LGPD em clínicas médicas: quais os protocolos obrigatórios para dados de saúde?

A LGPD ainda chega ao consultório como assunto para depois, até a notificação da ANPD aparecer no e-mail da clínica. A partir desse momento, o tempo para reagir é incomparavelmente menor do que o tempo que existia para se preparar.

O ponto cego é quase sempre o mesmo: clínicas com prontuário eletrônico instalado, mas sem mapeamento de dados, sem encarregado designado, sem política de incidente. A conformidade existe no papel e não opera na rotina.

A diferença entre a clínica que sustenta uma defesa e a que apenas declara estar em conformidade raramente está no software ou no volume de documentos arquivados. Está em saber quais dados se trata, com que base legal, quem responde por eles e o que se faz nos primeiros dias depois de uma falha.

Por que dados de saúde são dados sensíveis na LGPD

O sigilo em torno do paciente sempre foi pilar da relação médica, sustentado pelo art. 154 do Código Penal (crime de violação de segredo profissional), pelo Código de Ética Médica (Resolução CFM nº 2.217/2018, em especial os arts. 73 a 79) e pelo art. 5º, X, da Constituição Federal.

A LGPD (Lei 13.709/2018) agrega uma camada normativa adicional ao classificar dados de saúde como dados pessoais sensíveis (art. 5º, II), submetendo-os a regime mais rigoroso (art. 11). A consequência prática é dupla:

• As bases legais para tratamento são mais restritas do que as previstas para dados pessoais comuns.
• Incidentes envolvendo esses dados têm peso muito maior na dosimetria de sanções administrativas e de indenizações cíveis.

Para a clínica, isso significa que prontuários, diagnósticos, exames, prescrições, histórico familiar, plano terapêutico e até dados de agendamento (quando vinculados a especialidade) caem dentro do regime mais protetivo. Tratar tudo como dado comum é o erro estrutural mais frequente, e o que mais aparece em fiscalizações.

Bases legais que autorizam o tratamento de dados médicos

O art. 11 da LGPD traça as hipóteses em que se admite o tratamento de dados sensíveis. Três bases concentram, na prática clínica, a quase totalidade do tratamento legítimo:

• Tutela da saúde (art. 11, II, "f"): atendimento, internação, acompanhamento, perícia médica e procedimentos correlatos, exclusivamente quando realizados por profissionais ou serviços de saúde. Dispensa consentimento específico.
• Cumprimento de obrigação legal ou regulatória (art. 11, II, "a"): hipóteses como notificação compulsória de doenças (Lei 6.259/1975), comunicação à vigilância sanitária e reporte a órgãos de fiscalização. Também dispensa consentimento.
• Consentimento específico e destacado (art. 11, I): exigido para finalidades não cobertas pelas hipóteses acima, como marketing, pesquisa científica não anonimizada, compartilhamento com convênios para fins não estritamente assistenciais e programas de fidelização.

Confundir as bases é fonte recorrente de litígio. Tratar dados com finalidade de marketing ancorando-se na tutela da saúde é falha que se materializa em sanção quando o paciente reclama. Cada finalidade exige base legal específica e justificativa documentada, e a leitura técnica do mapeamento de dados, antes da fiscalização, costuma revelar margens defensivas que passam despercebidas em uma análise apenas operacional.

Encarregado de dados (DPO): obrigação e função na clínica médica

O art. 41 da LGPD exige que o controlador indique encarregado pelo tratamento de dados pessoais, figura também conhecida como DPO (Data Protection Officer). A clínica pode designar colaborador interno, advogado externo ou consultor especializado, desde que com autonomia e canal direto de comunicação. Por força do art. 41, §1º, a identidade e o contato do encarregado devem ser divulgados publicamente, de forma clara, preferencialmente no site institucional ou em material de fácil acesso ao paciente.

As atribuições mínimas do encarregado, em ambiente clínico, são quatro:

• Atender solicitações dos titulares (acesso, correção, portabilidade, eliminação de dados) e da ANPD, com prazos e protocolos formalizados.
• Auditar fluxos internos de coleta, acesso, compartilhamento e descarte de dados, incluindo recepção, prontuário eletrônico, faturamento e contratos com convênios.
• Coordenar a resposta a incidentes de segurança, do registro inicial à comunicação à autoridade.
• Capacitar as equipes assistencial e administrativa, já que a maior parte dos incidentes parte de erros operacionais simples, como confirmação de dados por telefone, envio de exame ao destinatário errado e compartilhamento informal de senha.

Indicar o encarregado apenas no papel, sem rotina efetiva, é exposição maior do que a ausência de indicação, porque transforma a estrutura formal em prova de descumprimento.

