LGPD na saúde: guia prático e checklist para clínicas e consultórios

A LGPD vale para toda clínica e consultório, de qualquer tamanho, e a saúde está no grupo mais protegido da lei: dado referente à saúde é dado pessoal sensível (Lei 13.709/2018, art. 5º, II). Isso não significa pedir consentimento para tudo. Para atender o paciente, a clínica usa a base legal da tutela da saúde (art. 11, II, f) e, para guardar o prontuário, o cumprimento de obrigação legal (art. 11, II, a). Consentimento específico e destacado fica para o que vai além do atendimento, como usar foto em divulgação. O que a lei exige de toda clínica é: saber que dados trata e por quê, proteger esses dados, atender os pedidos do paciente, ter um canal de contato (o encarregado) e comunicar incidente grave à ANPD e aos pacientes em até três dias úteis.

Este guia explica cada ponto com exemplos de clínica e termina com um checklist. Não substitui um advogado, mas resolve a maior parte das dúvidas do dia a dia.

Os conceitos que importam

Desde 2026, a ANPD se chama Agência Nacional de Proteção de Dados (redação dada pela Lei 15.352/2026). A sigla continua a mesma.

Bases legais: o que autoriza a clínica a tratar dados

Todo uso de dado precisa de uma base legal. Para dado comum, as bases estão no art. 7º. Para dado sensível, como os de saúde, valem só as do art. 11. As que a clínica mais usa:

Consentimento x tutela da saúde

O erro mais comum é tratar o consentimento como a base de tudo. Ele tem três problemas na saúde:

1. Pode ser revogado a qualquer momento (art. 8º, §5º). Se o prontuário dependesse de consentimento, o paciente poderia pedir para apagá-lo, e a clínica não pode, porque a guarda é obrigatória por pelo menos 20 anos a partir do último registro (Lei 13.787/2018, art. 6º).
2. Precisa ser específico. Autorização genérica é nula (art. 8º, §4º). "Autorizo o uso dos meus dados" num termo de cadastro não vale para nada.
3. O ônus da prova é da clínica (art. 8º, §2º). Se não guardou, é como se não tivesse.

Por isso, para o atendimento em si, a base é a tutela da saúde, que não depende de consentimento. A dispensa do consentimento, porém, não dispensa o resto da lei: finalidade, necessidade, segurança e direitos do titular continuam valendo (art. 7º, §6º).

Compartilhar dado de saúde

O art. 11, §4º, proíbe comunicar ou compartilhar dado de saúde entre controladores para obter vantagem econômica, salvo em serviços de saúde, assistência farmacêutica e assistência à saúde em benefício do titular, para portabilidade pedida pelo paciente e para as transações financeiras e administrativas desses serviços.

Na prática:

• enviar guia e documentos à operadora para faturar o atendimento: permitido, faz parte da prestação do serviço;
• encaminhar exame ao laboratório de apoio: permitido, com contrato;
• vender ou ceder lista de pacientes a parceiro comercial: proibido.

E o sigilo profissional segue valendo por cima da LGPD. Para médicos, o art. 73 do Código de Ética Médica proíbe revelar fato conhecido no exercício da profissão, salvo justo motivo, dever legal ou consentimento por escrito do paciente.

Direitos do paciente e como responder

O art. 18 garante ao titular, entre outros: confirmação de que a clínica trata seus dados, acesso, correção, anonimização ou eliminação do que for desnecessário, portabilidade, informação sobre com quem os dados foram compartilhados e revogação do consentimento.

O atendimento do pedido é gratuito (art. 18, §5º). Guarde o registro de cada pedido e da resposta.

Encarregado: precisa ter?

A regra geral é que o controlador indique um encarregado e divulgue nome e contato, de preferência no site (art. 41). Ele recebe reclamações dos pacientes, comunicações da ANPD e orienta a equipe.

Existe uma flexibilização para agentes de pequeno porte, que podem apenas manter um canal de comunicação. Mas a Resolução CD/ANPD 2/2022 tira o tratamento diferenciado de quem faz tratamento de alto risco (art. 3º). Alto risco é a soma de um critério geral, como larga escala, com um específico, e uso de dado sensível é um dos específicos (art. 4º). Uma clínica com muitos pacientes pode se enquadrar. Na dúvida, indique um encarregado: é simples e evita discussão.

O encarregado pode ser alguém da equipe ou um serviço externo. Formalize a indicação por escrito.

Incidente de segurança: o que fazer e em quanto tempo

Incidente é qualquer acesso indevido, vazamento, perda ou destruição de dados. Exemplos de clínica: celular da recepção com o WhatsApp da clínica roubado, planilha de pacientes enviada para o grupo errado, computador sequestrado por ransomware, ex-funcionário que continua com senha ativa.

