LGPD em clínicas: o que muda no tratamento de dados de pacientes

A LGPD (Lei nº 13.709/2018) trata dado de saúde de forma diferente de todo o resto. Ele é classificado como dado pessoal sensível, na mesma categoria de origem racial, convicção religiosa e dado genético ou biométrico. Essa classificação não é um detalhe de vocabulário jurídico: ela muda as regras de quando você pode tratar o dado, por quanto tempo e sob quais controles.

Para uma clínica, isso significa que praticamente todo o núcleo da operação — prontuário, agenda, exames, faturamento — trabalha com a categoria mais protegida da lei.

Consentimento não é a única base legal — nem a principal

O erro mais comum é acreditar que conformidade se resolve com um termo de consentimento na recepção.

A LGPD prevê hipóteses específicas para dado sensível, e a mais relevante para a assistência não é o consentimento: é a tutela da saúde, exercida por profissionais de saúde ou serviços de saúde. Ou seja, atender um paciente não depende de ele assinar um termo autorizando o registro clínico — a própria prestação do cuidado é a base.

Onde o consentimento continua importando é fora do núcleo assistencial: comunicação de marketing, envio de campanhas, uso de imagem, compartilhamento com terceiros que não participam do cuidado. São finalidades distintas e precisam ser tratadas como tal.

A consequência prática é direta: cada finalidade precisa de base legal própria. Usar o telefone do cadastro para confirmar consulta é uma coisa; usar o mesmo telefone para divulgar um novo serviço é outra.

Retenção: guardar por quanto tempo

Aqui a LGPD conversa com a regulação médica, e as duas apontam para o mesmo lado.

O princípio da LGPD é a necessidade — não guardar dado além do que a finalidade exige. Mas a legislação e a normativa do setor de saúde impõem prazos mínimos de guarda do prontuário, o que constitui obrigação legal e regulatória para reter.

O resultado é que uma clínica não pode simplesmente apagar prontuário a pedido do paciente. O direito de eliminação previsto na LGPD não se sobrepõe a uma obrigação legal de guarda. O que a clínica precisa é conseguir explicar e demonstrar essa política: o que guarda, por quanto tempo, com que fundamento e o que faz quando o prazo vence.

Os controles que a lei espera ver

A LGPD não publica uma lista de tecnologias obrigatórias. Ela exige medidas de segurança “técnicas e administrativas” adequadas ao risco — e o risco de dado de saúde é alto por definição. Na prática, o que se espera de um sistema clínico:

• Controle de acesso por papel. A recepção não precisa ver evolução clínica. O acesso é definido pela função, não pela conveniência.
• Rastreabilidade. Registro de quem acessou qual prontuário e quando. Sem log de acesso, é impossível responder a um incidente ou a uma fiscalização.
• Criptografia em trânsito e em repouso.
• Segregação de ambientes. Dado real de paciente não deve circular em ambiente de teste ou homologação.
• Gestão do ciclo de vida do acesso. Quando alguém sai da equipe, o acesso sai junto — no mesmo dia.
• Contratos com fornecedores. Quem hospeda, dá suporte ou processa dado por você entra na cadeia de responsabilidade.

Nenhum desses itens é exótico. O que costuma faltar não é a tecnologia — é alguém responsável por verificar que continuam valendo seis meses depois.

Incidente de segurança: o relógio começa a correr

Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, existe dever de comunicação à ANPD e aos titulares afetados em prazo razoável.

O ponto operacional é que um plano de resposta escrito depois do incidente já chegou tarde. Vale ter definido de antemão: quem decide se é incidente reportável, quem comunica, o que se diz ao paciente e como se reconstrói o que aconteceu — o que só é possível se houver log.

O papel do encarregado (DPO)

A lei prevê a figura do encarregado pelo tratamento de dados, com identidade e canal de contato divulgados publicamente. Para clínicas menores, a função costuma ser acumulada — o que é aceitável, desde que a pessoa exista de fato, saiba que exerce o papel e tenha por onde ser contatada.

Onde a conformidade encosta na arquitetura

A parte que mais atrasa projeto é tratar conformidade como auditoria de última hora. Controle de acesso por papel, log de auditoria e segregação de ambiente são decisões de arquitetura: baratas quando tomadas no início, caras quando viram retrofit em sistema em produção.

É por isso que tratamos conformidade como requisito técnico e não como anexo do contrato — o mesmo raciocínio que aplicamos em Cloud & Conformidade e em Segurança & Conformidade.

Um roteiro curto para começar

1. Inventarie. Que dado de paciente existe, em que sistema, sob responsabilidade de quem.
2. Mapeie finalidades. Para que cada dado é usado — e qual base legal sustenta cada uso.
3. Revise acessos. Quem enxerga o quê hoje, e por quê.
4. Verifique os logs. Se ninguém consegue dizer quem abriu um prontuário na semana passada, esse é o primeiro item.
5. Escreva a política de retenção. Prazos, fundamento e o que acontece no vencimento.
6. Feche a cadeia de fornecedores. Contratos e responsabilidades com quem toca o dado.

Este texto é uma leitura técnica de requisitos de tecnologia da informação e não constitui orientação jurídica. Decisões de conformidade devem ser validadas com assessoria jurídica da própria instituição.

---

Precisa de uma leitura técnica da sua operação? Fale com a gente.