLE por finalidade, com revogação rastreável. Celular pessoal do profissional não entra em nenhum desses três fluxos. Para clínicas que já estão com fotos antigas em celular pessoal, o caminho é triagem e transferência imediata. Identificar quais fotos são de pacientes, transferir para sistema da clínica com TCLE por finalidade registrado, e em seguida apagar do dispositivo pessoal e da nuvem pessoal, com confirmação de exclusão. Não é elegante, mas é o único caminho que devolve controle ao controlador e coloca a clínica em posição defensável se questionada.

Compliance na prática: o que vale para a sua clínica

A regulação não pede perfeição. Pede método. Cinco rotinas simples cobrem 90% da exposição:

TCLE por finalidade, começando pela separação entre registro clínico e divulgação. A foto que vai para o prontuário tem TCLE assistencial (que pode estar embutido no contrato de prestação de serviço). A mesma foto, quando vai para rede social, precisa de TCLE de divulgação específico, escrito, com canal, prazo, finalidade declarada e cláusula de revogação. São documentos diferentes para a mesma imagem.
Registro do executor em toda peça. Nome completo e número de CRO visíveis. Vale para post, vale para legenda, vale para vídeo.
Vedação automática do "durante". Checklist do time de marketing: a imagem é de antes, é de depois, ou tem alguma cena do procedimento acontecendo? Se tem, descarta.
Separação entre pessoa física e jurídica. Posts de antes e depois saem do perfil do profissional, com sua identificação, nunca da página comercial da clínica.
Histórico armazenado e recuperável. TCLE vinculado ao caso, à imagem, à data de publicação, ao canal. Se o CRO ou o paciente pedir, a resposta sai em minutos, não em semanas. Quando o paciente é criança, somam-se dois cuidados extras: TCLE assinado por pelo menos um dos pais ou responsável legal, com finalidade declarada de forma destacada, e ausência de elementos que permitam identificar a criança além do necessário (sem nome completo, sem escola, sem cidade em legenda, sem detalhes que combinados com imagem permitam localização). Esse último bloco (histórico armazenado e recuperável) é o que mais frequentemente separa clínicas organizadas de clínicas expostas. Não é raro o dentista descobrir, meses depois de uma publicação, que o TCLE sumiu, foi digitalizado em pasta perdida, ou simplesmente nunca foi assinado porque o paciente "pareceu concordar verbalmente". Em odontopediatria, a frase recorrente é "a mãe estava junto, pareceu ok". Não estava ok, e em caso de questionamento a clínica não tem como provar.

Como o Relati apoia essa rotina

O Relati é uma plataforma criada para clínicas e consultórios que fotografam pacientes e coletam depoimentos, com foco em consentimento, privacidade e rastreabilidade. Ele não nasceu de um aplicativo de fotos que resolveu falar de LGPD, nasceu do direito da saúde e da proteção de dados, e traduz as exigências do CFM, do CFO, da LGPD e das normas de publicidade médica e odontológica em fluxo de software. Com o Relati Capture, a foto nasce anonimizada no próprio aparelho, o consentimento específico é colhido na mesma sessão e selado dentro da própria imagem, e tudo sincroniza direto com o storage da clínica, sem nada ficar na galeria do celular pessoal. Cada imagem e cada depoimento passam a nascer com consentimento específico, cadeia de custódia e controle do paciente, de modo que a prova exista antes do problema. O Relati não substitui o TCLE, não substitui o CRO, não substitui o advogado. O que ele faz é organizar o que normalmente fica espalhado.

Coleta de relatos e autorizações em ambiente controlado, com TCLE por finalidade, divulgação em redes sociais, congresso, pesquisa, aula, em fluxos distintos.
Rastreabilidade por caso: imagem, data, canal, executor, TCLE vinculado e histórico de versões. Se um paciente pedir revogação, a peça é localizada e retirada em fluxo rastreável. Para menores, o registro de quem assinou (qual dos pais ou responsável) e quando fica anexado ao caso.
Portal do paciente: o titular, ou o responsável legal no caso de menores, consegue ver o que foi autorizado, em qual canal, e solicitar revisão. Isso encurta distância com quem fiscaliza, CRO, ANPD ou paciente direto.
Código de verificação em relatos públicos autorizados: camada extra de autenticidade que mostra que a peça não é um print solto.
Apoio de IA para triagem de mensagens sobre casos, elogios, reclamações e solicitações, sempre com revisão humana do profissional antes de qualquer resposta. A IA organiza, o dentista decide. Para clínicas odontológicas que querem publicar antes e depois com regularidade, isso muda a relação com o risco. O que antes dependia de "a gente confia que está certo" passa a depender de registro que se mostra em segundos.

O que vale levar

A Resolução CFO-196/2019 não proibiu o antes e depois em odontologia. Regulamentou. E fez isso em cima de um Código de Ética que já era rigoroso, em coexistência com a LGPD. O profissional que entende essa camada como aliada, em vez de obstáculo, tende a publicar mais, com mais tranquilidade, e a responder mais rápido quando alguém questiona. Três perguntas simples resumem o filtro antes de qualquer peça ir pro ar:

Quem é o autor do procedimento e está identificado na publicação?
O TCLE existe, está assinado, cobre especificamente a finalidade de divulgação, e é revogável?
A imagem é de antes ou de depois, sem cena do procedimento, sem equipamento em destaque? Se o paciente é menor de idade, somam-se duas perguntas:
Quem assinou o TCLE é pai, mãe ou responsável legal, com identificação registrada?
A peça tem elementos que permitem identificar a criança além do necessário para a finalidade educativa? Responder "sim" para todas é o começo. Registrar a resposta é o que fecha o ciclo.

Referências normativas e institucionais:

Resolução CFO-SEC-196, de 29 de janeiro de 2019, texto integral
Código de Ética Odontológica, Art. 44, item 12
Lei nº 13.709/2018 (LGPD), Art. 5º, II, Art. 11 e Art. 14
Lei nº 8.069/1990 (Estatuto da Criança e do Adolescente), Art. 17
Constituição Federal, Art. 5º, incisos V e X
Código Civil, Art. 20
FAQ oficial do CFO sobre a Resolução 196/2019, comunicação institucional da Autarquia

Marketing odontológico e imagem de paciente: o que a CFO-196/2019 permite, o que veta, e como não tropeçar