O art. 48 obriga a clínica a comunicar à ANPD e aos pacientes o incidente que possa causar risco ou dano relevante. A Resolução CD/ANPD 15/2024 fixou o prazo em três dias úteis. Segundo a ANPD, a comunicação pode ser preliminar e complementada em até 20 dias úteis, e dado sensível é um dos exemplos de risco relevante. Ou seja: incidente com prontuário quase sempre precisa ser comunicado.

Roteiro para a primeira hora:

1. Conter: trocar senhas, revogar acessos, desconectar a máquina afetada, pedir bloqueio remoto do aparelho.
2. Registrar: o que aconteceu, quando foi descoberto, que dados e quantos pacientes, o que foi feito.
3. Avaliar o risco: havia dado de saúde? Os dados estavam cifrados (o art. 48, §3º, considera isso)?
4. Comunicar à ANPD pelo SEI, em formulário próprio, e aos pacientes afetados, em linguagem simples, pelo canal que a clínica já usa com eles.
5. Corrigir a causa e documentar.

Fornecedores, sistemas e dados fora do Brasil

O sistema de gestão, o laboratório de apoio, o contador e a empresa de TI são operadores: tratam dados seguindo as instruções da clínica (art. 39). A clínica continua responsável pela escolha. Exija contrato com cláusulas de proteção de dados, pergunte como são feitos backup, controle de acesso e registro de quem acessou o quê.

Transferência internacional. Quando os dados ficam em servidores fora do país, há transferência internacional, que só é permitida nas hipóteses do art. 33, como cláusulas contratuais aprovadas pela ANPD. Muitos sistemas e serviços de nuvem usam servidores no exterior. Pergunte ao fornecedor onde ficam os dados e qual hipótese do art. 33 ampara a transferência, e registre isso no seu inventário. O Elim, por exemplo, usa servidores nos Estados Unidos, com cópias de segurança cifradas, e essa pergunta vale para ele também.

WhatsApp, recepção e o dia a dia

Grande parte dos incidentes em clínica não é ataque, é rotina mal desenhada:

• Não mande diagnóstico, resultado de exame ou receita para número não confirmado. Confirme nome e data de nascimento antes.
• Não use celular pessoal para conversar com pacientes. Quando a pessoa sai da clínica, as conversas vão junto.
• Senha individual para cada pessoa no sistema. Login compartilhado impede saber quem acessou o prontuário.
• Tela virada para longe do balcão e agenda impressa fora da vista dos pacientes.
• Mensagem de lembrete sem dado clínico. "Sua consulta com a Dra. Ana amanhã às 14h" é suficiente; o nome do exame ou do procedimento pode expor o paciente para quem pegar o celular dele.

Roteiros prontos para a recepção estão em secretária de clínica: rotina e roteiros.

Segurança mínima

O art. 46 pede medidas técnicas e administrativas aptas a proteger os dados. Para uma clínica, o mínimo razoável:

• acesso por perfil (a recepção não precisa ler a evolução clínica);
• registro de quem acessou cada prontuário;
• senhas fortes e segundo fator de autenticação onde houver;
• backup automático e testado;
• computadores com sistema atualizado e antivírus;
• desligamento imediato dos acessos de quem sai da equipe;
• treinamento da equipe ao menos na entrada.

Checklist LGPD para a clínica

Mapeamento

• Lista de dados que a clínica coleta, para que e com qual base legal
• Lista de operadores (sistema, laboratório, contador, TI) com contrato
• Onde ficam os dados e, se fora do país, com qual amparo do art. 33

Transparência

• Aviso de privacidade no site e na recepção
• Encarregado indicado por escrito, com nome e contato publicados
• Canal para o paciente fazer pedidos

Consentimento (só onde precisa)

• Termo específico para uso de imagem e depoimento
• Registro de quem consentiu, quando e para quê
• Forma simples de revogar

Segurança

• Acesso individual e por perfil
• Registro de acesso ao prontuário
• Backup testado
• Processo de desligamento de acessos

Incidentes

• Responsável definido
• Roteiro de contenção e comunicação
• Registro de todos os incidentes, mesmo os não comunicados

Direitos do titular

• Fluxo para responder acesso imediato e declaração completa em 15 dias
• Modelo de resposta para pedido de exclusão de prontuário
• Registro de oposição a mensagens

O que o Elim já faz

O Elim pede consentimento no agendamento online, exporta os dados de um paciente quando ele pede, permite anonimizar cadastros, registra quem acessou cada prontuário e aplica prazos de retenção. O paciente que pede para não receber mensagens deixa de recebê-las. Usuários têm papéis (administrador, gestor, médico, recepção) com permissões ajustáveis por pessoa. Os servidores ficam nos Estados Unidos, com cópias de segurança cifradas. Para entender o que mais avaliar num sistema, veja como escolher um sistema para clínica e o que a lei exige do prontuário eletrônico.

Leia também

• LGPD na recepção da clínica: cuidados do dia a dia
• Dados de paciente no WhatsApp: o que a LGPD pede da clínica
• WhatsApp da clínica no celular pessoal: riscos e como sair