Conformidade
LGPD para clínicas e consultórios: o que muda no dia a dia
A confusão mais cara sobre LGPD em clínica é achar que tudo depende de consentimento. Não depende — e entender isso muda como você atende, guarda e comunica. Este guia separa o que a lei realmente exige do que virou lenda de corredor.
Toda clínica trata dados pessoais sensíveis, queira ou não. Nome e telefone já são dados pessoais; a partir do momento em que existe uma consulta marcada, existe também informação sobre a saúde daquela pessoa — e a Lei 13.709/2018, a LGPD, classifica dado referente à saúde como dado pessoal sensível (art. 5º, inciso II), com um regime mais rígido que o dos dados comuns.
Este texto é um guia prático de gestão, não parecer jurídico. Para a política da sua clínica e para os seus contratos, consulte um advogado. O objetivo aqui é que você saiba o que perguntar.
O maior mal-entendido: você quase nunca precisa de consentimento
A ideia de que a LGPD obriga a colher assinatura para tudo é o erro mais difundido — e leva clínicas a encherem o paciente de termos que não protegem ninguém.
Consentimento é uma das bases legais, não a única. Para dados sensíveis, o artigo 11 lista outras hipóteses, e uma delas resolve a maior parte do dia a dia clínico: a tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde. Ou seja: para atender, registrar no prontuário e dar seguimento ao tratamento, a base legal já existe pela própria natureza da atividade.
A linha que importa na prática
Tratar o dado para CUIDAR do paciente tem base legal própria. Tratar o dado para VENDER para o paciente — campanha, promoção, divulgação de novo serviço — normalmente exige consentimento específico, que pode ser revogado a qualquer momento. É essa fronteira que separa o uso tranquilo do uso arriscado.
Consequência direta: se você dispara campanha de e-mail para a base de pacientes, precisa ter registrado o aceite daquela pessoa para receber comunicação de marketing, e precisa oferecer descadastro fácil. Lembrete de consulta agendada é outra coisa — é parte do atendimento, não é publicidade.
Quanto tempo guardar o prontuário
Aqui existe uma tensão que confunde muita gente. A LGPD dá ao titular o direito de pedir eliminação dos seus dados — mas esse direito não derruba obrigação legal de guarda. E o prontuário tem obrigação de guarda.
A referência clássica é a Resolução CFM nº 1.821/2007, que estabelece o prazo mínimo de 20 anos a contar do último registro para a guarda do prontuário do paciente. A Lei 13.787/2018 trata da digitalização e da guarda de prontuários em meio eletrônico, com requisitos próprios de integridade e autenticidade.
Na prática: se um paciente pedir apagamento total, você não pode simplesmente apagar o prontuário. Pode e deve interromper o uso para finalidades não obrigatórias — marketing, por exemplo — e explicar por escrito por que o registro clínico permanece. Confirme os prazos aplicáveis à sua especialidade com o seu conselho de classe e com um advogado, porque há normas específicas por área.
Os direitos que o paciente pode exercer
Qualquer paciente pode procurar a clínica e pedir:
- Confirmação e acesso — saber se você trata dados dele e obter cópia.
- Correção — corrigir dado incompleto, inexato ou desatualizado.
- Portabilidade — levar os dados para outro prestador.
- Eliminação — apagar dados tratados com base em consentimento, respeitadas as obrigações legais de guarda.
- Informação sobre compartilhamento — com quem você compartilhou os dados dele.
- Revogação do consentimento — deixar de receber comunicação de marketing, por exemplo.
O que isso exige de você na prática é menos jurídico e mais operacional: um canal de contato claro e alguém responsável por responder. Um e-mail publicado no site e uma pessoa designada para tratar esses pedidos resolvem a maior parte.
Preciso ter um encarregado de dados?
A LGPD prevê a figura do encarregado, o canal entre a clínica, os titulares e a ANPD. A Resolução CD/ANPD nº 2/2022 trouxe um regime diferenciado para agentes de tratamento de pequeno porte, dispensando a indicação formal de encarregado — mas mantendo a obrigação de disponibilizar um canal de comunicação com o titular.
Traduzindo para o consultório pequeno: você provavelmente não precisa nomear formalmente um encarregado, mas precisa ter um canal funcionando e publicado. Verifique o enquadramento da sua clínica antes de assumir a dispensa.
O que fazer se houver vazamento
Incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos pacientes afetados em prazo razoável. Vazamento de dado de saúde é dos casos mais graves, porque o dano à pessoa é difícil de reverter.
Prepare-se antes, não depois. Tenha registrado: quem tem acesso a quê, onde os dados ficam armazenados, quem é o fornecedor do sistema e como ele te avisa de um incidente. Sem isso você não consegue nem dimensionar o vazamento, quanto mais comunicá-lo.
O que exigir do seu software
Boa parte da sua conformidade depende de quem guarda os dados por você. O fornecedor do sistema é operador de tratamento, e a responsabilidade não desaparece por estar terceirizada. Vale exigir, por escrito:
| O que exigir | Por que importa |
|---|---|
| Onde os dados ficam hospedados | Servidor no Brasil simplifica a discussão de transferência internacional |
| Criptografia em trânsito e em repouso | Dado sensível exposto em texto puro é risco direto |
| Controle de acesso por função | A recepção não precisa ver conteúdo de prontuário |
| Backup e plano de recuperação | Perda de prontuário também é incidente |
| Isolamento entre clínicas | Num sistema multiempresa, seus dados não podem vazar para outro cliente |
| Registro de quem acessou o quê | Sem trilha de acesso você não investiga incidente |
| Como o fornecedor comunica incidentes | O seu prazo de resposta depende de você ser avisado |
Checklist do que fazer esta semana
- Publique uma política de privacidade no site e na recepção, em linguagem que o paciente entenda.
- Crie um canal de contato para pedidos de dados e designe quem responde.
- Separe atendimento de marketing: registre o aceite de quem quer receber comunicação e ofereça descadastro.
- Revise quem tem acesso a quê no sistema — costuma ser o achado mais constrangedor.
- Confirme com o fornecedor onde os dados estão e como você é avisado de incidente.
- Documente o prazo de guarda que você segue e a razão dele.
Nenhum desses passos exige projeto caro. O que eles exigem é decisão e registro — e é exatamente isso que falta quando uma clínica é questionada.