A LGPD para clínicas médicas exige mais do que um aviso de privacidade. Além disso, consultórios e clínicas tratam prontuários, exames, diagnósticos, prescrições e dados de convênio todos os dias. Como essas informações revelam a saúde de uma pessoa, a lei as classifica como dados pessoais sensíveis. Por isso, uma falha pode afetar a privacidade, a reputação e até o atendimento do paciente.
A adequação precisa unir regras jurídicas, sigilo médico e segurança da informação. Além disso, deve acompanhar o caminho do dado desde o agendamento até o descarte. Neste guia, você verá como escolher bases legais, organizar acessos, revisar fornecedores e responder a incidentes. Para compreender o sistema de forma ampla, consulte também nosso guia completo sobre a LGPD.
Por que a LGPD para clínicas médicas exige cuidado reforçado
A Lei nº 13.709/2018 considera sensíveis os dados referentes à saúde, à genética e à biometria vinculada a uma pessoa. A proteção especial não depende do tamanho da clínica. Assim, tanto um consultório individual quanto uma rede de atendimento devem observar finalidade, necessidade, transparência, segurança e prevenção.
Nem todo dado usado na rotina clínica é sensível. Nome, telefone e endereço, isoladamente, são dados pessoais comuns. Contudo, eles podem ganhar contexto de saúde quando associados a uma especialidade, consulta ou tratamento. Portanto, o mapeamento não deve olhar apenas para o nome do campo. Ele precisa avaliar o que o conjunto revela.
O dever de sigilo profissional continua aplicável ao lado da LGPD. Em orientação de 2024, o Conselho Federal de Medicina reforçou os limites de acesso ao prontuário. Desse modo, a clínica deve conciliar a legislação de dados com as normas éticas e setoriais da atividade médica.
Quais informações a LGPD para clínicas médicas protege
Primeiro, liste cada coleta, uso, compartilhamento, armazenamento e eliminação. Além disso, o mapa deve incluir fichas em papel, sistema de gestão, agenda, prontuário eletrônico, e-mail, mensagens, gravações, câmeras, telemedicina e documentos enviados por convênios. Também deve indicar responsáveis, finalidade, base legal, prazo de guarda e pessoas com acesso.
Entre os registros mais comuns estão identificação e contato; dados financeiros; informações do plano de saúde; anamnese; exames; laudos; prescrições; fotografias clínicas; atestados; dados biométricos; histórico familiar; e registros de atendimento. Para aprofundar essa classificação, veja o artigo sobre dados sensíveis na LGPD.
Além disso, o fluxo costuma envolver terceiros. Laboratórios, plataformas de agenda, sistemas de prontuário, empresas de nuvem, contabilidade e serviços de telemedicina podem receber dados. A clínica deve registrar essas transferências e verificar se cada destinatário realmente precisa das informações enviadas.
Bases legais da LGPD para clínicas médicas
A escolha da base legal deve ocorrer por operação. Para dados sensíveis, o artigo 11 da LGPD prevê hipóteses específicas. Entre elas estão o cumprimento de obrigação legal ou regulatória, o exercício regular de direitos, a proteção da vida e a tutela da saúde. Nesse sentido, essa hipótese vale para procedimentos realizados por profissionais ou serviços de saúde e por autoridade sanitária.
O consentimento também pode fundamentar determinadas atividades. Porém, ele deve ser específico, destacado e ligado a finalidades determinadas. Uma autorização ampla para “qualquer uso” não atende à lei. Além disso, a clínica não deve usar o consentimento quando outra base descreve melhor uma obrigação clínica ou regulatória.
Marketing exige análise própria. Usar telefone obtido no atendimento para enviar publicidade não se confunde com confirmar uma consulta. Portanto, campanhas, listas de transmissão e pedidos de avaliação precisam de finalidade clara, transparência e mecanismo simples de oposição ou cancelamento.
Da mesma forma, pesquisa e divulgação de casos clínicos pedem cautela adicional. Retirar apenas o nome pode não impedir a identificação. Imagens, datas, doenças raras e contexto geográfico também podem revelar o paciente. Em caso de dúvida, a equipe deve avaliar anonimização, autorização válida e normas profissionais aplicáveis.
Prontuário médico na LGPD para clínicas médicas
O prontuário pertence ao paciente quanto às informações, enquanto a clínica ou o médico mantém a guarda do documento. Por isso, o acesso interno deve seguir a função de cada profissional. A recepção, por exemplo, não precisa visualizar todo o histórico clínico para confirmar um horário.
Controles por perfil reduzem exposição. A clínica também deve usar autenticação individual, registro de acessos, bloqueio de tela, cópias de segurança testadas e criptografia quando adequada. Senhas compartilhadas impedem a responsabilização e dificultam a investigação de incidentes. Logo, devem ser eliminadas.
A eliminação também exige regra. A Lei nº 13.787/2018 estabelece prazo mínimo de vinte anos a partir do último registro para a eliminação do prontuário, observadas suas condições. Em 2026, o CFM detalhou requisitos de segurança, sigilo e rastreabilidade para o descarte. Assim, pedidos de exclusão não autorizam apagar automaticamente informações sujeitas à guarda legal.
Fornecedores e contratos no programa de privacidade
Um software seguro não transfere toda a responsabilidade ao fornecedor. A clínica precisa entender onde os dados ficam hospedados, quem presta suporte, quais subcontratados participam e como ocorrem cópias de segurança. Também deve verificar exportação, portabilidade e eliminação ao final do contrato.
