Checklist LGPD para clínica: 15 pontos de conformidade que não podem faltar

Por que a clínica corre risco de multa por LGPD

Dado de saúde é dado sensível pelo art. 11 da Lei 13.709/2018, o que impõe regra mais rígida do que para dado comum. A Autoridade Nacional de Proteção de Dados pode aplicar sanção que vai de advertência a multa de até 2% do faturamento da pessoa jurídica no ramo de atividade, limitada a R$ 50 milhões por infração, segundo o art. 52 da LGPD. Já existe fiscalização ativa: a ANPD abriu processos administrativos e aplicou as primeiras multas desde 2023, conforme registrado nas deliberações públicas da autoridade. Uma clínica pequena que trata prontuário, exame e imagem sem base legal documentada está no mesmo raio de exposição que uma rede grande, porque a regra não distingue porte para configurar a infração, só para calcular o valor da multa.

Este post detalha o que já foi apresentado em LGPD na saúde: dados sensíveis, consentimento e o que a clínica precisa fazer na forma de checklist operacional, com responsável e consequência de cada item.

Fase 1: base legal e consentimento (itens 1 a 4)

Antes de tratar qualquer dado de paciente, a clínica precisa saber por qual base legal está fazendo isso e ter isso documentado.

• 1. Mapear toda coleta de dado sensível. Responsável: gestor ou encarregado (DPO). Sem esse mapa, a clínica não sabe onde está exposta e não consegue responder à ANPD em caso de fiscalização.
• 2. Definir a base legal de cada tratamento. Responsável: gestor com apoio jurídico. Tratamento sem base legal é, por si só, infração ao art. 7º e art. 11 da LGPD.
• 3. Coletar consentimento específico e documentado quando for essa a base. Responsável: recepção no momento do cadastro. Consentimento genérico ou pré-marcado não vale e a clínica fica sem prova em caso de questionamento.
• 4. Revisar formulário de marketing e de captação de lead. Responsável: quem cuida do site e das redes. Pedir dado de saúde em formulário de marketing sem opt-in ativo mistura duas finalidades e cria exposição desnecessária.

Fase 2: segurança do dado clínico (itens 5 a 9)

Esta é a fase que mais gera vazamento e mais aparece em notificação de incidente à ANPD.

• 5. Controlar acesso ao prontuário por perfil de usuário. Responsável: gestor de TI ou fornecedor do sistema. Sem controle de permissão, qualquer funcionário vê qualquer prontuário, o que viola o princípio de necessidade do art. 6º.
• 6. Manter log de acesso e de alteração no prontuário. Responsável: sistema de prontuário eletrônico. Sem log, a clínica não consegue provar quem acessou o quê, nem quando, em caso de investigação.
• 7. Criptografar backup e conexão de acesso remoto. Responsável: TI. Dado sensível em backup sem criptografia é um dos motivos mais comuns de notificação de incidente.
• 8. Definir política de senha e bloqueio automático de sessão. Responsável: gestor administrativo. Estação de recepção destravada com prontuário aberto é falha básica e recorrente em auditoria.
• 9. Ter plano de resposta a incidente com prazo definido. Responsável: encarregado (DPO). Sem plano, a clínica perde tempo decidindo o que fazer justamente quando o prazo de comunicação já está correndo.

Na prática, boa parte desse controle deixa de depender de planilha e de memória quando o prontuário já nasce com log de acesso e permissão por perfil, como ocorre em sistemas como o da Salte, em que cada abertura de ficha fica registrada e o acesso é limitado ao que o perfil daquele profissional precisa ver.

Fase 3: direitos do paciente (itens 10 a 12)

A Lei 13.709/2018 garante ao paciente direitos que a clínica precisa conseguir atender em prazo razoável, não só em teoria.

• 10. Ter canal claro para o paciente pedir acesso, correção ou exclusão de dado. Responsável: recepção ou encarregado. Sem canal, o paciente reclama à ANPD direto, o que já é um agravante.
• 11. Definir prazo interno de resposta a pedido do paciente. Responsável: encarregado (DPO). Demora sem justificativa é tratada como recusa e pode gerar denúncia.
• 12. Explicar por que exclusão total nem sempre é possível. Responsável: gestor com apoio jurídico. Prontuário tem guarda mínima de 20 anos pela Lei 13.787/2018, então o pedido de exclusão do paciente precisa ser respondido com essa ressalva, não simplesmente atendido ou ignorado.

Fase 4: governança e rotina interna (itens 13 a 15)

A última fase garante que o que foi organizado nas fases anteriores continue funcionando depois que a euforia da adequação inicial passar.

• 13. Nomear encarregado (DPO) e divulgar o canal de contato. Responsável: sócio ou gestor. Sem encarregado nomeado, não há quem responda formalmente a uma notificação da ANPD ou a um pedido de paciente.
• 14. Treinar a equipe de recepção e atendimento sobre o que pode e não pode ser dito no WhatsApp. Responsável: gestor. Mensagem de confirmação que expõe diagnóstico ou procedimento no texto já é uma exposição de dado sensível fora do prontuário, que qualquer terceiro com acesso ao celular do paciente pode ver.
• 15. Revisar contrato com fornecedor de sistema e de nuvem quanto a tratamento de dado. Responsável: gestor com apoio jurídico. Sem cláusula de tratamento de dado no contrato, a clínica fica sem respaldo se o fornecedor for a origem do incidente.

O que muda com a nuvem certificada e sem exposição no texto da mensagem

Quando a rotina de confirmação de consulta é automatizada, o texto da mensagem precisa ser desenhado para não carregar informação sensível. Mensagens de confirmação que citam apenas data, horário e nome do profissional, sem mencionar exame, diagnóstico ou procedimento, cumprem o item 14 deste checklist sem esforço manual da recepção, e é assim que a Salte estrutura a confirmação automática pelo WhatsApp: o paciente recebe e confirma o horário, e o dado de saúde continua restrito ao prontuário.

Como priorizar quando não dá para fazer os 15 de uma vez

Proximo passo esta semana

Imprima os 15 itens, marque com a equipe quais já estão resolvidos e defina, para cada um que falta, quem assume e até quando. Não é preciso terminar tudo em uma semana, mas é preciso que cada item tenha um responsável com nome e um prazo, porque checklist sem dono de tarefa não sai do papel.