LGPD em Clínica Médica: Guia Completo de Conformidade 2026

O Que a LGPD Muda na Rotina Real de uma Clínica Médica

A Lei Geral de Proteção de Dados chegou ao consultório envolvida em uma névoa de fornecedores, planilhas e termos assinados às pressas na recepção. O resultado é uma clínica que junta papel, gasta dinheiro e continua exposta. Conformidade não se resolve com um formulário a mais na prancheta. Ela começa quando a clínica entende que tipo de dado trata, com que finalidade e sob qual permissão legal.

Uma clínica médica em São José dos Campos processa dado pessoal em quase todo movimento do dia. Cadastro na recepção, agendamento por WhatsApp, prontuário, pedido de exame, guia de convênio, recibo, cobrança e disparo de lembrete. Cada uma dessas etapas tem uma finalidade diferente. E, na LGPD, finalidade diferente pode significar base legal diferente.

Este guia parte de um recorte simples e prático. O que a lei realmente exige, o que a ANPD já regulamentou e o que virou lenda repetida em material comercial. Sempre que existir divergência entre o que se fala no mercado e o texto da norma, vamos apontar a norma. É ela que a fiscalização lê.

Há um ganho colateral que costuma passar despercebido. Ao mapear onde o dado do paciente circula, a clínica enxerga também onde o processo interno é frágil. O agendamento que só uma pessoa sabe operar, a planilha paralela que ninguém audita e o grupo de mensagens que virou repositório de exame aparecem no mesmo levantamento. Conformidade bem feita organiza a operação, não apenas o jurídico.

Dado de Saúde é Dado Pessoal Sensível: o Ponto de Partida

Tudo começa pelo artigo 5º, inciso II, da Lei 13.709/2018. Ele define dado pessoal sensível e inclui expressamente o dado referente à saúde ou à vida sexual, o dado genético e o dado biométrico. Prontuário, diagnóstico, resultado de exame, prescrição e histórico clínico entram nessa categoria sem discussão.

A consequência prática é técnica e decisiva. O tratamento de dado sensível não pode se apoiar no rol comum do artigo 7º da LGPD, aquele que cobre a maior parte das empresas. Ele vai para o rol fechado do artigo 11, que é mais curto, mais rígido e feito sob medida para situações como a da saúde.

Quem ignora esse deslocamento comete o erro mais comum do setor. A clínica copia a política de privacidade de um e-commerce, cita legítimo interesse e acha que resolveu. Legítimo interesse não é hipótese do artigo 11. Uma clínica em Jacareí ou em Taubaté que apoia o tratamento de prontuário em legítimo interesse está com a base legal errada desde a primeira linha do documento.

O Mito do Consentimento: Você Não Precisa Dele Para Atender

Esse é o ponto em que a maior parte do conteúdo disponível erra. Circula a ideia de que, sem termo de consentimento assinado, a clínica não pode atender, registrar ou guardar dado de paciente. A lei diz o contrário, e diz com todas as letras.

O artigo 11, inciso II, alínea “f”, da LGPD, com a redação dada pela Lei 13.853/2019, autoriza o tratamento de dado pessoal sensível sem fornecimento de consentimento quando ele é necessário para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Ou seja, a clínica atende, registra o prontuário e trata o dado com base legal própria.

Isso resolve um problema operacional grande. Se o atendimento dependesse de consentimento, o paciente poderia revogá-lo e obrigar a clínica a apagar o prontuário, o que colidiria de frente com as normas de guarda e com o dever ético do profissional. A lei evitou esse conflito ao criar uma hipótese autônoma para o cuidado em saúde.

Existe um limite duro que precisa ficar claro. O artigo 11, parágrafo 4º, veda a comunicação ou o uso compartilhado de dado sensível de saúde entre controladores com o objetivo de obter vantagem econômica. Vender base de pacientes, trocar cadastro com laboratório parceiro ou repassar lista para uma empresa de marketing são condutas que a norma barra de forma direta.

Entender esse desenho muda a conversa com o paciente na recepção. A clínica não precisa condicionar o atendimento à assinatura de um termo genérico, nem transformar o primeiro contato em uma negociação sobre dados. O que ela precisa é informar com clareza o que faz com a informação, para quê e por quanto tempo. Transparência é dever autônomo na LGPD e independe da base legal escolhida para cada finalidade.

Quando o Consentimento é Realmente Necessário na Clínica

O consentimento não some da rotina, ele muda de lugar. Ele deixa de ser a porta de entrada do atendimento e passa a ser a base legal daquilo que está fora da tutela da saúde. É uma distinção simples de aplicar depois que a clínica separa as finalidades.

Envio de newsletter, campanha promocional, publicação de foto de antes e depois, gravação de depoimento e uso do caso em pesquisa sem anonimização são atividades que não têm nada a ver com o cuidado clínico daquele paciente. Nesses casos, o consentimento específico e destacado volta a ser exigido, com finalidade descrita e possibilidade real de recusa.

Na prática, isso significa desmembrar o que hoje costuma vir em uma folha só. Uma clínica de Pindamonhangaba que junta atendimento, marketing e uso de imagem no mesmo termo cria um documento frágil. Se o paciente revoga o consentimento de marketing, a clínica precisa conseguir parar o disparo sem interromper o cuidado nem apagar o prontuário.