O contrato deve definir papéis de controlador e operador conforme a atividade real. Além disso, precisa prever confidencialidade, medidas de segurança, limites de uso, comunicação de incidentes, cooperação com direitos dos titulares, auditoria e devolução ou descarte dos dados. Cláusulas genéricas raramente cobrem toda a operação.
Antes da contratação, a equipe pode solicitar evidências compatíveis com o risco. Por exemplo, certificações ajudam, mas não substituem perguntas práticas. Entre elas estão o tempo de restauração, a frequência dos testes de backup, o controle de administradores e o procedimento adotado quando um colaborador deixa a empresa.
Medidas práticas para adequar a rotina
A LGPD para clínicas médicas funciona melhor quando cada obrigação vira procedimento. Um projeto pode começar pelos processos de maior risco e avançar por etapas. O importante é documentar decisões e responsáveis.
- Mapeie os dados e elimine coletas sem finalidade definida.
- Associe cada operação a uma base legal adequada.
- Separe permissões de recepção, equipe clínica, faturamento e suporte.
- Revise contratos com sistemas, laboratórios e prestadores.
- Crie regras para mensagens, fotografias, telemedicina e trabalho remoto.
- Treine a equipe com exemplos reais e repita o treinamento.
- Defina prazos de guarda e um descarte seguro e rastreável.
- Mantenha canal para solicitações de pacientes.
- Teste backups e o plano de resposta a incidentes.
A indicação de encarregado deve considerar a LGPD e a regulamentação aplicável. Agentes de pequeno porte podem ter tratamento diferenciado, mas não ficam dispensados de cumprir os demais deveres. Mesmo quando não há encarregado formal, a clínica deve oferecer um canal de comunicação ao titular.
Como responder a vazamentos e outros incidentes
Perda de prontuário, envio ao destinatário errado, conta invadida, ransomware e indisponibilidade prolongada podem configurar incidentes. A resposta começa com contenção e preservação de evidências. Em seguida, a clínica deve identificar dados e titulares afetados, avaliar riscos e registrar as medidas tomadas.
De acordo com a orientação atual da ANPD sobre incidentes, o controlador comunica a Autoridade e os titulares em três dias úteis quando o evento confirmado puder causar risco ou dano relevante. O prazo conta do conhecimento do incidente e admite regras específicas. Portanto, o contrato deve obrigar o operador a informar a clínica sem demora injustificada.
Nem todo evento exige comunicação, mas toda decisão precisa de fundamento. Dados de saúde aumentam a gravidade potencial. A equipe deve considerar quantidade de pessoas, natureza das informações, possibilidade de discriminação, medidas de proteção e impactos ao atendimento. Nosso guia sobre vazamento de dados detalha as primeiras providências.
Erros frequentes na LGPD para clínicas médicas
O erro mais comum é tratar um termo de consentimento como projeto completo. Outro problema surge quando todos os empregados usam a mesma senha. Também há risco em guardar cópias de prontuários no computador pessoal, enviar exames por canais sem controle ou manter documentos impressos abertos na recepção.
Além disso, muitas clínicas ignoram contas antigas e acessos de ex-colaboradores. Por isso, uma rotina de admissão, mudança de função e desligamento reduz esse risco. Além disso, a organização deve revisar permissões periodicamente e registrar exceções.
Por fim, a política escrita precisa refletir a prática. Se o documento promete prazo ou canal que a equipe não cumpre, a transparência fica comprometida. Por isso, a revisão deve envolver direção clínica, atendimento, tecnologia e jurídico.
Perguntas frequentes
Toda clínica precisa pedir consentimento para atender?
Não. O atendimento pode se apoiar em outras hipóteses do artigo 11, como tutela da saúde, proteção da vida ou obrigação legal. Já o consentimento deve ser usado quando for a base adequada para a finalidade específica, e não como autorização genérica.
O paciente pode exigir a exclusão imediata do prontuário?
Nem sempre. A clínica deve analisar o pedido, mas também precisa cumprir prazos legais e regulatórios de guarda. Quando a conservação for obrigatória, deve explicar o fundamento e limitar o uso às finalidades permitidas.
É permitido enviar exames por WhatsApp?
O canal não é proibido por si só. Contudo, a clínica precisa avaliar segurança, identificação do destinatário, necessidade, registro e configuração das contas. Também deve oferecer procedimento interno para reduzir envios errados e exposição em aparelhos pessoais.
Pequenas clínicas precisam de encarregado?
A resposta depende do enquadramento e das regras da ANPD. Eventual dispensa de indicação não elimina o dever de criar canal para titulares, proteger os dados e atender às demais obrigações. A análise deve considerar o porte e o risco do tratamento.
Quando um incidente deve ser comunicado?
A comunicação é necessária quando o incidente confirmado envolve dados pessoais e pode causar risco ou dano relevante. Como dados de saúde são sensíveis, a avaliação deve ser rápida e documentada. Quando aplicável, o prazo regulatório é de três dias úteis.
Conclusão
A adequação da LGPD para clínicas médicas depende de processos verificáveis. Mapear dados, justificar cada uso, limitar acessos, revisar fornecedores e preparar a resposta a incidentes reduz riscos jurídicos e operacionais. Além disso, essas medidas preservam a confiança indispensável à relação entre paciente e equipe de saúde.
A Rocco & Canonica — Advogados auxilia clínicas e consultórios a transformar as exigências legais em rotinas proporcionais à sua estrutura. Conheça nossa atuação em adequação à LGPD e solicite uma avaliação do seu cenário.
