LGPD e clínica: quais dados do paciente exigem consentimento

O que a LGPD considera dado sensível na clínica?

O art. 11 da Lei 13.709/2018 classifica dado referente à saúde como dado pessoal sensível, junto com origem racial, convicção religiosa e orientação sexual. Isso muda o regime de tratamento: exige base legal mais restrita e medidas de segurança reforçadas.

Na prática da clínica, entram nessa categoria o histórico de queixas e diagnósticos no prontuário, o resultado de exame, a receita de medicamento, a foto clínica, a anotação de evolução e até a informação indireta que revele condição de saúde, como o motivo do agendamento anotado na agenda visível da recepção. O detalhamento de quando cada um desses registros pede consentimento e quando outra base legal já resolve está descrito no guia sobre LGPD na saúde e dados sensíveis.

Quando o consentimento é obrigatório e quando não é?

O consentimento é uma das bases legais do art. 7 da LGPD, e para dado sensível de saúde as hipóteses equivalentes estão no art. 11. A clínica não precisa de consentimento para tratar dado de saúde quando o tratamento é indispensável para a assistência à saúde, seja por profissional, serviço de saúde ou autoridade sanitária.

Isso significa que preencher a anamnese, registrar evolução em prontuário, prescrever receita e emitir guia de convênio no padrão TISS não dependem de consentimento assinado, porque se encaixam na hipótese de tutela da saúde. Já o envio de newsletter com dica de saúde, a inclusão em lista de transmissão de WhatsApp para promoção de serviço ou o compartilhamento do histórico do paciente com pesquisa acadêmica externa exigem consentimento específico, informado e não genérico.

Como funciona o consentimento quando ele é exigido?

O consentimento válido pela LGPD precisa ser livre, informado e inequívoco, para finalidade determinada, conforme o art. 8 da Lei 13.709/2018. Na prática isso quer dizer texto claro, sem letra miúda, com opção de recusa sem prejuízo ao atendimento e checkbox que o paciente marca ativamente, nunca pré-marcado.

Um erro comum é colocar autorização para uso de imagem em marketing dentro do mesmo termo de consentimento clínico, como se fossem a mesma coisa. São finalidades distintas e pedem consentimentos separados, cada um revogável isoladamente. O paciente pode continuar em tratamento e revogar só a autorização de marketing, sem que isso afete a assistência.

O que o formulário de consentimento precisa conter?

Um formulário completo traz, no mínimo: identificação da clínica e do encarregado de dados (DPO), finalidade específica do tratamento, prazo de guarda e direitos do titular conforme o art. 18 da LGPD, além de canal de contato para exercer esses direitos. Sem esses elementos, o consentimento pode ser considerado inválido em fiscalização, e a Autoridade Nacional de Proteção de Dados publica suas orientações e deliberações nas notícias e comunicados da ANPD. Se a clínica atende odontologia, o consentimento de marketing precisa respeitar também a Resolução CFO 196/2019, que proíbe divulgar antes e depois, depoimento de paciente ou peça publicitária que use a imagem do paciente como prova de resultado, mesmo com autorização dele.

Como mapear os dados sensíveis que a clínica já coleta?

Antes de ajustar qualquer formulário, a clínica precisa saber onde o dado sensível está. Um mapeamento simples percorre cinco pontos de coleta que costumam passar despercebidos:

1. Ficha de cadastro na recepção: verificar se o campo de observação já registra sintoma ou motivo da consulta por escrito, quando bastaria um código interno.
2. Agenda física ou digital: checar se o nome do procedimento aparece junto ao nome do paciente na tela visível da recepção.
3. Conversas de WhatsApp com a secretaria: revisar se sintoma, exame ou resultado aparecem no texto da mensagem, e não apenas horário e profissional.
4. Sistema de cobrança e nota fiscal de serviço (NFS-e): confirmar se o código de procedimento fica associado a nome e CPF em relatório que circula fora do prontuário.
5. Backup do sistema de gestão em nuvem: identificar se a cópia replica o prontuário completo em outro servidor com o mesmo nível de controle de acesso do sistema principal.

Cada um desses pontos entra no inventário de dados exigido pela boa prática de governança da LGPD, e é um dos itens detalhados no checklist de LGPD para clínica com 15 pontos.

Quanto tempo a clínica precisa guardar o prontuário?

O prontuário, em papel ou eletrônico, tem guarda mínima de 20 anos a partir do último registro, conforme o art. 6 da Lei 13.787/2018. Esse prazo vale independente da LGPD e não é reduzido por ela, porque a lei de guarda de prontuário é norma específica de saúde.

A digitalização do prontuário em papel, com posterior descarte do original, só é válida quando segue os requisitos técnicos do Decreto 10.278/2020, que exige certificação digital no padrão ICP-Brasil, instituído pela Medida Provisória 2.200-2/2001, para garantir autenticidade e integridade do documento digitalizado. A Resolução CFM 1.821/2007 trata da guarda e digitalização de prontuário médico e também prevê guarda permanente quando o sistema eletrônico atende aos requisitos de certificação.

Na prática, isso cria uma tensão que a clínica precisa resolver: a LGPD prevê que o dado seja mantido apenas pelo tempo necessário à finalidade, mas a legislação de prontuário impõe prazo mínimo de 20 anos. Nesse caso, prevalece o prazo da lei específica de guarda, porque ela constitui hipótese legal de tratamento do dado, prevista no próprio art. 7, II, da LGPD, como cumprimento de obrigação legal.

O que a clínica faz quando ocorre um incidente de segurança?