Medidas técnicas e organizacionais: o que efetivamente compõe a conformidade

O art. 46 da LGPD exige medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas. O texto é genérico por desenho, e a especificação fica para regulamentos da ANPD e boas práticas setoriais. Em ambiente clínico, a régua mínima reúne sete frentes:

• Controle de acesso lógico: senhas robustas, autenticação multifator nos sistemas críticos, perfis de acesso diferenciados por função e revogação imediata em desligamentos.
• Controle de acesso físico: arquivos trancados, áreas restritas com identificação e monitoramento por câmeras nos pontos sensíveis.
• Trilha de auditoria: logs preservados de acesso, edição, exportação e impressão de prontuários, com retenção compatível com o prazo legal de guarda.
• Capacitação periódica das equipes assistencial e administrativa, com treinamento documentado e renovação ao menos anual.
• Contratos com terceiros (laboratórios, planos, fornecedores de software, serviços de cobrança) com cláusulas de operador, sigilo, comunicação de incidente e auditabilidade.
• Políticas internas escritas sobre uso aceitável, descarte de documentos físicos com dados sensíveis (em conformidade com a regulamentação sanitária) e conduta diante de solicitações de terceiros.
• Plano de resposta a incidentes formalizado, com fluxograma, responsáveis nomeados e modelos de comunicação prontos.

Construir esses sete pilares depois que o incidente já ocorreu é trabalho mais caro e menos eficaz do que estruturá-los preventivamente. A janela útil entre identificar uma falha e enquadrar a defesa, quando a fiscalização chega, é tipicamente de poucos dias.

Procedimento em caso de incidente de segurança: prazos, conteúdo e cuidado

O art. 48 da LGPD impõe ao controlador o dever de comunicar à ANPD e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A lei fala em prazo razoável, e a régua concreta veio com a Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança), que fixou o prazo de três dias úteis para a comunicação à ANPD e aos titulares, contado do conhecimento, pelo controlador, de que o incidente afetou dados pessoais.

Quando a clínica ainda não dispõe de todas as informações, admite-se uma comunicação preliminar dentro desse prazo, com complementação fundamentada em até vinte dias úteis a contar da comunicação. O prazo de três dias úteis não se prorroga; o que se complementa é o conteúdo da comunicação já protocolada. Para agentes de tratamento de pequeno porte (microempresas, empresas de pequeno porte, startups e profissionais liberais, categoria em que muitas clínicas se enquadram), esses prazos são contados em dobro, na forma da Resolução CD/ANPD nº 2/2022.

O fluxo operacional, diante da ciência do incidente, segue seis etapas:

1. Identificar e isolar o incidente, definindo a natureza dos dados afetados, o volume, os titulares envolvidos e o vetor da falha (acesso indevido, perda, vazamento, envio errado, ataque cibernético).
2. Registrar formalmente em relatório de tratamento de incidente, com data, conteúdo, responsáveis e cronologia. O registro deve ser mantido por ao menos cinco anos, ainda que o incidente não seja comunicado.
3. Avaliar a relevância, isto é, o risco ou dano relevante aos titulares, conforme os critérios da Resolução nº 15/2024 (em regra, dados sensíveis, escala e possibilidade de dano material ou moral).
4. Comunicar à ANPD dentro do prazo regulamentar, com o conteúdo mínimo exigido (descrição, categorias de dados, número de titulares, medidas adotadas e contato do encarregado).
5. Comunicar os titulares afetados, em linguagem clara, com orientações de mitigação quando aplicáveis.
6. Implementar medidas corretivas e estruturais para evitar a repetição, documentando todo o processo.

Comunicar tarde, comunicar mal ou subavaliar o incidente é, com frequência, mais oneroso do que o próprio incidente. Pronta comunicação e mitigação documentada são, na prática regulatória atual, fatores relevantes na atenuação da responsabilidade. Cada dia de demora estreita as alternativas defensivas disponíveis.

Sanções administrativas e exposição cível

O art. 52 da LGPD prevê o repertório sancionatório aplicável pela ANPD, que opera de forma gradativa e cumulativa:

• Advertência, com indicação de prazo para a adoção de medidas corretivas.
• Multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.
• Multa diária, observado o limite global da multa simples.
• Publicização da infração, bloqueio dos dados, eliminação dos dados e suspensão parcial ou total da atividade de tratamento.

A exposição não termina na esfera administrativa. O Código de Defesa do Consumidor (Lei 8.078/1990), aplicável à relação entre clínica e paciente como prestação de serviço, impõe à clínica responsabilidade objetiva pelo fato do serviço (art. 14), ressalvada a responsabilidade subjetiva do profissional liberal (art. 14, §4º). Em paralelo, o regime do Código Civil (arts. 186 e 927) ampara pretensão indenizatória autônoma.

