Por que a LGPD ainda preocupa gestores de clínicas em 2026
A Lei Geral de Proteção de Dados (Lei 13.709/2018) está em vigência plena há vários anos, mas a adequação real do setor de saúde ainda é desigual — boa parte das clínicas de pequeno e médio porte convive com lacunas relevantes de conformidade. A Autoridade Nacional de Proteção de Dados (ANPD) ampliou sua atuação fiscalizatória e já publicou processos sancionadores, o que torna o tema um risco presente, não hipotético. Saúde é, por definição, tratamento de dados sensíveis em larga escala — exatamente o perfil que atrai atenção regulatória.
Para o gestor, a boa notícia é que a adequação não precisa ser um projeto de anos nem exigir consultoria cara. Com foco nos pontos críticos do setor, é possível atingir um nível defensável de conformidade em semanas. Este guia apresenta o caminho mais direto — e, por envolver decisões jurídicas, recomendo validar o resultado com um advogado especializado em proteção de dados na saúde.
O que a LGPD considera dado sensível na saúde
A lei classifica como dados pessoais sensíveis qualquer informação referente à saúde ou à vida sexual do titular (art. 5º, II). Na rotina da clínica, isso inclui:
- Prontuários e registros de atendimento
- Diagnósticos, laudos e resultados de exames
- Prescrições médicas
- Informações sobre plano de saúde e histórico de cobranças
- Fotos clínicas de procedimentos
- Dados de triagem e anamnese
Dados sensíveis exigem tratamento reforçado: base legal específica do art. 11, medidas de segurança mais rígidas e, em finalidades secundárias, consentimento explícito do paciente.
Bases legais que a clínica pode usar
A LGPD não exige que tudo passe por consentimento — e na saúde isso é especialmente relevante, porque o consentimento pode ser revogado a qualquer momento, criando instabilidade operacional. Apoiar o prontuário em consentimento é um erro comum: se o paciente revoga, a clínica ainda tem obrigação legal de guardar o registro. As principais bases legais para clínicas são:
- Tutela da saúde (art. 11, II, f): cobre o tratamento realizado por profissionais de saúde para prestação de serviços de assistência à saúde. É a base mais sólida para o prontuário e o atendimento.
- Cumprimento de obrigação legal ou regulatória (art. 11, II, a): sustenta a retenção do prontuário pelo prazo mínimo definido pelo CFM (Resolução CFM 1.821/2007).
- Consentimento (art. 11, I): indicado para finalidades secundárias — marketing, pesquisa, compartilhamento com terceiros não essenciais ao atendimento.
Documentar qual base legal sustenta cada tratamento é a primeira ação prática a implementar. Esse mapa de bases legais é também o documento que a ANPD pede primeiro em uma fiscalização.
O mapeamento de dados: por onde começar
Antes de qualquer política ou documento, a clínica precisa saber o que trata, onde armazena e com quem compartilha. O mapeamento de dados (inventário ou ROPA — Registro das Operações de Tratamento) responde a quatro perguntas:
- O quê: quais categorias de dados são coletadas (cadastro, prontuário, financeiro)?
- Por quê: qual a finalidade de cada tratamento?
- Onde: em qual sistema, pasta ou planilha ficam armazenados?
- Quem acessa: quais colaboradores e quais fornecedores têm acesso?
Para uma clínica de pequeno porte, esse mapeamento pode ser feito em uma tarde com uma planilha simples. O importante é manter o documento atualizado e revisá-lo ao menos uma vez por ano.
Medidas técnicas obrigatórias
A LGPD exige que o controlador adote medidas técnicas e administrativas aptas a proteger os dados (art. 46). Na prática da clínica, isso significa:
Controle de acesso por perfil
Cada colaborador deve acessar apenas os dados necessários à sua função. A recepção não precisa ver o conteúdo clínico do prontuário; o profissional não precisa ver o financeiro de outros pacientes. Sistemas de prontuário eletrônico com perfis de acesso configuráveis resolvem isso de forma nativa, e o log de acesso ajuda a demonstrar quem viu o quê.
