LGPD para clínicas e consultórios: o guia prático para proteger dados de pacientes

Abra a recepção de uma clínica comum e você vai encontrar os dados mais sensíveis que uma pessoa tem espalhados nos lugares mais frágeis: a lista de pacientes no WhatsApp pessoal da secretária, exames baixados em uma pasta compartilhada do Google Drive, um caderno de recados com nome, telefone e queixa, e um grupo de WhatsApp onde a equipe comenta o caso do paciente das 15h. Nada disso é má-fé. É o improviso que virou rotina — e é exatamente o tipo de rotina que a LGPD para clínicas e consultórios passou a cobrar.

A lei deixou de ser um assunto distante de hospital grande. Dado de saúde é a categoria mais protegida da Lei Geral de Proteção de Dados, e quem cuida de paciente lida com esse dado o dia inteiro, muitas vezes tratando como recado o que a lei trata como informação sensível. Este guia mostra o que a LGPD realmente exige de uma clínica, desfaz o mito mais comum sobre consentimento, explica a guarda do prontuário e aponta o caminho para se adequar sem transformar a operação em um cartório.

Por que o dado de saúde é o mais protegido da lei

A LGPD (Lei nº 13.709/2018) separa os dados em duas classes, e o que a clínica manuseia cai na mais rígida. Nome e telefone são dados pessoais comuns. Já informação sobre saúde — diagnóstico, exame, histórico, prescrição — é classificada pelo artigo 11 como dado pessoal sensível, ao lado de dados como origem racial, opinião política e biometria. Sensível quer dizer que um vazamento causa dano concreto: constrangimento, discriminação, quebra do sigilo que sustenta a relação médico-paciente.

Por isso o regime é mais duro. A clínica não precisa se comparar a um hospital para estar na mira da lei: um consultório de um profissional só, com uma recepcionista, já é o que a LGPD chama de agente de tratamento de dados — e responde como tal. O tamanho muda o peso das obrigações, não o fato de que elas existem.

O tamanho do risco parou de ser teórico

Durante os primeiros anos a LGPD foi tratada como lei que "não pega". Esse tempo acabou. A Autoridade Nacional de Proteção de Dados (ANPD) definiu a saúde como um dos setores prioritários da sua fiscalização, olhando especialmente para clínicas, laboratórios e planos que tratam dados de saúde e biometria. E já saiu do aviso para a ação: a agência instaurou processo de sanção contra uma organização que expôs dados sensíveis de cerca de 500 mil pacientes após uma falha de segurança.

As penalidades não são simbólicas. O artigo 52 da lei prevê advertência, bloqueio ou eliminação dos dados e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Para uma clínica, mesmo a ponta menor dessa escala — mais a exposição pública de um vazamento — é o tipo de golpe que a reputação demora anos para absorver. E o cenário de partida é frágil: levantamentos de mercado estimam que cerca de 80% das empresas brasileiras ainda não estão totalmente adequadas à lei (número a ser lido como estimativa, não como dado oficial do setor de saúde).

O mito do consentimento: o erro que quase toda clínica comete

Aqui mora a maior confusão. Virou senso comum que "a LGPD obriga a pedir autorização para tudo", e clínicas passaram a colher assinaturas de consentimento para poder... atender. Está errado — e o erro atrapalha mais do que ajuda.

A lei oferece várias bases legais para tratar um dado, e o consentimento é apenas uma delas. Para o ato de cuidar, o artigo 11 traz a base da tutela da saúde: o tratamento de dados sensíveis feito por profissionais de saúde, serviços de saúde ou autoridade sanitária, em procedimento de cuidado, é permitido sem depender de consentimento. Ou seja: registrar o prontuário, guardar o histórico, anotar a evolução do paciente não exige um "eu concordo" — a base legal já é o próprio cuidado.

O consentimento entra em outra situação, e é justamente onde a clínica costuma pecar sem perceber: comunicação de marketing. Mandar promoção de procedimento estético, campanha de reativação ou oferta pelo WhatsApp é outra finalidade, e essa exige opt-in — autorização prévia, específica e que você consiga comprovar depois. Um lembrete de consulta se apoia na relação de cuidado; um disparo em massa oferecendo pacote de check-up, não. Confundir os dois é o caminho mais curto para uma reclamação. Se o WhatsApp é o canal central do seu atendimento, vale entender os limites com calma em WhatsApp Business para clínica.

Prontuário: por quanto tempo guardar (e como descartar)

Uma dúvida prática que a LGPD reacende: se a lei pede que o dado não fique guardado além do necessário, posso apagar o prontuário do paciente que sumiu? Não por conta própria. A guarda do prontuário tem prazo próprio: a Lei nº 13.787/2018 e a Resolução CFM nº 1.821/2007 estabelecem o mínimo de 20 anos a contar do último registro do paciente. Antes disso, descartar é que seria irregular.

Passado o prazo, o descarte é permitido — mas com método. A eliminação precisa preservar sigilo e rastreabilidade, acompanhada de um termo que registre a identificação do paciente, o número do prontuário, a data do último registro e a forma de destruição. Guardar demais, sem segurança, e apagar de menos, sem critério, são os dois extremos que a boa gestão de dados evita.

