Personal pega o celular, tira foto da barriga do aluno pra comparar com o resultado de três meses depois. Ficha de avaliação anota pressão arterial, uso de medicamento, histórico de cirurgia. Catraca na entrada lê a digital pra liberar o acesso. Tudo isso vira print e some num grupo de WhatsApp com a nutricionista parceira, terceirizada, que nem é funcionária da academia.
Nenhuma dessas três coisas é "cadastro comum". Ficha de avaliação física, biometria e foto de resultado corporal são dado pessoal sensível, categoria que o art. 5º, II da LGPD trata com regra própria, mais rígida que a de um nome ou telefone. E é exatamente aí que quase toda academia do Vale do Itajaí, de rede grande a box de CrossFit de bairro, está exposta sem saber.
Por que a ficha de avaliação não é "só uma ficha"
Pressão arterial, percentual de gordura, uso de medicamento, restrição alimentar, histórico de lesão: isso é dado de saúde. A lei coloca dado de saúde na mesma prateleira de dado genético e biometria (art. 5º, II). Na prática, isso muda a base legal que sustenta o tratamento.
Contrato de matrícula com uma cláusula genérica de "aceito os termos" não cobre isso. O art. 11 exige consentimento específico e destacado para dado sensível, separado do resto do contrato, escrito em linguagem que o aluno entenda de verdade. Nossa leitura: se o consentimento pra ficha de avaliação está escondido no parágrafo 14 do contrato de adesão, ele não vale nada em caso de fiscalização.
Catraca com biometria: o aluno sabe que a digital dele vira dado permanente?
Biometria está listada expressamente como dado sensível. Não importa se é digital, reconhecimento facial ou leitura de palma da mão: o regime é o mesmo da ficha médica.
Na prática, isso significa três obrigações que a maioria das academias pula:
- Avisar o aluno, antes de cadastrar a digital, que aquele dado é sensível e pra que serve
- Oferecer alternativa de acesso pra quem não quiser ceder biometria (cartão, QR code, senha)
- Definir prazo de retenção: a digital não pode ficar no banco depois que o aluno cancela o plano há meses
Falando sério: a maior parte dos sistemas de catraca vendidos pra academia hoje não tem nem tela de consentimento configurada por padrão. Isso é problema do fornecedor de software, mas quem responde perante o titular e a ANPD é a academia, como controladora do dado.
Foto de antes e depois: consentimento de imagem não é a mesma coisa que consentimento LGPD
Aqui tem uma confusão comum. A academia pede pro aluno assinar autorização de uso de imagem no dia da matrícula e acha que resolveu tudo. Não resolveu.
Autorização de imagem trata do direito de personalidade, questão de imagem em si. LGPD trata do tratamento do dado. Uma foto de resultado corporal, principalmente se mostra corpo com marcas de cirurgia, cicatriz ou condição de saúde visível, é dado sensível pelas duas frentes ao mesmo tempo. Na prática, isso exige consentimento específico pra cada finalidade: uma coisa é usar a foto internamente pra acompanhar evolução do aluno, outra é postar no Instagram da academia como prova social. São dois consentimentos diferentes, e o aluno pode revogar qualquer um dos dois a qualquer momento.
Compartilhar com nutricionista e personal terceirizado: quem é o operador aqui?
Muita academia trabalha com nutricionista e personal trainer que não são CLT, são profissionais autônomos que alugam espaço ou têm parceria comercial. Quando a ficha do aluno circula por WhatsApp entre a recepção e esses profissionais, a academia está fazendo compartilhamento de dado sensível com terceiro.
Isso precisa de contrato. Não precisa ser um documento de 40 páginas, mas precisa definir quem é controlador e quem é operador, o que o profissional pode e não pode fazer com o dado, e o que acontece se ele sair da parceria (apaga tudo, devolve tudo, mantém por quanto tempo). Sem isso, se o nutricionista vazar dado de um aluno por conta própria, a academia responde solidariamente porque foi ela quem entregou o acesso sem controle.
App de treino integrado: pra onde vai o dado do seu aluno
Academia que usa aplicativo terceirizado pra ficha de treino, agendamento de aula ou acompanhamento de resultado precisa checar uma coisa antes de contratar: onde o servidor guarda esse dado e se existe transferência internacional. Muito app popular no mercado fitness roda em nuvem fora do Brasil.
Isso não é proibido, mas muda a análise. Vale pedir ao fornecedor, por escrito, a política de privacidade completa e a cláusula contratual que trata de proteção de dado, antes de assinar qualquer plano anual. Se o fornecedor não sabe responder isso, é sinal de alerta.
DPO em academia de bairro: sim, você precisa de um
O art. 41 exige encarregado de dado (o DPO) pra todo controlador, sem exceção pra tamanho de empresa. A boa notícia pra micro e pequena academia é que a Resolução CD/ANPD nº 2/2022 criou um regime simplificado pra ME, EPP e profissional autônomo: o encarregado pode ser o próprio dono, o registro de operações pode ser mais enxuto, e não precisa estrutura de departamento.
Mas precisa existir um canal claro pro aluno reclamar ou pedir informação sobre o dado dele, e responder em até 15 dias (art. 19). Isso pode ser um e-mail monitorado com regularidade, não precisa ser um setor.
O que fazer nas próximas duas semanas
- Separar, do contrato de matrícula, uma cláusula própria de consentimento pra dado sensível: ficha de avaliação, biometria e foto, cada uma com sua finalidade explicada
- Revisar o sistema de catraca: existe opção de acesso sem biometria pra quem recusar?
- Formalizar em contrato simples o que o nutricionista e o personal terceirizado podem fazer com o dado do aluno
- Pedir por escrito ao fornecedor do app de treino onde o dado é armazenado
- Nomear o encarregado, mesmo que seja o próprio sócio, e deixar um e-mail de contato visível no site ou na recepção
Nenhum desses cinco pontos exige consultoria cara ou sistema novo. Exige sentar meia hora com quem cuida da recepção e da ficha de avaliação e revisar o que já existe. O risco de multa (até 2% do faturamento, limitada a R$ 50 milhões por infração) é real, mas o problema mais imediato é mais simples: aluno que descobre que a foto dele circulou sem autorização não processa a academia, ele sai e conta pra dez conhecidos.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