Controlador, Operador e Encarregado: Quem é Quem na Clínica

A clínica é controladora dos dados dos seus pacientes. É ela que decide por que trata, o que trata e por quanto tempo guarda. Essa posição não se transfere por contrato nem se dilui quando a clínica contrata um sistema em nuvem para hospedar o prontuário.

O fornecedor do software de gestão, o serviço de armazenamento, a empresa de cobrança e a agência que dispara mensagem em nome da clínica atuam como operadores. Eles tratam dado em nome do controlador e dentro das instruções que receberam. Por isso o contrato com cada um deles deixa de ser detalhe jurídico e vira peça de conformidade.

O médico que atende dentro de uma clínica pode estar em posições distintas conforme o arranjo. Quando ele opera com CNPJ próprio, com autonomia técnica e prontuário sob a sua responsabilidade, a fotografia muda. Vale mapear isso antes de escrever qualquer política, porque a divisão de responsabilidade entre clínica e profissional depende de como a operação realmente funciona, e não do que está escrito no papel.

Na prática, três perguntas resolvem a maior parte dos casos. Quem decide a finalidade do tratamento naquele fluxo. Quem escolhe o sistema em que o dado é registrado. Quem responde ao paciente quando ele pede acesso, correção ou informação sobre o uso dos seus dados. As respostas costumam apontar o controlador com muito mais precisão do que uma cláusula contratual genérica.

Encarregado de Dados: Nem Toda Clínica Precisa Nomear

O artigo 41 da LGPD obriga o controlador a indicar encarregado pelo tratamento de dados pessoais. Lido isoladamente, o dispositivo cria a impressão de que todo consultório precisa contratar um profissional dedicado ou pagar um serviço mensal para isso. A leitura completa desfaz a impressão.

O parágrafo 3º do mesmo artigo delega à Autoridade Nacional de Proteção de Dados o poder de estabelecer hipóteses de dispensa. E a ANPD exerceu esse poder. O artigo 11 da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, dispensa o agente de tratamento de pequeno porte de indicar encarregado, desde que ele disponibilize um canal de comunicação com o titular dos dados.

Atenção ao detalhe que muda tudo: a dispensa não elimina o canal. A clínica continua obrigada a oferecer um meio claro pelo qual o paciente exerce seus direitos e recebe resposta. Antes de concluir pela dispensa, confira também o artigo 3º da mesma resolução, que lista quem não se beneficia do regime de pequeno porte.

O Critério de Alto Risco da ANPD é Cumulativo

Aqui mora outro mito caro. Muita consultoria afirma que a clínica trata dado sensível, portanto é agente de alto risco, portanto precisa de estrutura completa de governança. O raciocínio parece lógico e está errado na leitura da norma.

O artigo 4º da Resolução CD/ANPD nº 2/2022 monta um critério cumulativo. É preciso enquadrar pelo menos um critério geral do inciso I, como o tratamento em larga escala ou o tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares, e ao mesmo tempo pelo menos um critério específico do inciso II, cuja alínea “d” trata justamente do uso de dado sensível.

Traduzindo para o balcão: o dado sensível sozinho não fecha a conta. Ele é metade do teste. Um consultório de Caçapava com dois consultórios e agenda enxuta não vira alto risco só porque registra prontuário. Isso não significa relaxar, significa dimensionar o investimento em conformidade pelo tamanho real do risco, e não pelo tamanho do orçamento que alguém quer vender.

Também vale revisitar o enquadramento de tempos em tempos. Clínica que abre unidade nova, absorve carteira de outro consultório ou passa a operar contrato relevante com operadora muda de patamar de volume. O teste do artigo 4º é uma fotografia, não uma certidão vitalícia. Refazer a avaliação a cada ciclo de crescimento evita a surpresa de descobrir o enquadramento errado durante um incidente.

Guarda do Prontuário: 20 Anos e Permanente no Eletrônico

Prazo de guarda é o tema em que o conteúdo genérico mais erra. O número que circula com mais frequência é 10 anos, e ele não corresponde às normas aplicáveis ao prontuário do paciente. Duas normas se somam aqui, e elas não dizem exatamente a mesma coisa.

A Lei 13.787/2018, no artigo 6º, estabelece prazo mínimo de 20 anos contados a partir do último registro. O parágrafo 5º do mesmo artigo deixa claro que a regra alcança o prontuário em qualquer suporte. Não existe prazo menor para quem digitalizou o arquivo.

A Resolução CFM nº 1.821/2007 acrescenta a camada ética e técnica. O artigo 8º fixa 20 anos, a partir do último registro, para o prontuário em papel. O artigo 7º determina guarda permanente para o prontuário em meio eletrônico que atenda aos requisitos da própria resolução. A resolução segue vigente: o que foi revogado posteriormente foi o manual anexo a ela, não o seu texto.

Vale registrar um esclarecimento que evita confusão. A LGPD não criou prazo de guarda de prontuário. Ela trata de finalidade, necessidade, segurança e direitos do titular. O prazo vem da lei específica e da norma do conselho, e é ele que orienta a política de retenção da clínica.

