Para profissionais · LGPD
LGPD para clínicas: o guia prático de adequação para consultórios e clínicas
Bases legais, consentimento, prontuário, encarregado, incidentes e marketing: o que a lei e a ANPD exigem de quem trata dados de saúde.
LGPD para clínicas é o conjunto de regras para tratar dados de pacientes, que são dados pessoais sensíveis. O atendimento se apoia na tutela da saúde; marketing e compartilhamento pedem consentimento específico. Desde 2024, a ANPD exige que incidentes com risco ou dano relevante sejam comunicados em até 3 dias úteis à autoridade e aos pacientes afetados.
Neste texto
- Por que a LGPD pesa mais para clínicas
- Bases legais: quando precisa de consentimento e quando não
- Prontuário, telemedicina e guarda
- Encarregado, registro e relatório de impacto
- Incidentes de segurança: o que fazer nas primeiras horas
- Marketing, agenda e comunicação com pacientes
- Checklist de adequação para clínicas
- Como a Piantare apoia clínicas
- Perguntas frequentes
- Fontes
Por que a LGPD pesa mais para clínicas
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa, mas trata dados de saúde e dados genéticos como dados pessoais sensíveis (art. 5º, II). Para essa categoria, as hipóteses de tratamento são mais restritas, o dever de segurança é maior e as consequências de um incidente são mais sérias EV A.
Uma clínica trata dados sensíveis o dia inteiro: prontuário, exames, imagens, laudos, receitas, mensagens com pacientes, dados de wearables e, cada vez mais, resultados genéticos. Por isso a adequação não é um projeto jurídico isolado. É rotina operacional: quem acessa, por qual canal, por quanto tempo e com que registro.
As sanções da lei vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados (art. 52) EV A. A ANPD publicou em 2023 o regulamento de dosimetria que define como essas sanções são calculadas.
Bases legais: quando precisa de consentimento e quando não
O erro mais comum é pedir consentimento para tudo, inclusive para o atendimento. O art. 11 prevê bases próprias para dados sensíveis, e a principal para a assistência é a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária EV A.
| Atividade da clínica | Base legal mais adequada | Observação |
|---|---|---|
| Atendimento, exames, prontuário | Tutela da saúde (art. 11, II, f) | Não depende de consentimento |
| Guarda do prontuário pelo prazo legal | Cumprimento de obrigação legal (art. 11, II, a) | Paciente não pode exigir a eliminação antes do prazo |
| Faturamento e envio a operadora | Obrigação legal, contrato e exercício regular de direitos | Envie só o necessário |
| Defesa em processo ético ou judicial | Exercício regular de direitos (art. 11, II, d) | Justifica guardar registros |
| Marketing, newsletter, depoimentos | Consentimento específico e destacado (art. 11, I) | Revogável a qualquer momento |
| Compartilhar dados com parceiros ou plataformas | Consentimento específico, salvo hipóteses legais | Atenção ao art. 11, § 4º |
O § 4º do art. 11, incluído pela Lei 13.853/2019, veda a comunicação ou o uso compartilhado de dados sensíveis de saúde entre controladores com objetivo de obter vantagem econômica, com exceções para a prestação de serviços de saúde, a assistência farmacêutica e a portabilidade pedida pelo titular. O § 5º proíbe operadoras de planos de saúde de usar esses dados para seleção de beneficiários na contratação e na exclusão EV A.
Prontuário, telemedicina e guarda
A LGPD não substitui as regras do prontuário; ela se soma a elas. Três pontos merecem atenção:
- Prazo de guarda. A Lei 13.787/2018 disciplina a digitalização e a guarda do prontuário e prevê prazo mínimo de 20 anos a partir do último registro para os prontuários em papel e os digitalizados EV A. Durante esse prazo, a obrigação legal prevalece sobre um pedido de eliminação.
- Telemedicina. A Resolução CFM 2.314/2022 exige consentimento explícito do paciente para o atendimento a distância, registro em prontuário e sistemas que atendam ao Nível de Garantia de Segurança 2 (NGS2) EV A.
