O Que é Dado Sensível de Saúde na LGPD
A Lei Geral de Proteção de Dados criou duas categorias com regimes diferentes. Há o dado pessoal comum, como nome, telefone e endereço, e há o dado pessoal sensível, tratado com rigor maior porque pode gerar discriminação. O artigo 5º, inciso II, define essa segunda categoria e inclui expressamente o dado referente à saúde ou à vida sexual, o dado genético e o dado biométrico.
Na rotina de uma clínica em São José dos Campos, essa definição alcança muito mais do que o prontuário. Diagnóstico, resultado de exame, prescrição, evolução clínica, laudo de imagem, alergia registrada na ficha e até o motivo declarado do agendamento revelam condição de saúde. Tudo isso entra na categoria sensível.
A razão desse rigor é simples e vale explicar para a equipe. Informação de saúde pode gerar discriminação em contratação, em crédito e em relação social. Por isso a lei não trata o resultado de uma biópsia como trata um número de telefone. Quando a recepção entende esse porquê, o cuidado com a tela aberta e com o comentário em voz alta deixa de parecer exagero.
Um detalhe costuma passar despercebido. O dado não precisa estar dentro do prontuário para ser sensível. Uma mensagem de WhatsApp em que o paciente descreve um sintoma, uma anotação na agenda com o nome do procedimento e uma guia de convênio com o código do exame carregam a mesma natureza. O regime jurídico segue o conteúdo, não o lugar onde ele foi salvo.
Por Que o Artigo 7º Não Serve e o Artigo 11 Sim
Aqui está o ponto técnico que separa uma política de privacidade correta de uma cópia mal adaptada. O artigo 7º da LGPD lista as hipóteses de tratamento do dado pessoal comum. É um rol longo, que inclui o legítimo interesse do controlador e cobre bem a realidade de uma loja, de um escritório ou de um e-commerce.
Dado sensível não usa esse rol. Ele vai para o artigo 11, que é fechado, mais curto e desenhado para situações específicas. Legítimo interesse não está entre as hipóteses do artigo 11. Isso significa que a justificativa mais usada pelo mercado simplesmente não existe para o tratamento de prontuário.
A consequência prática é direta. Clínicas de Jacareí, Taubaté e Caçapava que baixaram um modelo genérico de política costumam ter um documento que cita legítimo interesse como base do atendimento. O documento parece profissional, tem linguagem jurídica e aponta para o artigo errado. Corrigir isso não é cosmético, é o alicerce de toda a conformidade seguinte.
| Tipo de dado | Rol de hipóteses aplicável | Legítimo interesse serve? |
|---|---|---|
| Dado pessoal comum, como nome e telefone de contato | Art. 7º da Lei 13.709/2018 | Sim, é hipótese prevista |
| Dado pessoal sensível de saúde, como prontuário e exame | Art. 11 da Lei 13.709/2018 | Não, não consta do rol |
| Dado biométrico usado no controle de acesso | Art. 11 da Lei 13.709/2018 | Não, não consta do rol |
Tutela da Saúde: a Base Legal Que Sustenta o Atendimento
Dentro do artigo 11 existe a hipótese que resolve o dia a dia da clínica. O inciso II, alínea “f”, com redação dada pela Lei 13.853/2019, autoriza o tratamento de dado pessoal sensível sem fornecimento de consentimento quando ele é necessário para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
Leia a frase com calma, porque cada recorte importa. A dispensa vale para a tutela da saúde, não para qualquer finalidade da clínica. Vale exclusivamente em procedimento realizado por profissional de saúde, serviço de saúde ou autoridade sanitária. E não depende de assinatura do paciente para existir.
Isso derruba o mito mais caro do setor, o de que sem termo assinado a clínica não pode atender. A clínica atende, registra o prontuário e mantém a continuidade do cuidado com base legal própria. Se o atendimento dependesse de consentimento, o paciente poderia revogá-lo e criar um conflito direto com o dever de guarda do prontuário e com as normas do conselho profissional.
O consentimento não desaparece, ele muda de endereço. Passa a ser a base daquilo que está fora do cuidado, como newsletter, campanha promocional, publicação de imagem, gravação de depoimento e pesquisa sem anonimização. Nesses casos ele precisa ser específico, destacado e recusável sem prejuízo do atendimento.
O Limite do Parágrafo 4º: Compartilhar Para Ganhar Dinheiro é Vedado
A hipótese de tutela da saúde é generosa com o cuidado e severa com o comércio. O artigo 11, parágrafo 4º, da LGPD veda a comunicação ou o uso compartilhado de dado pessoal sensível referente à saúde entre controladores com o objetivo de obter vantagem econômica.
Na prática, isso barra arranjos comuns no mercado. Vender ou ceder a base de pacientes, trocar cadastros com um laboratório parceiro em troca de indicação, repassar lista de contatos para uma empresa de marketing e entregar histórico clínico a terceiros dentro de um acordo comercial são condutas alcançadas pela vedação.
Note a diferença entre operador e controlador. Contratar um sistema de gestão que hospeda o prontuário não é compartilhar dado com outro controlador, é contratar um operador que trata dado em nome da clínica e sob suas instruções. O que a norma mira é a transferência entre controladores com finalidade econômica, e é ela que precisa ser evitada.
