A LGPD se aplica à rotina de clínicas e consultórios porque esses estabelecimentos tratam dados pessoais e, com frequência, dados referentes à saúde, classificados pela lei como dados pessoais sensíveis. Adequação não significa apenas colher consentimentos ou publicar uma política de privacidade. É necessário compreender quais dados são tratados, para quais finalidades, com qual fundamento jurídico, quem acessa as informações, com quem elas são compartilhadas e quais medidas de segurança são proporcionais aos riscos da operação.
Para clínicas, a proteção de dados precisa conversar com prontuário, sigilo profissional, contratos, sistemas, atendimento por WhatsApp, fornecedores, equipe e resposta a incidentes. O objetivo é estruturar uma operação documentada e coerente, sem tratar a LGPD como promessa de risco zero.
Dados de saúde são dados pessoais sensíveis?
Sim. A LGPD classifica como sensíveis, entre outros, os dados referentes à saúde, à vida sexual, os dados genéticos e biométricos quando vinculados a uma pessoa natural. Essa classificação exige atenção especial às hipóteses legais de tratamento, aos princípios da lei e às medidas de segurança adotadas.
Em uma clínica, isso pode alcançar prontuários, diagnósticos, prescrições, exames, imagens, laudos, informações sobre tratamentos e diversas comunicações assistenciais. A clínica também trata dados pessoais de colaboradores, profissionais, fornecedores e contatos administrativos, que não necessariamente são dados de saúde.
Clínica pequena tem de cumprir a LGPD?
O porte reduzido não elimina a aplicação da LGPD. A ANPD possui regras específicas para agentes de tratamento de pequeno porte, mas determinadas flexibilizações não afastam princípios, direitos dos titulares nem o dever de segurança. Além disso, a utilização de dados pessoais sensíveis é um dos critérios específicos considerados pela regulamentação da ANPD na análise de tratamento de alto risco.
Por isso, não é adequado afirmar que toda clínica está automaticamente no mesmo nível de risco, nem que uma clínica pequena está dispensada de estruturar proteção de dados. A avaliação deve considerar volume, finalidade, tecnologia, categorias de titulares e natureza das informações tratadas.
A clínica precisa pedir consentimento para tratar todo dado do paciente?
Não. Consentimento é uma das hipóteses previstas na LGPD, mas não é a única. Para dados pessoais sensíveis existem hipóteses próprias no art. 11, e a lei contempla, entre outras situações, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, proteção da vida e tutela da saúde nas condições previstas legalmente.
Isso significa que criar um formulário genérico de consentimento para justificar toda atividade da clínica pode ser juridicamente inadequado. Cada operação relevante deve ser vinculada à finalidade e à hipótese legal aplicável. Consentimento, quando efetivamente utilizado como fundamento, precisa atender aos requisitos legais e não deve ser confundido com o consentimento informado para procedimentos médicos, que possui função assistencial e ética própria.
Quem é controlador e quem é operador em uma clínica?
A definição depende de quem toma as decisões sobre o tratamento. Em termos gerais, controlador é quem decide sobre as finalidades e elementos essenciais do tratamento; operador trata dados em nome do controlador. A qualificação não deve ser feita apenas pelo nome dado no contrato: é preciso observar a função efetivamente exercida por clínica, profissional, laboratório, software, empresa de armazenamento ou outro parceiro.
Mapear esses papéis ajuda a distribuir instruções, deveres de segurança, comunicação de incidentes e responsabilidades nos contratos da clínica.
Como começar a adequação à LGPD em uma clínica?
- Mapear dados e fluxos: identificar quais informações entram na clínica, de onde vêm, onde ficam armazenadas, quem as utiliza e para onde são enviadas.
- Definir finalidades e hipóteses legais: evitar coleta sem finalidade identificada e o uso indiscriminado do consentimento.
- Revisar acessos: verificar se cada pessoa possui acesso apenas às informações necessárias às suas funções.
- Revisar fornecedores e contratos: compreender como sistemas, laboratórios, nuvem, marketing, contabilidade e outros terceiros tratam dados.
- Organizar transparência e direitos: estabelecer como a clínica informa o tratamento e recebe solicitações dos titulares.
- Implementar segurança e resposta a incidentes: combinar medidas técnicas, administrativas e procedimentos de reação.
- Treinar a equipe: transformar políticas escritas em rotina operacional.
Prontuário médico, LGPD e sigilo profissional
Prontuário não deve ser tratado apenas como um banco de dados comum. Além da LGPD, existem deveres profissionais de sigilo, regras de guarda e normas específicas sobre documentação médica. A clínica deve controlar acesso, preservar integridade, manter registros coerentes e definir procedimentos para fornecimento de cópias e compartilhamentos.
Para médicos e clínicas, esses aspectos são aprofundados no conteúdo sobre prontuário médico, sigilo e LGPD.
WhatsApp pode ser usado pela clínica?
A LGPD não estabelece uma proibição genérica do WhatsApp. O ponto jurídico é como a ferramenta é utilizada: quais informações circulam, quem possui acesso ao aparelho e à conta, qual a necessidade do envio, como são protegidos os registros e se o canal é compatível com o sigilo exigido para aquela comunicação.