Incidente de Segurança: o Prazo Brasileiro é de 3 Dias Úteis

Vazamento de dado em clínica não é hipótese remota. Notebook perdido, e-mail enviado para a lista errada, planilha de pacientes compartilhada por engano e invasão de sistema são eventos que acontecem em operações pequenas com a mesma frequência que em grandes.

O artigo 48 da LGPD impõe comunicação dupla ao controlador. A Autoridade Nacional de Proteção de Dados precisa ser avisada e o titular dos dados também. Não é uma escolha entre um e outro, são dois destinatários.

O prazo brasileiro é de 3 dias úteis, fixado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, nos artigos 6º e 9º. Guarde esse número. O prazo de 72 horas, que aparece com frequência em material de mercado e em modelo de política importado, vem do regulamento europeu e não é a regra aplicável no Brasil.

Prazo curto exige preparo anterior. Nenhuma clínica consegue montar do zero, em poucos dias, a descrição técnica do que aconteceu, a relação de titulares afetados e a lista de medidas adotadas. Por isso o plano de resposta precisa existir antes do incidente, com responsável nomeado, contatos definidos e um roteiro simples de contenção, registro e comunicação.

Sanções: o Que o Artigo 52 da LGPD Realmente Diz

O artigo 52 da Lei 13.709/2018 é frequentemente citado pela metade, o que gera pânico em uma clínica e desdém em outra. Entre as sanções previstas está a multa simples de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil, no último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 por infração.

Dois recortes precisam andar juntos sempre que esse dispositivo for mencionado. O cálculo do percentual exclui os tributos, o que muda a base de forma relevante para uma clínica. E o teto é por infração, não um limite único para a empresa inteira ao longo da vida.

Para um consultório de porte médio, a discussão sobre o teto milionário costuma ser menos útil do que a discussão sobre reputação e continuidade. Um incidente mal conduzido em uma cidade como Jacareí ou Taubaté circula rápido entre pacientes e entre colegas de convênio. O custo real raramente é apenas o valor de uma eventual multa.

Roteiro de Conformidade para a Clínica do Vale do Paraíba

Conformidade em clínica funciona melhor por etapas do que por projeto único. A ordem importa, porque cada passo depende do anterior. Sem inventário não há mapa de finalidades, e sem mapa de finalidades qualquer política vira ficção.

Comece pelo inventário de dados e pelo mapa de finalidades. Em seguida, defina a base legal de cada finalidade, separando com clareza o que é tutela da saúde do que é comunicação e marketing. Só então escreva a política de privacidade e o aviso da recepção, que passam a descrever um processo que existe de verdade.

Depois vêm os controles operacionais: acesso por perfil no sistema, senha individual por colaborador, registro de quem acessou o prontuário, contrato com cada operador e plano de resposta a incidente com o prazo de 3 dias úteis marcado. Para clínicas de São José dos Campos, Jacareí, Caçapava, Taubaté e Pindamonhangaba, esse conjunto costuma cobrir a maior parte da exposição real do dia a dia.

O elo mais frágil quase nunca é o software. É a recepção, onde o dado entra, sai e circula o tempo todo. Senha compartilhada, tela aberta com o nome do paciente à vista, exame enviado para o número errado e prontuário comentado em voz alta são falhas que nenhuma ferramenta corrige sozinha. Treinamento curto e periódico, com exemplos da própria clínica, rende mais do que um manual extenso que ninguém lê.

Por fim, registre o que foi feito. Ata de reunião, versão datada da política, comprovante de treinamento e contrato assinado com cada fornecedor formam o histórico que a clínica apresenta se for questionada. Conformidade que não deixa rastro documental é difícil de demonstrar, e a demonstração é justamente o que se pede em uma fiscalização ou em uma reclamação de titular.

• ✓Inventário completo de onde circula dado de paciente, incluindo planilhas e grupos de mensagem.
• ✓Mapa de finalidades separando tutela da saúde, cobrança, convênio e marketing.
• ✓Base legal definida por finalidade, com o art. 11, II, "f", sustentando o atendimento.
• ✓Termo de consentimento específico apenas para marketing, imagem e pesquisa sem anonimização.
• ✓Política de privacidade que descreve o processo real da clínica, sem texto importado.
• ✓Canal de comunicação com o titular publicado e monitorado, com prazo interno de resposta.
• ✓Verificação do enquadramento como agente de pequeno porte e do art. 3º da Resolução CD/ANPD nº 2/2022.
• ✓Acesso ao prontuário por perfil, com senha individual e registro de acesso por colaborador.
• ✓Contrato assinado com cada operador, incluindo sistema de gestão, nuvem e empresa de cobrança.
• ✓Política de retenção alinhada ao mínimo de 20 anos e à guarda permanente do prontuário eletrônico.
• ✓Plano de resposta a incidente com responsável nomeado e o prazo de 3 dias úteis destacado.
• ✓Rotina de backup testada, com restauração verificada e não apenas agendada.
• ✓Treinamento periódico da recepção, que é o ponto de maior exposição diária da clínica.