Por que a LGPD importa no consultório?
A clínica trata dados de identificação, contato, pagamento e saúde. Informações de saúde, como anamnese, diagnósticos e exames, são dados pessoais sensíveis. A LGPD exige finalidade definida, uma hipótese legal adequada, transparência, segurança e respeito aos direitos do paciente. O cuidado vale tanto para fichas em papel quanto para sistemas digitais.
Consentimento é sempre obrigatório?
Não. O consentimento é uma das hipóteses legais, mas não a única. Para dados de saúde, a LGPD também prevê, conforme o caso, o cumprimento de obrigação legal, o exercício regular de direitos e a tutela da saúde em procedimento realizado por profissionais ou serviços de saúde. A clínica deve identificar e documentar a hipótese aplicável a cada finalidade; não deve tratar um termo genérico como autorização universal.
A ANPD explica as hipóteses legais para dados comuns e sensíveis. Para usos opcionais, como campanhas de marketing, avalie uma finalidade e uma base legal próprias, com orientação jurídica quando necessário.
Checklist prático para a clínica
1. Mapeie os dados e as finalidades
Relacione o que entra pela recepção, anamnese, prontuário, agenda, financeiro e canais de comunicação. Para cada atividade, registre quem usa os dados, por quanto tempo, com quem são compartilhados e qual hipótese legal sustenta o tratamento. Colete apenas o necessário para a finalidade informada.
2. Informe o paciente com clareza
Disponibilize um aviso de privacidade compreensível: finalidades, responsáveis pelo tratamento, compartilhamentos, canal de contato e exercício de direitos. Se uma atividade depender de consentimento, apresente a escolha de forma específica e destacada, sem misturar finalidades diferentes.
3. Limite o acesso e proteja os registros
Defina permissões conforme a função de cada pessoa, mantenha controle de acesso, cópias de segurança, atualização dos dispositivos e procedimentos para compartilhamento seguro. Revise também contratos com fornecedores que tratam dados da clínica. Um software ajuda a executar controles, mas sua contratação, por si só, não garante adequação à LGPD.
4. Defina retenção e atendimento aos direitos
Documente prazos de conservação por tipo de registro e as obrigações profissionais e legais aplicáveis. Um pedido de exclusão exige análise: a clínica pode ter obrigação de manter parte do prontuário. Organize um canal para receber e responder solicitações de acesso, correção e demais direitos, sem prometer exclusão automática de todo dado clínico.
5. Prepare a resposta a incidentes
Tenha um procedimento para conter, registrar, avaliar e comunicar incidentes. Quando um incidente puder causar risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 prevê comunicação à ANPD e aos titulares em até três dias úteis, ressalvadas regras específicas e os prazos aplicáveis a agentes de pequeno porte. A orientação oficial da ANPD sobre incidentes detalha o procedimento.
Por onde começar nesta semana?
- Liste os sistemas, planilhas, formulários e canais que recebem dados de pacientes.
- Separe a finalidade assistencial das finalidades administrativas e de marketing.
- Revise permissões de acesso, contas compartilhadas e formas de envio de documentos.
- Nomeie quem receberá solicitações dos titulares e relatos de incidentes.
- Valide bases legais, prazos de retenção e textos informativos com assessoria adequada.
Este roteiro organiza o trabalho inicial; a aplicação concreta depende dos processos da clínica. Consulte a Lei nº 13.709/2018 e as orientações da ANPD ao definir suas políticas.