LGPD para clínicas e consultórios: guia prático

Para aplicar a LGPD numa clínica ou consultório, você precisa saber quais dados trata, com qual base legal, quem tem acesso a eles e o que fazer quando algo dá errado. Dado de saúde é dado sensível e pede mais cuidado, mas a maior parte do atendimento não depende de consentimento. Neste guia você vê o que a lei diz sobre dados de saúde, quais bases legais se aplicam, os direitos do paciente, as regras do encarregado para agentes de pequeno porte, controle de acesso, incidentes, WhatsApp, recepção e fornecedores. Para decisões específicas, confirme com um advogado de proteção de dados.

Por que dado de saúde exige mais cuidado

A Lei 13.709/2018, a LGPD, classifica como dado pessoal sensível todo dado referente à saúde (art. 5º, II). Na clínica, isso inclui prontuário, anamnese, pedidos de exame, receitas, laudos, atestados e até o simples fato de alguém ser paciente de determinada especialidade.

Sigilo não é novidade para quem trabalha com saúde. O Código de Ética Médica já proíbe o médico de revelar fato conhecido no exercício da profissão (art. 73) e de permitir que pessoas não obrigadas ao sigilo manuseiem prontuários sob sua responsabilidade (art. 85). A LGPD soma a isso regras de base legal, transparência, segurança e comunicação de incidentes. E vale para a clínica inteira: recepção, financeiro, faturamento e fornecedores.

Bases legais: nem tudo depende de consentimento

Um erro comum é pedir ao paciente que assine um termo de consentimento para tudo. O art. 11 da LGPD lista hipóteses em que dados sensíveis podem ser tratados sem consentimento, quando o tratamento for indispensável. As mais relevantes para clínicas são:

• Tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (art. 11, II, f). É a base do atendimento em si.
• Cumprimento de obrigação legal ou regulatória (art. 11, II, a). A guarda do prontuário é o exemplo clássico: a Lei 13.787/2018 só permite eliminar prontuários em papel e digitalizados depois de, no mínimo, 20 anos do último registro.
• Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral (art. 11, II, d).

Quando nenhuma dessas hipóteses se aplica, entra o consentimento. Nesse caso, ele precisa ser dado de forma específica e destacada, para finalidades específicas (art. 11, I), e o paciente pode revogá-lo quando quiser.

Situação	Base legal provável	Observação
Consulta, prontuário e prescrição	Tutela da saúde	O atendimento não depende de termo de consentimento
Guarda do prontuário pelo prazo legal	Obrigação legal ou regulatória	Pedido de exclusão não se sobrepõe à guarda obrigatória
Defesa da clínica em processo	Exercício regular de direitos	Use só o necessário para a defesa
Foto ou depoimento do paciente nas redes	Consentimento específico e destacado	Observe também a Resolução CFM 2.336/2023, sobre publicidade médica
Envio de novidades e promoções	Depende do caso	Não use informação clínica sem base legal clara

A tabela é um ponto de partida, não um parecer. Registre a base de cada atividade e revise com seu advogado.

Direitos do paciente

O art. 18 garante ao titular dos dados, mediante requisição:

• confirmação de que a clínica trata seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade, conforme a regulamentação da ANPD;
• informação sobre com quem os dados foram compartilhados;
• revogação do consentimento, quando ele for a base do tratamento.

Um pedido de exclusão não apaga o prontuário. A própria lei autoriza conservar dados para cumprir obrigação legal ou regulatória (art. 16, I).

Sobre prazo, o art. 19 prevê a confirmação e o acesso em formato simplificado, de imediato, ou por declaração completa em até 15 dias do pedido. Na prática:

• defina um canal para esses pedidos, como um e-mail, e divulgue no site e na recepção;
• confirme a identidade de quem pede antes de entregar qualquer dado;
• registre a data do pedido, a resposta e quem atendeu.

Encarregado (DPO) e a regra para pequeno porte

A LGPD manda o controlador indicar um encarregado, que atua como canal entre a clínica, os pacientes e a ANPD (art. 41). Desde 2026, a sigla ANPD corresponde à Agência Nacional de Proteção de Dados, nome dado pela Lei 15.352/2026. Cabe ao encarregado receber reclamações dos titulares, receber comunicações da ANPD e orientar funcionários e contratados sobre proteção de dados.

A Resolução CD/ANPD nº 18/2024 detalha a função:

• a designação é feita por ato formal, escrito, datado e assinado;
• identidade e contato do encarregado ficam publicados no site, de forma clara;
• pode ser alguém da equipe, um profissional externo ou uma empresa, sem exigência de certificação específica;
• pode acumular funções, desde que não haja conflito de interesse.

Agentes de pequeno porte

A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e pessoas naturais, de indicar encarregado. Quem usa a dispensa precisa manter um canal de comunicação com o titular. Esses agentes também têm prazos em dobro em várias obrigações, como responder aos titulares e comunicar incidentes.

