Quase toda academia que a gente atende em Blumenau e no Vale do Itajaí tem a mesma rotina: aluno chega, faz avaliação física com bioimpedância, cadastra digital na catraca, tira foto pro antes e depois e ainda passa dado pra nutricionista parceiro. Ninguém pensa nisso como "tratamento de dado sensível". Mas é exatamente isso que a LGPD chama.
O art. 5º, inciso II da Lei 13.709/2018 é claro: dado sobre saúde e dado biométrico são dado pessoal sensível. Isso muda a régua inteira. Não basta um termo de matrícula genérico. E se vazar, a multa que a ANPD calcula sobe justamente porque o dado é sensível.
Sua ficha de avaliação física é dado sensível, não é papelada de rotina
Percentual de gordura, peso, circunferência, histórico de lesão, medicação em uso, pressão arterial. Tudo isso é dado de saúde. Na prática, muita academia guarda essa ficha numa gaveta ou numa planilha compartilhada sem senha, acessível pra qualquer instrutor.
Nossa leitura: o problema não é coletar (é até necessário pra prescrever treino com segurança). O problema é guardar sem controle de acesso e sem base legal clara. A base aqui costuma ser execução de contrato ou tutela da saúde (art. 7º, incisos V e VIII), mas isso precisa estar escrito no seu contrato de matrícula, não só na sua cabeça.
- Ficha de avaliação: acesso restrito a instrutor responsável e coordenação técnica, nunca à recepção inteira.
- Prontuário físico: armazenado em pasta trancada ou sistema com login individual, não pasta compartilhada de rede.
- Retenção: defina prazo (a gente costuma sugerir 5 anos após o fim do contrato, alinhado com prazo de prescrição civil) e delete depois.
Biometria da catraca: praticidade que virou risco alto sem ninguém notar
Digital, reconhecimento facial ou geometria da mão pra liberar o torniquete. Cômodo pra academia, rápido pra aluno. E também dado sensível pela lei. A maioria das academias que auditamos nunca pediu consentimento específico pra isso, só colocou uma placa na parede.
Falando sério: placa não é consentimento. O aluno precisa assinar (físico ou digital, mas assinar) autorizando especificamente o uso da biometria, sabendo que pode recusar e usar cartão ou QR code como alternativa. Sem alternativa oferecida, o "consentimento" nem é livre, é imposição.
Foto de antes e depois: seu melhor material de marketing pode ser sua maior dor de cabeça
Foto de resultado é a peça publicitária favorita de toda academia. E é dado pessoal, muitas vezes associado a dado de saúde (a comparação corporal expõe informação sobre o corpo do aluno). Usar sem autorização específica pra fins de marketing é abertura direta pra reclamação.
Na prática, o termo de matrícula que autoriza "uso de imagem para fins diversos" não cobre isso. Você precisa de um consentimento separado e específico só pra foto de resultado, com opção de revogar a qualquer momento. E quando o aluno pedir pra tirar a foto do Instagram, o prazo de resposta legal é 15 dias (art. 19).
App de treino integrado: quem responde se o fornecedor vazar o dado do seu aluno?
Pacto, EVO, Tecnofit, W12, seja qual for o sistema que você usa pra treino e gestão. No momento que você manda dado de aluno (nome, CPF, ficha de avaliação, biometria) pra esse fornecedor, você tem uma operação de tratamento compartilhado. E a maioria das academias nunca leu o contrato desse fornecedor pensando em LGPD.
Nossa leitura: sua academia é controladora do dado. O fornecedor do app é operador. Se o app vazar dado por falha de segurança dele, a ANPD ainda pode chegar em você primeiro, porque foi você quem coletou o consentimento do aluno. Cobre do fornecedor: cláusula de segurança, notificação de incidente em prazo curto (a gente recomenda negociar 48h no contrato) e política clara de exclusão de dado quando o contrato acabar.
Compartilhar com nutricionista e personal parceiro sem virar bagunça jurídica
Se o aluno contrata nutricionista ou personal que não é funcionário da academia, e você passa a ficha de avaliação pra esse profissional, isso é transferência de dado sensível pra terceiro. Precisa de autorização explícita do aluno dizendo pra quem o dado vai e pra quê.
- Nunca mande ficha completa por WhatsApp sem essa autorização assinada antes.
- Formalize com o nutricionista/personal parceiro um termo mínimo de confidencialidade sobre o que ele recebe.
- Se o parceiro atende dentro da academia mas é pessoa jurídica separada, ele também é controlador independente e responde pelo próprio tratamento.
O que fazer nas próximas duas semanas
Não precisa reformar tudo de uma vez. Comece pelo que tem mais exposição:
- Revise o termo de matrícula e separe consentimento de biometria e de foto de resultado em cláusulas específicas, com opção de recusa.
- Restrinja o acesso à ficha de avaliação física a quem realmente precisa dela pra prescrever treino.
- Peça ao fornecedor do app de gestão o contrato de tratamento de dado (ou anexo de segurança) e leia antes de assinar renovação.
- Formalize por escrito qualquer compartilhamento de dado com nutricionista ou personal parceiro externo.
- Nomeie um encarregado (art. 41), mesmo que seja o próprio sócio acumulando a função. Se sua academia é ME ou EPP, a Resolução CD/ANPD 02/2022 permite regime simplificado, mas simplificado não é ausente.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