Por isso o contrato com cada fornecedor deixa de ser formalidade. Ele precisa dizer que o fornecedor trata o dado apenas para executar o serviço contratado, que não usa a base para finalidade própria e que devolve ou elimina a informação ao fim da relação. Sem essa cláusula, a clínica perde o controle sobre um dado que continua sendo sua responsabilidade.
Dado Sensível Sozinho Não Torna a Clínica de Alto Risco
Existe um argumento de venda que circula muito e não sobrevive à leitura da norma. Ele diz que a clínica trata dado sensível, logo é agente de alto risco, logo precisa de um pacote completo de governança. A conclusão pula uma etapa.
O artigo 4º da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, monta um critério cumulativo. É preciso enquadrar ao mesmo tempo pelo menos um critério geral do inciso I, como o tratamento em larga escala ou o tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares, e pelo menos um critério específico do inciso II, cuja alínea “d” trata do uso de dado sensível.
Ou seja, o dado sensível preenche metade do teste. A outra metade depende de escala e de impacto. Um consultório de Pindamonhangaba com agenda enxuta e dois profissionais não vira alto risco apenas por registrar prontuário. Isso não autoriza descuido, apenas ajuda a dimensionar o investimento pelo risco real da operação.
Vale lembrar que a mesma resolução, no artigo 11, dispensa o agente de tratamento de pequeno porte de indicar encarregado, desde que ele disponibilize um canal de comunicação com o titular. Antes de concluir pela dispensa, confira o artigo 3º da resolução, que lista quem não se beneficia do regime de pequeno porte.
Onde o Dado Sensível Circula Dentro da Clínica
A conformidade trava quando a clínica pensa que dado sensível mora apenas no sistema de prontuário. Na prática ele escorre para todo canto da operação, e é nesses pontos periféricos que os incidentes acontecem.
Faça o teste na sua clínica. O grupo de mensagens da equipe recebe foto de exame. A recepção mantém uma planilha paralela com observação sobre o paciente. O celular pessoal de um colaborador tem o histórico de conversa com dezenas de pacientes. A impressora guarda fila de impressão com laudo. O e-mail da clínica acumula anexo clínico sem qualquer política de retenção.
Cada um desses pontos precisa entrar no inventário. Não para ser proibido de imediato, mas para ser conhecido, avaliado e, quando possível, substituído por um caminho controlado dentro do sistema oficial. Inventário não é burocracia, é o mapa sem o qual nenhuma medida de segurança acerta o alvo.
Repare que quase todos esses caminhos nasceram para resolver um problema real de rotina. A planilha paralela existe porque o sistema é lento, o grupo de mensagens existe porque a decisão precisava ser rápida. Por isso, cortar o atalho sem oferecer uma alternativa melhor não funciona: a equipe simplesmente cria um novo atalho, agora fora do alcance da clínica.
- ✓Prontuário eletrônico e sistema de gestão, com acesso por perfil e senha individual.
- ✓Grupos e conversas de mensagem em que circula foto de exame ou relato de sintoma.
- ✓Planilhas paralelas mantidas pela recepção fora do sistema oficial.
- ✓Agenda com descrição do procedimento visível para toda a equipe.
- ✓Guias, autorizações e faturamento de convênio com código de procedimento.
- ✓E-mail da clínica com anexo clínico e sem política de retenção.
- ✓Impressora e digitalizadora compartilhados, incluindo a fila de impressão.
- ✓Backup e armazenamento em nuvem, com contrato de operador assinado.
- ✓Dado biométrico de colaboradores usado em controle de acesso ou ponto.
Como Documentar o Tratamento de Dado Sensível
Documentar é o que transforma prática correta em prática demonstrável. A clínica pode estar fazendo tudo certo e, sem registro, ter dificuldade de provar isso diante de uma reclamação de titular ou de um questionamento da autoridade.
A boa notícia é que a documentação exigida cabe em poucas páginas e não depende de consultoria cara. O que ela exige é honestidade sobre como a clínica realmente funciona hoje, e não sobre como o manual diz que deveria funcionar.
O documento central é simples: uma tabela de finalidades. Para cada finalidade, escreva qual dado é usado, qual a base legal, quem acessa, onde fica armazenado e por quanto tempo é mantido. Atendimento e prontuário apontam para o artigo 11, inciso II, alínea “f”. Marketing e imagem apontam para consentimento. Cobrança, convênio e obrigação contábil seguem suas próprias justificativas e prazos.
Complete com os contratos dos operadores, o canal de atendimento ao titular, o registro de treinamento da equipe e o plano de resposta a incidente. Vale lembrar que o artigo 48 da LGPD impõe comunicação à autoridade e ao titular, e que entre as sanções do artigo 52 está a multa simples de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50.000.000,00 por infração.
Mantenha o conjunto vivo. Cada sistema novo, cada campanha de captação e cada convênio fechado alteram a tabela de finalidades. Revisar esse documento uma vez por ano, ou sempre que a operação mudar de forma relevante, custa pouco e evita a situação mais desconfortável de todas: descobrir durante um incidente que a política publicada descreve uma clínica que não existe mais.