Há um porém importante para clínicas. A resolução não vale para quem faz tratamento de alto risco. O art. 4º considera alto risco o tratamento que atende, ao mesmo tempo, a um critério geral (larga escala ou potencial de afetar significativamente interesses e direitos fundamentais dos titulares) e a um critério específico. O uso de dados sensíveis é um dos critérios específicos. Como toda clínica trata dados de saúde, a resposta depende do critério geral, e essa análise vale fazer com seu advogado. Mesmo quando a dispensa se aplica, a resolução trata a indicação de encarregado como boa prática.

Controle de acesso: cada um vê só o que precisa

A LGPD exige medidas de segurança técnicas e administrativas para proteger os dados de acessos não autorizados e de situações de destruição, perda ou vazamento (art. 46).

• Login individual. Nada de senha compartilhada na recepção.
• Perfis por função. Recepção vê agenda e cadastro, faturamento vê guias, prontuário fica com os profissionais de saúde.
• Registro de acessos. Saber quem abriu qual prontuário, e quando, ajuda a investigar problemas e desestimula a curiosidade.
• Desligamento no mesmo dia. Quando alguém sai da equipe, o acesso sai junto.
• Backup e atualização. Cópias de segurança fora do computador da clínica e sistemas sempre atualizados.
• Papel também conta. Fichas e prontuários físicos ficam em armário trancado.

Na Stenci, perfis de acesso por função, prontuário sigiloso e auditoria de acessos com retenção de 2 anos ajudam a clínica nessa parte. Os detalhes estão na página de segurança.

Recepção: onde a privacidade mais escapa

Alguns cuidados simples resolvem boa parte do risco:

• chame o paciente pelo nome, sem citar exame ou especialidade em voz alta;
• posicione as telas fora da vista da sala de espera e ative o bloqueio automático;
• não deixe lista de pacientes, guias ou pedidos de exame sobre o balcão;
• ao telefone, confirme a identidade antes de passar qualquer informação;
• não entregue resultado ou documento a terceiros sem autorização do paciente.

WhatsApp: prático e arriscado

É o canal mais usado com o paciente e merece regras claras:

• use número e aparelho da clínica, nunca o celular pessoal de um funcionário;
• proteja o aparelho com senha e limite quem tem acesso a ele;
• nas mensagens de confirmação e lembrete, não cite diagnóstico, exame delicado ou especialidade que exponha o paciente;
• antes de enviar um documento, confirme que o número é mesmo do paciente;
• registre as informações clínicas no prontuário, não só na conversa;
• fique atento aos backups automáticos do aplicativo em contas pessoais.

Fornecedores também tratam os dados dos seus pacientes

Sistema de gestão, contabilidade, suporte de TI, laboratório parceiro, agência de marketing. Quando uma empresa trata dados em nome da clínica, ela é operadora e deve seguir as instruções do controlador (art. 39). Na contratação, verifique:

• se o contrato tem cláusulas de proteção de dados, confidencialidade e aviso de incidentes;
• onde os dados ficam armazenados e como são protegidos;
• como funcionam backup e criptografia;
• o que acontece com os dados no fim do contrato e como você recebe uma cópia.

Esse último ponto pesa na hora de trocar de fornecedor. Veja como trocar de sistema médico sem perder dados.

Incidentes: tenha um plano antes de precisar

Incidente é qualquer evento que comprometa a segurança de dados pessoais: vazamento, acesso indevido, perda de um notebook, ataque de sequestro de dados, documento enviado ao paciente errado.

A LGPD manda comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante (art. 48). A Resolução CD/ANPD nº 15/2024 diz que isso acontece quando o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares e envolve pelo menos um critério da lista, entre eles dados sensíveis e dados protegidos por sigilo profissional. Em clínica, portanto, muitos incidentes se enquadram.

O que a resolução estabelece:

• comunicação à ANPD em três dias úteis;
• comunicação ao paciente afetado em três dias úteis, contados de quando a clínica sabe que o incidente atingiu dados pessoais;
• prazos de comunicação em dobro para agentes de pequeno porte;
• registro de todo incidente, inclusive dos não comunicados, por no mínimo cinco anos.

Três dias passam rápido. Deixe escrito, antes, quem a equipe avisa, como conter o problema (trocar senhas, bloquear acessos), como levantar quais dados e pacientes foram afetados e quem decide a comunicação, com apoio jurídico.

Checklist rápido

Ação	Responsável sugerido
Mapear dados tratados e bases legais	Gestor, com advogado
Designar encarregado ou canal de atendimento ao titular	Gestor
Publicar aviso de privacidade no site e na recepção	Encarregado
Revisar perfis de acesso e desligamentos	Gestor e TI
Treinar recepção e uso do WhatsApp	Encarregado
Revisar contratos com fornecedores	Advogado
Montar e testar o plano de incidentes	Encarregado e TI

Conclusão

LGPD na clínica não se resolve com um termo assinado na recepção. Ela depende de processo: saber quais dados você trata e por quê, limitar o acesso, orientar a equipe, cuidar dos fornecedores e ter um plano para incidentes. Um sistema com controle de acesso e registro de auditoria ajuda bastante, mas a adequação também passa por pessoas e contratos, e os pontos jurídicos merecem revisão de um advogado. Se quiser ver como a Stenci apoia essa rotina, fale com a gente.