- Acesso pelo paciente. O titular tem direito de confirmar e acessar seus dados e de receber cópia (art. 18). Defina um fluxo simples para esse pedido, com prazo e responsável.
Para o lado do paciente, veja dados de saúde e LGPD e como guardar exames.
Encarregado, registro e relatório de impacto
Encarregado
O encarregado é o canal de comunicação entre a clínica, os pacientes e a ANPD (art. 5º, VIII, e art. 41). A ANPD regulamentou a atuação do encarregado em 2024, pela Resolução CD/ANPD nº 18. Agentes de pequeno porte, como microempresas, estão dispensados de indicar encarregado, mas precisam manter um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, art. 11) EV A.
Há um detalhe importante para clínicas: a mesma resolução exclui do tratamento simplificado o agente de pequeno porte que realiza tratamento de alto risco. Pela definição da ANPD, isso exige ao menos um critério geral, como tratamento em larga escala ou que possa afetar significativamente direitos dos titulares, e um específico, como uso de dados sensíveis. Uma clínica pequena pode, portanto, perder parte das flexibilizações, conforme o volume e o tipo de tratamento.
Registro das operações
O art. 37 exige manter registro das operações de tratamento. Na prática, é um inventário: que dados a clínica coleta, de onde vêm, para que servem, com quem são compartilhados, onde ficam e por quanto tempo.
Relatório de impacto
O relatório de impacto à proteção de dados (art. 38) descreve os processos que podem gerar riscos aos titulares e as medidas para mitigá-los. Para quem trata dados sensíveis em volume, como clínicas com prontuário eletrônico e telemonitoramento, é uma boa prática mantê-lo atualizado.
Incidentes de segurança: o que fazer nas primeiras horas
O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) define o que a clínica precisa fazer quando dados são acessados, perdidos ou expostos sem autorização EV A:
- Avaliar o incidente. Ele deve ser comunicado quando puder afetar significativamente direitos dos titulares e envolver ao menos um critério, como dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros ou dados protegidos por sigilo profissional. Em clínicas, quase todo vazamento de prontuário cumpre esses critérios.
- Comunicar a ANPD em até 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, com possibilidade de complementar as informações em 20 dias úteis.
- Comunicar os pacientes afetados em até 3 dias úteis, em linguagem simples e, quando possível, de forma individual.
- Registrar todos os incidentes, inclusive os não comunicados, e guardar o registro por no mínimo 5 anos.
Agentes de pequeno porte têm os prazos de comunicação contados em dobro. Ter um plano escrito, com responsáveis e modelos de comunicação prontos, é o que permite cumprir esses prazos.
Marketing, agenda e comunicação com pacientes
É no relacionamento com o paciente fora da consulta que surgem as dúvidas mais práticas.
- Lembretes de consulta. Confirmar horário e enviar orientações de preparo fazem parte do atendimento. Mantenha a mensagem neutra, sem mencionar diagnóstico ou especialidade quando o número pode ser de outra pessoa.
- Campanhas e novidades. Comunicar um novo serviço para toda a base exige consentimento específico. Segmentar por condição de saúde, como enviar uma campanha só para pacientes com diabetes, é tratamento de dado sensível com outra finalidade e pede ainda mais cuidado.
- Depoimentos e imagens. Use somente com autorização escrita para aquela peça, e respeite também as regras éticas do conselho profissional sobre publicidade.
- Pixels e ferramentas de anúncio. Páginas de agendamento que enviam a plataformas de publicidade dados como especialidade buscada podem revelar informação de saúde. Revise o que cada ferramenta coleta.
A regra que resolve a maioria dos casos é a da finalidade: o dado coletado para cuidar não deve ser reaproveitado para vender sem que o paciente concorde de forma clara.
Checklist de adequação para clínicas
- Inventário de dados (art. 37) atualizado, incluindo planilhas, aplicativos de mensagem e sistemas de agenda.
- Bases legais definidas por atividade, sem consentimento desnecessário no atendimento.
- Termo de consentimento separado para marketing, depoimentos e compartilhamento com parceiros.
- Controle de acesso por perfil no prontuário eletrônico, com registro de quem acessou o quê.