Criptografia e armazenamento seguro
Dados em trânsito (e-mail, mensagens) e em repouso (servidor ou nuvem) devem ser protegidos por criptografia. Sistemas de gestão sérios já oferecem isso — confirme que o contrato com o fornecedor inclui cláusula de segurança da informação.
Política de senhas e autenticação
Senhas fracas ou compartilhadas são a principal porta de entrada para incidentes. Estabeleça troca periódica, proíba contas compartilhadas e, sempre que possível, ative autenticação em dois fatores.
Descarte seguro
Fichas antigas em papel, receitas e exames físicos devem ser destruídos por fragmentação. Mídias digitais descartadas precisam ter os dados apagados de forma irreversível, não apenas "jogados na lixeira".
Contratos com operadores: o ponto que mais clínicas ignoram
Todo fornecedor que processa dados de pacientes em nome da clínica — sistema de prontuário, laboratório parceiro, plataforma de telemedicina, empresa de cobrança — é um operador de dados. A LGPD exige que essa relação seja formalizada em contrato com cláusulas específicas de proteção de dados (art. 39). Revise seus contratos atuais e solicite aditivo ou DPA (Acordo de Tratamento de Dados) aos principais fornecedores. Empresas de tecnologia sérias já disponibilizam esse documento sob demanda.
Quando nomear um encarregado (DPO)
O Encarregado pelo Tratamento de Dados é a figura que faz a ponte entre a clínica, os titulares e a ANPD. Para grandes operações, a designação é incontornável; para clínicas de pequeno porte, a ANPD admite arranjos simplificados — inclusive encarregado compartilhado ou terceirizado. Se a clínica não justifica um encarregado dedicado, ao menos designe um responsável interno pelo tema e publique um canal de contato para solicitações de titulares.
Direitos dos pacientes que a clínica deve estar pronta para atender
Todo paciente pode, a qualquer momento, confirmar a existência de tratamento, acessar os dados que a clínica mantém, corrigir informações desatualizadas, solicitar portabilidade do prontuário e revogar consentimentos dados para finalidades secundárias. Prepare um procedimento interno para responder em prazo razoável. Ignorar um pedido é uma das infrações mais fáceis de comprovar em uma fiscalização — basta o titular registrar a reclamação.
Checklist rápido de conformidade
- Mapeamento de dados atualizado (ROPA)
- Bases legais documentadas para cada tratamento
- Controles de acesso configurados no sistema
- Contratos com operadores revisados e com cláusulas de proteção de dados
- Canal de atendimento a titulares publicado
- Política interna de senhas e descarte de documentos
- Responsável pelo tema designado
A conformidade não é um estado que se atinge uma vez — é um processo contínuo. Mas com esse checklist em dia, a clínica fica em posição muito mais defensável. O passo natural seguinte é revisar o documento que materializa boa parte disso na ponta: veja como estruturar o termo de consentimento informado dentro da LGPD.
Perguntas frequentes
A LGPD obriga toda clínica a ter um DPO?
Não de forma automática. A obrigação é clara para operações de grande porte ou que tratam dados sensíveis em larga escala. Para clínicas pequenas, a ANPD admite arranjos simplificados, mas é recomendável designar ao menos um responsável interno e um canal de contato para titulares.
Preciso de consentimento do paciente para manter o prontuário?
Não. O prontuário se apoia na tutela da saúde (art. 11, II, f) e na obrigação legal de guarda definida pelo CFM. O consentimento fica reservado a finalidades secundárias, como marketing ou pesquisa.
Por quanto tempo a clínica deve guardar o prontuário?
A Resolução CFM 1.821/2007 estabelece guarda mínima de 20 anos a partir do último registro. Esse prazo é, inclusive, a base legal que justifica manter o dado mesmo após o fim do atendimento.
Usar WhatsApp para falar com paciente viola a LGPD?
Não por si só, mas exige cuidado. Evite enviar laudos e resultados de exame por canais sem proteção adequada, restrinja quem opera o número e oriente a equipe a confirmar a identidade do destinatário antes de compartilhar qualquer dado de saúde.
Qual o primeiro passo prático de adequação?
O mapeamento de dados (ROPA). Sem saber o que se trata, onde se armazena e com quem se compartilha, qualquer política vira documento de fachada. Comece por aí e, em seguida, documente as bases legais de cada tratamento.