O cenário pior é aquele em que as três frentes operam de forma simultânea e cumulativa: sanção administrativa pela ANPD, condenação cível em ação individual e, quando o número de afetados é relevante, ação coletiva movida pelo Ministério Público ou por associação. Reverter passivo nessas três frentes ao mesmo tempo é exercício de mitigação de prejuízo, não de prevenção.

Como transformar a LGPD em rotina, não em projeto

A conformidade efetiva nasce de quatro frentes que se sustentam mutuamente:

• Mapeamento dos fluxos de dados: o que se coleta, onde se armazena, quem acessa, com quem se compartilha, por quanto tempo se mantém e como se descarta.
• Documentação normativa: políticas de privacidade externa e interna, termos de consentimento segmentados por finalidade e registro das operações de tratamento (ROPA).
• Capacitação contínua das equipes assistencial e administrativa, com material acessível e treinamento renovado.
• Revisão contratual com fornecedores de software, planos de saúde, laboratórios e prestadores de serviços de cobrança, incluindo cláusulas de operador, sigilo e prazo de resposta a incidente.

Conformidade construída como projeto de prazo determinado tipicamente expira junto com o consultor. Conformidade institucionalizada como rotina sobrevive à rotatividade de equipe e à mudança regulatória. A diferença entre a clínica que sustenta defesa e a que apenas declara conformidade está, em regra, na disciplina da rotina, não no volume de documentos no arquivo. O tema interage com governança patrimonial e exposição do administrador, conforme aprofundado em artigo dedicado a responsabilidade civil e blindagem patrimonial, e dialoga com a prevenção de fraudes empresariais, discutida em artigo sobre prevenção de fraudes em operações societárias.

Conclusão

A adequação à LGPD em clínicas médicas opera, hoje, na intersecção de quatro regimes simultâneos: LGPD, Código de Ética Médica, regulamentação sanitária e Código de Defesa do Consumidor. A leitura conjunta desses regimes, e não a conformidade fragmentada com cada um, é o que sustenta uma defesa robusta. O desenho operacional adequado depende de variáveis que extrapolam o texto da lei, como porte da clínica, especialidades, presença de telemedicina, perfil dos parceiros assistenciais, sistema utilizado e exposição a planos de saúde e à venda direta.

Perguntas frequentes sobre LGPD em clínicas médicas

O que é LGPD para clínicas médicas?

É a Lei 13.709/2018, que regulamenta o tratamento de dados pessoais, incluindo os dados sensíveis de saúde, por pessoas físicas e jurídicas. No ambiente clínico, define as bases legais para coleta e uso, os direitos dos pacientes (acesso, correção, eliminação, portabilidade), as exigências de segurança, o dever de comunicar incidentes e o regime sancionatório aplicável pela ANPD.

Quais dados de saúde precisam de consentimento específico?

Os dados utilizados estritamente para diagnóstico, tratamento, internação, perícia e demais procedimentos assistenciais não exigem consentimento específico, por se enquadrarem na base de tutela da saúde (art. 11, II, "f", da LGPD). Já o uso para marketing, pesquisa científica não anonimizada, compartilhamento comercial com terceiros e programas de relacionamento exige consentimento específico, destacado e registrado, na forma do art. 11, I.

Como proteger dados de pacientes na clínica?

A proteção combina sete frentes: controle de acesso lógico (senhas robustas, autenticação multifator, perfis por função), controle de acesso físico, trilha de auditoria preservada, capacitação periódica da equipe, contratos com terceiros com cláusulas de operador e sigilo, políticas internas escritas e plano de resposta a incidentes formalizado. Cada frente opera como camada independente de defesa, e a falha em uma costuma ser absorvida pelas outras quando estão bem estruturadas.

Quais multas se aplicam em caso de descumprimento?

A ANPD pode aplicar, com base no art. 52 da LGPD, advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão parcial ou total da atividade de tratamento. Além disso, o paciente lesado pode buscar reparação cível com base no CDC e no Código Civil, frentes que operam de forma autônoma e cumulativa.

Como adequar a clínica à LGPD?

O caminho passa por quatro etapas: mapeamento dos fluxos de dados (do agendamento ao descarte), elaboração de documentação normativa (políticas, termos, registro de operações), capacitação contínua da equipe e revisão contratual com fornecedores e parceiros. A adequação consistente é construída como rotina institucional, não como projeto de prazo determinado. O projeto encerra quando o consultor sai da clínica; a rotina sobrevive à rotatividade de equipe e à mudança regulatória.