Política de privacidade para clínica médica: o que precisa refletir a operação real
Política de privacidade não deve ser texto genérico copiado de outro site. Ela precisa explicar, de forma transparente, aspectos relevantes do tratamento realizado pela clínica e estar coerente com sistemas, fornecedores e práticas internas. Publicar uma política que não corresponde à realidade pode aumentar, e não reduzir, a inconsistência. Quem é o responsável pelo tratamento? […]
LGPD em clínica médica: por onde começar a adequação
Adequar uma clínica à LGPD não significa apenas publicar política de privacidade ou colher consentimento de todos os pacientes. O trabalho começa por compreender quais dados são tratados, para quais finalidades, quem acessa, com quem são compartilhados e quais bases jurídicas sustentam cada operação. Dados de saúde são sensíveis e exigem atenção especial. Quais dados […]
Dados de saúde na LGPD: cuidados específicos para clínicas e consultórios
Informações sobre diagnóstico, exames, tratamentos e condições clínicas são dados pessoais sensíveis. A LGPD estabelece proteção reforçada para essa categoria, e clínicas precisam compreender que prontuário é apenas uma parte do ecossistema de dados de saúde. O que é dado de saúde? Informações relacionadas à condição física ou mental e à assistência podem revelar aspectos […]
Clínica é controladora ou operadora de dados? Como identificar o papel
Na LGPD, controlador e operador possuem funções diferentes. Uma clínica pode ser controladora em determinadas operações e interagir com fornecedores que atuam como operadores, mas os papéis não devem ser definidos apenas pelo título do contrato. É necessário verificar quem toma decisões relevantes sobre finalidade e tratamento. O que faz o controlador? Em termos gerais, […]
Contrato com software de prontuário: responsabilidades pela proteção dos dados
O contrato de software de prontuário precisa tratar segurança e dados como elementos centrais. A clínica depende do sistema para acessar informações assistenciais e não deve descobrir apenas durante um incidente quem deveria fazer backup, comunicar falhas ou permitir exportação. Quais papéis LGPD devem ser definidos? A relação deve refletir as atividades reais de clínica […]
Compartilhamento de dados entre clínica, laboratório e outros prestadores
Clínicas compartilham dados com laboratórios, hospitais, sistemas, faturamento e outros prestadores. A LGPD não proíbe todo compartilhamento, mas exige que exista finalidade legítima, fundamento jurídico, segurança e compreensão das responsabilidades de cada participante. Por que o dado está sendo compartilhado? A finalidade deve ser identificada antes do envio. “Parceiro da clínica” não é justificativa suficiente […]
Funcionário pode acessar qualquer prontuário? Controle de acesso em clínicas
Trabalhar em uma clínica não autoriza acesso irrestrito aos prontuários. Permissões devem seguir função, necessidade e responsabilidades, reduzindo exposição indevida de dados de saúde. Controle de acesso é medida de segurança e também de governança. Quem precisa acessar o quê? Recepção, faturamento, médicos e administração possuem necessidades diferentes. Sistemas devem permitir perfis compatíveis. Administrador pode […]
Vazamento de dados em clínica médica: como estruturar resposta ao incidente
Um incidente de segurança exige resposta organizada. Apagar evidências ou comunicar precipitadamente sem entender o ocorrido pode aumentar o problema. A clínica precisa conter o evento, preservar informações, avaliar impacto e cumprir as obrigações aplicáveis. O que é incidente de segurança? Pode envolver acesso não autorizado, perda, exposição, alteração ou indisponibilidade de dados, conforme o […]
WhatsApp em clínica médica: cuidados com dados de pacientes e equipe
WhatsApp é usado para agendamento e comunicação, mas pode concentrar dados de saúde em aparelhos pessoais, grupos e históricos sem governança. O problema não é apenas a ferramenta: é como a clínica organiza finalidade, acesso, retenção e segurança. Para que o WhatsApp é usado? Agendamento, lembretes, envio de documentos e comunicação interna possuem riscos diferentes. […]
Ex-funcionário e acesso a sistemas da clínica: como reduzir riscos
Desligar uma pessoa da equipe sem revogar seus acessos deixa a clínica exposta. E-mail, prontuário, nuvem, WhatsApp, financeiro e sistemas de parceiros precisam integrar um procedimento de offboarding. O controle deve existir tanto para empregados quanto para prestadores e médicos que deixam a operação. Quando revogar acessos? A revogação deve acompanhar o momento adequado do […]