- Contratos com fornecedores de software, laboratórios e armazenamento em nuvem prevendo obrigações de segurança.
- Canal para pedidos dos pacientes e encarregado indicado, quando exigido.
- Plano de resposta a incidentes com prazos da Resolução 15/2024.
- Treinamento da recepção e da equipe sobre envio de exames por mensagem e conferência de identidade.
- Política de retenção alinhada aos prazos do prontuário.
Um ponto sensível é o aplicativo de mensagens pessoal. Enviar laudos e imagens por contas pessoais da equipe tira o dado do controle da clínica. Prefira canais institucionais com histórico e controle de acesso. O mesmo vale para dados de wearables, tema de dados de wearables na consulta.
Como a Piantare apoia clínicas
A Piantare é uma infraestrutura de saúde e longevidade, construída sobre consentimento. No programa Piantare para Clínicas, a clínica oferece o Piantare Helix e o Piantare Ring PRO ao paciente com condição de parceiro. O paciente decide compartilhar DNA, sono, frequência cardíaca, variabilidade e temperatura com a clínica pelo Open Health, e pode revogar esse consentimento quando quiser. O compartilhamento parte do titular, com finalidade clara, e o paciente ganha 12 meses de Piantare PRO.
Perguntas frequentes
Preciso pedir consentimento do paciente para atendê-lo?
Não. O atendimento se apoia na tutela da saúde (art. 11, II, f, da LGPD). Consentimento específico é necessário para finalidades como marketing, depoimentos e compartilhamento não previsto em lei.
O paciente pode pedir para apagar o prontuário?
Durante o prazo legal de guarda, não. A Lei 13.787/2018 prevê guarda mínima de 20 anos, e a obrigação legal prevalece. Ele pode, porém, acessar e pedir cópia dos dados.
Clínica pequena precisa de encarregado?
Agentes de pequeno porte estão dispensados, desde que mantenham canal de comunicação com o titular. A dispensa não vale se a clínica realizar tratamento considerado de alto risco pela ANPD.
Em quanto tempo devo comunicar um vazamento?
Em até 3 dias úteis à ANPD e aos pacientes afetados, contados do conhecimento do incidente, segundo a Resolução CD/ANPD nº 15/2024. Para agentes de pequeno porte, o prazo é contado em dobro.
Posso usar a base de pacientes para enviar novidades da clínica?
Somente com consentimento específico para essa finalidade, com opção clara de descadastro. Dados de saúde não devem ser usados para segmentar comunicação sem esse consentimento.
Fontes
- Lei nº 13.709/2018 (LGPD), arts. 5º, 11, 18, 37, 38, 41, 46, 48 e 52. Texto compilado. www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm · Evidência A
- Lei nº 13.853, de 8 de julho de 2019. Altera a Lei nº 13.709/2018 (inclui o art. 11, §§ 4º e 5º). www2.camara.leg.br/legin/fed/lei/2019/lei-13853-8-julho-2019-788785-publicacaooriginal-158684-pl.html · Evidência A
- Agência Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Regulamento de Comunicação de Incidente de Segurança. www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis/comunicacao-de-incidentes-de-seguranca · Evidência A
- Agência Nacional de Proteção de Dados. Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte. www.gov.br/palmares/pt-br/midias/arquivos-menu-acesso-a-informacao/legislacao/resolucao-cd-anpd-n2-2022.pdf · Evidência A
- Agência Nacional de Proteção de Dados. Regulamentações da ANPD (Resoluções CD/ANPD nº 4/2023, dosimetria de sanções, e nº 18/2024, atuação do encarregado). www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd · Evidência A
- Lei nº 13.787, de 27 de dezembro de 2018. Digitalização e guarda do prontuário de paciente. www2.camara.leg.br/legin/fed/lei/2018/lei-13787-27-dezembro-2018-787543-publicacaooriginal-157119-pl.html · Evidência A
- Conselho Federal de Medicina. Resolução CFM nº 2.314, de 20 de abril de 2022. Define e regulamenta a telemedicina. sistemas.cfm.org.br/normas/visualizar/resolucoes/BR/2022/2314 · Evidência A