Em vez de uma regra absoluta de “WhatsApp pessoal proibido”, a clínica deve avaliar riscos e criar um protocolo de comunicação: dispositivos e contas autorizados, autenticação, controle de acesso, conteúdo que pode ser enviado, confirmação de destinatário, tratamento de arquivos e procedimento em caso de perda ou comprometimento do aparelho.
Como tratar dados compartilhados com laboratórios, sistemas e outros parceiros?
Antes do compartilhamento, é necessário compreender sua finalidade e fundamento, quais dados são realmente necessários e qual papel cada participante exerce. Contratos podem disciplinar instruções de tratamento, confidencialidade, segurança, subcontratação, retenção, atendimento a direitos e resposta a incidentes, mas uma cláusula de LGPD não corrige sozinha um fluxo de dados inadequado.
A clínica também deve verificar transferências internacionais quando fornecedores armazenam ou processam dados fora do Brasil, observando a regulamentação aplicável da ANPD.
Quais medidas de segurança uma clínica deve adotar?
A LGPD exige medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas. A escolha concreta depende do risco, mas pode envolver controle individual de acesso, autenticação em dois fatores, política de senhas, atualização de sistemas, backups, criptografia quando apropriada, proteção de dispositivos, registro de acessos, descarte seguro e gestão de permissões.
Segurança não é apenas tecnologia. Rotinas de recepção, impressão de documentos, envio ao destinatário errado, telas abertas, grupos de mensagens e descarte físico também precisam entrar no mapeamento.
O que fazer em caso de vazamento ou incidente de segurança?
A clínica deve ter um fluxo previamente definido para identificar o incidente, conter seus efeitos, preservar evidências, avaliar quais dados e titulares foram afetados e analisar o risco ou dano relevante. Nem todo incidente gera automaticamente comunicação à ANPD, mas, quando presentes os critérios regulatórios, a comunicação à Autoridade e aos titulares integra as obrigações do controlador.
O episódio também deve gerar revisão das causas e das medidas de prevenção. Em 2026, a ANPD instaurou processo sancionador relacionado a incidente que atingiu dados sensíveis de aproximadamente 500 mil pacientes, com apuração envolvendo proteção das informações e comunicação do incidente, o que reforça a relevância prática da governança de dados no setor de saúde.
A clínica precisa de encarregado e relatório de impacto?
Essas obrigações não devem ser respondidas por fórmula única. A regulamentação da ANPD prevê tratamento diferenciado para agentes de pequeno porte em determinados pontos, e a necessidade de Relatório de Impacto à Proteção de Dados Pessoais depende das circunstâncias, dos riscos e de eventual determinação da Autoridade. Mesmo quando determinada formalidade não seja obrigatória em um caso específico, a clínica continua responsável por demonstrar organização compatível com suas operações.
Quais erros de LGPD são comuns em clínicas?
- tratar consentimento como fundamento universal para qualquer uso de dados;
- coletar informações sem revisar finalidade e necessidade;
- manter acessos compartilhados entre diversos colaboradores;
- contratar software sem compreender armazenamento e compartilhamento;
- enviar documentos de saúde sem confirmar destinatário e necessidade;
- não possuir procedimento para solicitações de pacientes;
- confundir termo de consentimento médico com autorização de tratamento de dados;
- ter política de privacidade formal sem adequar a rotina real;
- não definir resposta a incidentes.
Perguntas frequentes sobre LGPD para clínicas
Todo dado do paciente é sensível?
Nem todo dado pessoal é sensível, mas informações referentes à saúde recebem essa classificação legal. Um mesmo cadastro pode reunir dados comuns e sensíveis, exigindo análise das operações realizadas com cada conjunto.
A clínica pode compartilhar dados com laboratório?
Pode haver situações juridicamente justificadas, mas o compartilhamento precisa ter finalidade, necessidade e fundamento adequados. Não existe autorização genérica para compartilhar qualquer informação apenas porque o destinatário também atua na saúde.
Uma política de privacidade deixa a clínica adequada à LGPD?
Não. Transparência é uma parte da conformidade. A operação precisa corresponder ao que a política informa e incluir governança, segurança, contratos, direitos dos titulares e rotinas internas.
LGPD impede acesso do paciente ao próprio prontuário?
Não. Proteção de dados não deve ser usada como justificativa genérica para negar direitos do paciente. O acesso deve ser analisado juntamente com as normas específicas de prontuário e sigilo.
Revisão jurídica de LGPD para clínicas
Uma revisão jurídica pode começar pelo mapa de dados e pelos fluxos reais da clínica, em vez de simplesmente produzir formulários. A partir desse diagnóstico, é possível revisar hipóteses legais, avisos, contratos, acessos, fornecedores, procedimentos de atendimento a titulares e resposta a incidentes, integrando proteção de dados com compliance e governança, relações de trabalho e Direito Médico.
Para questões profissionais e assistenciais, consulte também a área de Direito Médico para médicos e clínicas.