O art. 46 da Lei 13.709/2018 exige que o controlador adote medidas de segurança para proteger dado pessoal contra acesso não autorizado e situações de destruição, perda ou vazamento. Quando o incidente ocorre mesmo assim, o art. 48 determina que o controlador comunique à ANPD e ao titular em prazo razoável, com a descrição da natureza dos dados afetados, das medidas técnicas usadas e dos riscos ao titular.

A lei não fixa um número exato de dias para essa comunicação, mas a Autoridade Nacional de Proteção de Dados publica casos concretos, decisões e orientações sobre a aplicação dessa regra nas notícias e deliberações públicas da ANPD, incluindo situações envolvendo vazamento de dado de saúde.

Na prática de clínica pequena, um incidente típico é a perda ou o roubo do celular da secretaria com o WhatsApp de atendimento aberto, ou o acesso ao prontuário eletrônico por um ex-funcionário cujo login não foi desativado. Nos dois casos, a resposta segue a mesma sequência: conter o acesso (trocar senha, revogar sessão, bloquear dispositivo), avaliar quantos titulares foram afetados e qual dado ficou exposto, e só então decidir se a comunicação à ANPD e aos pacientes é necessária, considerando a gravidade do risco.

O que o paciente pode exigir sobre o próprio dado?

O art. 18 da Lei 13.709/2018 lista os direitos do titular: confirmação de que o tratamento existe, acesso ao dado, correção de dado incompleto ou desatualizado, anonimização ou eliminação de dado desnecessário, portabilidade e revogação do consentimento, entre outros. A clínica precisa ter um canal simples para receber esse pedido, normalmente o contato do encarregado de dados informado no site ou no termo de consentimento.

Na prática, um pedido de acesso costuma vir assim: o paciente quer uma cópia do próprio prontuário, ou quer saber quais dados a clínica guarda sobre ele. A resposta é entregar o prontuário ou um resumo estruturado do que está registrado, sem conflitar com a obrigação de guarda de 20 anos da Lei 13.787/2018. Já um pedido de exclusão total do prontuário não pode ser atendido enquanto durar o prazo legal de guarda, porque a eliminação de dado de saúde é limitada pelas hipóteses do próprio art. 16 da LGPD, que permite manter o dado para cumprimento de obrigação legal. O que a clínica pode excluir, nesses casos, é o dado usado para outra finalidade, como o cadastro em lista de marketing, mantendo intacto o prontuário clínico.

Como aplicar isso na rotina da recepção?

Em 2023, 87,2% das pessoas com 10 anos ou mais usaram a internet no Brasil, conforme o IBGE, e boa parte desse acesso passa pelo celular, o mesmo aparelho onde a secretaria troca mensagem com paciente. Sem um protocolo definido, cada atendente decide sozinho o que escreve no campo de observação da agenda ou no WhatsApp, e o risco cresce com o volume: mais registros dispersos, mais superfícies de exposição, mais chance de um vazamento pontual, como a perda do celular da secretaria, virar um incidente reportável.

O protocolo mínimo inclui três pontos: mensagem de confirmação de consulta que cita apenas data, horário e nome do profissional, sem mencionar procedimento ou especialidade sensível; campo de observação da agenda restrito a informação operacional, como duração e sala, nunca clínica; e acesso ao prontuário eletrônico segmentado por perfil de usuário, de forma que a recepção veja dado cadastral e o profissional de saúde veja o prontuário completo.

O que muda quando o dado é compartilhado com convênio ou terceiro?

O envio de dado a operadora de saúde para faturamento por guia, seguindo o padrão TISS estabelecido pela ANS, é tratamento amparado por execução de contrato e cumprimento de obrigação regulatória, e não exige consentimento adicional do paciente, mas exige que a clínica informe essa finalidade no aviso de privacidade. Já o compartilhamento com laboratório parceiro, telemedicina terceirizada ou empresa de cobrança externa precisa de contrato de operador de dados, no qual o terceiro assume as mesmas obrigações de segurança da LGPD.

Em qualquer desses casos, a responsabilidade da clínica como controladora do dado não desaparece quando ela terceiriza o processamento. Se o laboratório parceiro sofrer um incidente de segurança envolvendo dado do paciente da clínica, ambos podem responder, cada um na medida da sua culpa, conforme os arts. 42 a 45 da Lei 13.709/2018. A norma também prevê sanção administrativa, incluindo multa que pode chegar a 2% do faturamento da pessoa jurídica de direito privado por infração, limitada a R$ 50 milhões por infração, conforme o art. 52 da Lei 13.709/2018, o que reforça a importância de documentar cada contrato de compartilhamento antes que ele comece a operar.

O que fazer nesta semana?

1. Dia 1: revisar o formulário de consentimento usado na recepção, separando o consentimento clínico do consentimento de marketing em documentos distintos, e conferir se identifica o encarregado de dados.
2. Dia 2: auditar as últimas mensagens de WhatsApp enviadas pela equipe e verificar se algum sintoma, exame ou resultado apareceu no texto sem necessidade.
3. Dia 3: testar o acesso ao prontuário eletrônico por perfil de usuário, confirmando que a recepção não visualiza campo clínico que não precisa ver.
4. Dia 4: mapear os cinco pontos de coleta de dado sensível descritos acima e anotar quem tem acesso a cada um.
5. Dia 5: definir por escrito o passo a passo de resposta a um pedido de acesso ou eliminação do titular, com prazo interno e responsável nomeado.

Esses cinco passos não exigem investimento alto e reduzem a maior parte do risco de exposição indevida de dado de paciente no dia a dia.