LGPD em clínicas: o que você precisa saber para estar em conformidade

O que é LGPD e por que clínicas precisam se preocupar

A Lei Geral de Proteção de Dados (Lei 13.709/2018) regula como empresas e organizações coletam, armazenam e utilizam dados pessoais no Brasil. Para clínicas de saúde, a atenção deve ser redobrada: informações médicas são classificadas como dados sensíveis, categoria que recebe proteção especial pela legislação.

Clínicas que não se adequarem estão sujeitas a penalidades que vão desde advertências até multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração. Além das sanções financeiras, há o risco de danos à reputação e perda de confiança dos pacientes.

Dados sensíveis: o que sua clínica coleta

Segundo a LGPD, dados sensíveis incluem informações sobre saúde, origem racial ou étnica, convicções religiosas, opiniões políticas, dados genéticos e biométricos. Em clínicas, isso engloba:

• Prontuários médicos e histórico de saúde
• Resultados de exames laboratoriais e diagnósticos
• Prescrições e tratamentos realizados
• Dados biométricos (impressões digitais, reconhecimento facial)
• Informações genéticas
• Fotografias clínicas

Qualquer estabelecimento que colete esses dados precisa ter base legal para o tratamento e seguir princípios como finalidade, adequação, necessidade e transparência.

Bases legais para tratamento de dados em clínicas

A LGPD estabelece hipóteses que permitem o tratamento de dados sensíveis. Para clínicas, as principais são:

Consentimento do titular: o paciente autoriza expressamente o uso de seus dados para finalidades específicas. O consentimento precisa ser livre, informado e documentado.

Tutela da saúde: quando o tratamento é necessário para procedimentos realizados por profissionais de saúde ou estabelecimentos de saúde.

Cumprimento de obrigação legal: como o envio de notificações compulsórias de doenças à vigilância sanitária.

Exercício regular de direitos: para defesa em processos judiciais ou administrativos.

É fundamental documentar qual base legal está sendo utilizada para cada tipo de tratamento de dados na clínica.

Direitos dos pacientes que sua clínica deve garantir

A LGPD concede aos pacientes diversos direitos sobre seus dados pessoais:

• Confirmação e acesso: saber se a clínica possui seus dados e ter acesso a eles
• Correção: solicitar atualização de dados incompletos ou incorretos
• Anonimização ou exclusão: pedir a remoção de dados desnecessários (com exceções para prontuários, que têm prazos legais de guarda)
• Portabilidade: receber seus dados em formato estruturado
• Revogação do consentimento: retirar autorização previamente concedida
• Oposição: discordar de determinado tratamento de dados

Sua clínica precisa ter processos estabelecidos para atender essas solicitações em prazo razoável.

Medidas práticas para adequação à LGPD

1. Mapeie os dados

Identifique quais dados sua clínica coleta, como são armazenados, quem tem acesso e por quanto tempo são mantidos. Documente todo o fluxo de informações.

2. Nomeie um encarregado de dados

A LGPD exige a indicação de um Data Protection Officer (DPO) ou encarregado de proteção de dados. Essa pessoa será o canal de comunicação entre a clínica, os pacientes e a Autoridade Nacional de Proteção de Dados (ANPD).

3. Revise contratos e termos

Atualize contratos com fornecedores, convênios e colaboradores. Crie ou revise:

• Termo de consentimento claro e específico
• Política de privacidade acessível
• Contratos com operadores de dados (laboratórios, sistemas de gestão, serviços de nuvem)

4. Implemente segurança da informação

• Use sistemas com criptografia de dados
• Estabeleça níveis de acesso por função
• Faça backups regulares em ambientes seguros
• Treine a equipe sobre segurança de senhas
• Implemente autenticação em duas etapas

5. Treine sua equipe

Todos os colaboradores que têm contato com dados de pacientes precisam entender a LGPD e suas responsabilidades. Realize treinamentos periódicos sobre:

• Princípios da LGPD
• Boas práticas de segurança
• Protocolos para incidentes de segurança
• Atendimento a solicitações de pacientes

6. Revise o descarte de informações

Estabeleça procedimentos seguros para descarte de:

• Documentos físicos (use fragmentadoras)
• Mídias digitais (pen drives, HDs)
• Equipamentos que armazenam dados

Lembre-se que prontuários médicos devem ser mantidos por no mínimo 20 anos a partir do último registro, conforme Resolução CFM 1.821/2007.

Cuidados com sistemas e softwares

Se sua clínica utiliza sistemas de gestão, prontuário eletrônico ou armazenamento em nuvem, verifique se os fornecedores:

• Estão adequados à LGPD
• Oferecem criptografia de dados
• Possuem certificações de segurança
• Têm servidores no Brasil ou cláusulas específicas para transferência internacional
• Fornecem relatórios de acesso e auditoria

Exija contratos que especifiquem as responsabilidades de cada parte no tratamento dos dados.

Incidentes de segurança: como agir

Em caso de vazamento ou acesso não autorizado a dados, a LGPD exige que a ANPD e os titulares afetados sejam notificados em prazo razoável. Sua clínica deve ter um plano de resposta a incidentes que inclua:

• Identificação e contenção da falha
• Avaliação do impacto
• Comunicação às autoridades e pacientes
• Medidas corretivas
• Documentação do ocorrido

Próximos passos

A adequação à LGPD não é evento único, mas um processo contínuo. Comece pelas medidas mais urgentes, como mapeamento de dados e revisão de segurança, e avance gradualmente para uma cultura de proteção de dados em toda a clínica.

Considere consultar um advogado especializado em proteção de dados para revisar seus processos. Ferramentas de gestão especializadas para clínicas podem facilitar a conformidade ao oferecer recursos nativos de segurança e adequação à legislação.