LGPD em clínicas: guia prático para adequação e segurança de dados

O que é LGPD e por que clínicas precisam se adequar

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) estabelece regras sobre coleta, armazenamento, tratamento e compartilhamento de dados pessoais no Brasil. Para clínicas médicas, odontológicas e de saúde em geral, a adequação não é opcional: dados de pacientes são considerados dados sensíveis pela lei, o que exige cuidados redobrados.

Clínicas que descumprem a LGPD estão sujeitas a advertências, multas de até R$ 50 milhões ou 2% do faturamento, bloqueio de dados e proibição parcial ou total de atividades relacionadas ao tratamento de dados.

Dados de saúde são sensíveis: entenda a diferença

A LGPD classifica dados em duas categorias principais:

• Dados pessoais: nome, CPF, endereço, telefone, e-mail
• Dados sensíveis: origem racial, convicção religiosa, opinião política, saúde, vida sexual, dados genéticos ou biométricos

Dados de saúde recebem proteção especial porque podem gerar discriminação ou constrangimento. Prontuários, exames, diagnósticos, prescrições e histórico médico entram nessa categoria.

Bases legais para tratamento de dados em clínicas

Clínicas podem tratar dados de pacientes com base em:

• Consentimento: autorização clara e específica do paciente
• Tutela da saúde: procedimentos realizados por profissionais de saúde
• Obrigação legal: cumprimento de exigências dos conselhos profissionais e órgãos reguladores
• Exercício regular de direitos: defesa em processos judiciais ou administrativos

O consentimento precisa ser documentado, específico para cada finalidade e pode ser revogado a qualquer momento pelo paciente.

Direitos dos pacientes que sua clínica deve garantir

A LGPD garante aos pacientes:

• Confirmação e acesso: saber se a clínica trata seus dados e ter acesso a eles
• Correção: solicitar atualização de dados incompletos ou incorretos
• Anonimização ou bloqueio: pedir que dados sejam tornados anônimos
• Eliminação: solicitar exclusão de dados tratados com base em consentimento
• Portabilidade: receber seus dados em formato estruturado
• Informação sobre compartilhamento: saber com quem a clínica compartilha dados
• Revogação do consentimento: retirar autorização previamente dada

Sua clínica precisa ter processos claros para atender essas solicitações em prazo razoável.

Checklist prático de adequação à LGPD

Mapeamento de dados

• Liste todos os dados coletados (nome, CPF, exames, imagens, etc.)
• Identifique onde estão armazenados (sistema, papel, nuvem)
• Documente quem tem acesso a cada tipo de dado
• Mapeie o fluxo: desde a coleta até o descarte

Documentação obrigatória

• Política de Privacidade: documento público explicando como a clínica trata dados
• Termos de Consentimento: autorizações específicas por finalidade
• Registro de Tratamento: planilha interna detalhando operações com dados
• Contratos com fornecedores: cláusulas de proteção de dados com laboratórios, sistemas de gestão, empresas de TI

Medidas de segurança

• Senhas fortes e autenticação em duas etapas
• Criptografia de dados em trânsito e em repouso
• Backup regular com armazenamento seguro
• Controle de acesso por perfil (recepção, médicos, administração)
• Antivírus e firewall atualizados
• Descarte seguro de documentos físicos (fragmentadora)

Governança e processos

• Nomeie um responsável pela proteção de dados (pode ser interno ou DPO externo)
• Treine toda a equipe sobre LGPD e boas práticas
• Crie procedimentos para atender solicitações de pacientes
• Estabeleça plano de resposta a incidentes de segurança
• Revise contratos com prestadores de serviço

Situações comuns e como resolver

WhatsApp com dados de pacientes: crie grupos apenas quando necessário, evite enviar fotos de exames por aplicativos não criptografados, use sistemas específicos para comunicação profissional.

Prontuários em papel: mantenha em arquivo trancado com acesso restrito, não deixe sobre balcões ou em áreas de circulação, digitalize e armazene com segurança.

Marketing e lembretes: obtenha consentimento específico para envio de mensagens promocionais, permita descadastramento fácil, use lembretes de consulta apenas com dados essenciais.

Compartilhamento com laboratórios: formalize parcerias com contrato incluindo cláusulas de proteção de dados, compartilhe apenas informações necessárias.

Multas e fiscalização: o que esperar

A Autoridade Nacional de Proteção de Dados (ANPD) iniciou fiscalizações em 2021. Casos reais incluem:

• Hospitais notificados por vazamento de dados de pacientes
• Operadoras de saúde multadas por falhas em segurança
• Processos movidos por pacientes cujos dados foram expostos

Além das sanções administrativas, clínicas podem responder a ações judiciais individuais de pacientes que tiveram dados vazados, com pedidos de indenização por danos morais.

Próximos passos para sua clínica

1. Faça um diagnóstico da situação atual (30 dias)
2. Implemente medidas básicas de segurança (60 dias)
3. Elabore documentação obrigatória (90 dias)
4. Treine a equipe continuamente
5. Monitore e atualize processos regularmente

A adequação à LGPD protege seus pacientes e sua clínica. Sistemas de gestão especializados, como o Clinz, facilitam a conformidade com recursos de segurança, controle de acesso e armazenamento adequado de dados sensíveis.

Comece hoje: a proteção de dados é um processo contínuo, não um projeto com data final.