Preciso de um encarregado (DPO)? E o que mais fazer

O encarregado — o famoso DPO — é a pessoa que faz a ponte entre a clínica, os pacientes e a ANPD. A boa notícia para o consultório pequeno: a Resolução CD/ANPD nº 2/2022 dispensou os agentes de tratamento de pequeno porte (microempresas e empresas de pequeno porte) da obrigação de nomear um encarregado formal. A ressalva importante: dispensa não é isenção. Mesmo o pequeno porte precisa manter um canal de comunicação com o titular dos dados, e clínicas que tratam grande volume de dados sensíveis podem cair na exceção de "alto risco", que reativa a exigência. Na dúvida, indicar um responsável continua sendo boa prática.

Além disso, a adequação prática de uma clínica cabe em algumas frentes concretas:

• Mapear os dados. Saber quais dados você coleta, onde ficam, quem acessa e por quanto tempo. É o passo que revela os riscos escondidos — como a planilha no computador da recepção que todo mundo abre.
• Definir a base legal certa para cada uso: tutela da saúde para o cuidado, consentimento para marketing, e assim por diante.
• Controlar o acesso. Nem todo mundo na clínica precisa ver tudo. A recepção agenda; ela não precisa enxergar a evolução clínica do paciente.
• Proteger tecnicamente. Senha individual, dados em ambiente seguro, fim do prontuário em pasta compartilhada e do histórico no WhatsApp pessoal.
• Ter um plano para incidentes. Saber o que fazer — e comunicar a ANPD e o paciente — se um vazamento acontecer.

As camadas de segurança que uma clínica deveria exigir da tecnologia

Toda essa adequação — mapear dados, controlar acesso, guardar com segurança — depende de um detalhe que quase ninguém pergunta: onde a informação realmente mora. Uma política de privacidade colada na parede não protege nada se o prontuário está num drive compartilhado e o banco de dados da clínica divide o mesmo servidor com outras centenas de empresas. Segurança de dados de saúde se sustenta em camadas concretas — isolamento, criptografia, cópia de segurança, controle de quem acessa o quê e trilha do que foi feito. É a diferença entre dizer que respeita a LGPD e ter uma estrutura em que respeitar a LGPD é o caminho natural. Na hora de escolher uma plataforma, essas camadas deveriam ser o primeiro item da lista, não uma nota de rodapé.

Por onde começar a adequação ainda esta semana

Adequar-se à LGPD não é um projeto de dois anos com um batalhão de advogados. É uma sequência de decisões simples, começando pelas que mais reduzem risco:

• Tire o dado sensível dos lugares frágeis. Prontuário sai da pasta compartilhada; histórico de paciente sai do WhatsApp pessoal. Só isso já derruba boa parte da exposição.
• Feche o acesso. Senha individual por pessoa e permissão pelo que cada função precisa ver.
• Separe cuidado de marketing. Continue atendendo pela base da tutela da saúde; para promoção, colha o opt-in e guarde o registro.
• Respeite o prazo do prontuário. Guarde os 20 anos e só descarte com termo e rastreabilidade.
• Centralize. Dado em uma plataforma segura é mais fácil de proteger, de auditar e de comprovar do que dado espalhado em cinco ferramentas.

No fundo, proteger dados é parte de organizar a operação — não um departamento à parte. Uma clínica que centraliza a informação atende melhor, decide com mais clareza e, de quebra, dorme mais tranquila com a lei. Se quiser enxergar o quadro completo, vale ler o guia-pilar sobre gestão de clínica médica e entender como a camada administrativa se separa da clínica em um atendimento com IA.

Perguntas frequentes sobre LGPD para clínicas e consultórios

A LGPD se aplica a consultórios pequenos e a um profissional só?

Sim. Qualquer clínica ou consultório que colete e trate dados de pacientes é considerado agente de tratamento de dados pela LGPD, independentemente do tamanho. O porte reduz algumas obrigações formais — como a nomeação obrigatória de um encarregado —, mas não isenta o consultório de proteger os dados e respeitar a lei.

Preciso do consentimento do paciente para atender e guardar o prontuário?

Não para o ato de cuidado. O artigo 11 da LGPD permite tratar dados de saúde pela base legal da tutela da saúde, feita por profissionais e serviços de saúde, sem depender de consentimento. O consentimento passa a ser necessário em outras finalidades, como enviar comunicações de marketing e promoções ao paciente.

Por quanto tempo a clínica deve guardar o prontuário?

No mínimo 20 anos a contar do último registro do paciente, conforme a Lei nº 13.787/2018 e a Resolução CFM nº 1.821/2007. Só após esse prazo o descarte é permitido, e ainda assim com sigilo, rastreabilidade e um termo de eliminação que documente o processo.

Qual a multa da LGPD para uma clínica?

O artigo 52 da lei prevê advertência, bloqueio ou eliminação dos dados e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. A ANPD colocou o setor de saúde entre as prioridades de fiscalização e já abriu processos sancionadores por vazamento de dados de pacientes.

Como a clínica garante a segurança dos dados dos pacientes?

A segurança de dados de saúde se apoia em camadas concretas de infraestrutura: isolar o banco de dados (idealmente em ambiente dedicado por cliente), criptografar as informações, manter backups, restringir o acesso por perfil e registrar uma trilha de auditoria. Plataformas de gestão pensadas para a saúde já trazem essas camadas por padrão, o que reduz o esforço da clínica para se manter em conformidade com a LGPD.