LGPD na saúde: dados sensíveis, consentimento e o que a clínica precisa fazer

O que a LGPD considera dado sensível na clínica?

Todo dado referente à saúde do paciente entra na categoria de dado pessoal sensível, o que inclui prontuário, receita, resultado de exame e até anotação de agenda que mencione procedimento. A Lei 13.709/2018 (LGPD) define isso no art. 5º, II:

"dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural"

Fonte: Lei 13.709/2018, art. 5º.

Isso significa que a ficha de cadastro do paciente, o histórico de consultas e a mensagem de confirmação que cita o tipo de procedimento também podem carregar dado sensível, não só o laudo médico.

A LGPD exige consentimento para toda consulta?

Não. O atendimento clínico direto tem base legal própria e não depende de consentimento assinado a cada consulta. O art. 11, §1º, alínea f, da LGPD autoriza o tratamento de dado sensível sem consentimento quando é para:

"tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária"

Fonte: Lei 13.709/2018, art. 11.

Ou seja: registrar sintoma no prontuário, emitir receita e agendar retorno não exige termo de consentimento separado. O consentimento passa a ser obrigatório quando o dado sai do circuito de cuidado, por exemplo em campanha de marketing, pesquisa acadêmica ou envio para parceiro comercial.

Quais bases legais dispensam o consentimento do paciente?

A lei prevê mais de uma hipótese que autoriza o tratamento sem pedir consentimento a cada vez. A tabela resume as mais relevantes para clínica:

Quando a finalidade sai do atendimento direto, a base legal muda e o consentimento específico e destacado volta a ser exigido pelo art. 11, I.

A clínica pequena precisa ter um encarregado de dados?

Sim. O art. 41 da LGPD não isenta pela quantidade de funcionários nem pelo faturamento: toda clínica que trata dado pessoal, sensível ou não, precisa indicar um encarregado, também chamado de DPO. Fonte: Lei 13.709/2018, art. 41.

Na clínica pequena, o encarregado pode ser o próprio gestor ou a secretaria responsável, sem precisar de cargo exclusivo nem certificação. A função é ser o canal de contato: responder paciente que pede acesso ao próprio dado, atualizar a política de privacidade e organizar a resposta em caso de incidente.

Como fica a segurança do prontuário eletrônico e das mensagens de WhatsApp?

O prontuário eletrônico precisa de controle de acesso por perfil, log de quem abriu cada ficha e backup, e a mensagem de confirmação de consulta não deve expor diagnóstico ou procedimento no texto. A Resolução CFM 1.821/2007 já trata da guarda e digitalização do prontuário, e a LGPD soma a exigência de segurança da informação sobre esse mesmo dado.

Na prática, isso quer dizer: cada funcionário tem login próprio, ninguém acessa prontuário de paciente que não está em sua agenda, e o sistema registra quem viu o quê. Na Salte, cada usuário entra com login individual e o prontuário mantém histórico de acesso, o que tira da secretaria a tarefa manual de controlar quem abriu cada ficha.

A mensagem de confirmação enviada pelo WhatsApp deve trazer só data, horário e nome do profissional, sem citar exame, procedimento ou diagnóstico, para não expor dado sensível num canal que o paciente pode compartilhar com terceiros.

O que muda na captação de leads e no marketing da clínica?

Formulário de captação de lead não pode pedir dado de saúde, e a caixa de aceite não pode vir pré-marcada. A base para tratar dado de contato em campanha de marketing é o consentimento específico do art. 11, I, separado do consentimento para o atendimento clínico.

Isso significa perguntar nome, telefone e especialidade de interesse no formulário do site, sem campo de sintoma ou condição de saúde, e deixar explícito para que finalidade aquele dado será usado, com o canal do encarregado disponível para quem quiser revogar o consentimento.

Quais são as penalidades previstas pela LGPD?

A Autoridade Nacional de Proteção de Dados pode aplicar sanções que vão de advertência a multa e bloqueio dos dados. O art. 52 prevê multa administrativa de até 2% do faturamento da empresa ou do grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração. Fonte: Lei 13.709/2018, art. 52.

A lei está em vigor desde 18 de setembro de 2020, conforme o art. 65. Fonte: Lei 13.709/2018, art. 65. Além da multa, a autoridade pode determinar bloqueio ou eliminação do dado tratado de forma irregular, o que pode paralisar o acesso ao histórico de pacientes até a regularização.

Há ainda um ponto que se conecta ao prontuário: a Lei 13.787/2018 exige guarda mínima de 20 anos a partir do último registro no prontuário (art. 6º), e a digitalização com eliminação do papel só é válida com certificação dentro dos padrões do Decreto 10.278/2020. Guardar demais ou de forma insegura também é risco: dado guardado sem necessidade e sem proteção adequada é o tipo de falha que a fiscalização da LGPD costuma cobrar primeiro.

O que fazer esta semana

Liste os sistemas onde o prontuário e o dado de contato do paciente ficam guardados hoje, planilha, sistema de gestão, WhatsApp da recepção, e confirme quem tem acesso a cada um. Revise o texto do formulário do site e da campanha de captação para tirar qualquer pergunta sobre condição de saúde. Defina, por escrito, quem é o encarregado de dados da clínica e onde o paciente pode enviar uma solicitação sobre o próprio dado.