LGPD em clínicas e consultórios: prontuário, dados de saúde e sigilo

Uma clínica trata dados de saúde o dia inteiro. A recepção cadastra o paciente e a carteirinha do convênio, o WhatsApp confirma a consulta, o profissional registra a evolução no prontuário eletrônico, o laboratório devolve resultados de exames e o faturamento envia as guias para a operadora. Tudo isso envolve dados pessoais sensíveis, e boa parte passa por sistemas e pessoas que não são da área clínica.

Na hora de aplicar a LGPD em clínicas e consultórios, dois erros aparecem com frequência. O primeiro é achar que tudo depende de consentimento e colocar um termo para o paciente assinar na recepção. O segundo é achar que o sigilo profissional já resolve tudo. Nenhum dos dois está certo. O sigilo continua valendo, e a LGPD acrescenta regras sobre base legal, segurança, acesso da equipe, fornecedores, direitos do paciente e guarda dos documentos.

Este guia é para clínicas médicas e odontológicas, consultórios e laboratórios que querem organizar essas regras na rotina. A teoria sobre dados sensíveis e o art. 11 da LGPD está no nosso artigo sobre como identificar e mapear dados pessoais sensíveis.

A LGPD tem uma hipótese feita para o atendimento em saúde. O art. 11, II, "f", permite tratar dados sensíveis sem consentimento quando isso for indispensável para a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Consultas, exames, registro em prontuário, prescrições e encaminhamentos se encaixam aqui. Pedir consentimento para atender o paciente que marcou a consulta é desnecessário e ainda cria a falsa ideia de que, se ele revogar, a clínica terá de apagar o prontuário.

Outras hipóteses completam o quadro. A guarda do prontuário pelo prazo previsto em lei se apoia no cumprimento de obrigação legal ou regulatória (art. 11, II, "a"). Conservar documentos para se defender em um eventual processo se apoia no exercício regular de direitos (art. 11, II, "d"). Os dados cadastrais e de pagamento, que não são sensíveis, seguem as bases do art. 7º, como a execução do contrato de prestação do serviço.

O consentimento costuma aparecer no que vai além do atendimento: usar a foto de um paciente em rede social, incluí-lo em uma lista de novidades da clínica ou usar seus dados em um projeto sem relação com o cuidado dele. Quando envolver dados de saúde, ele precisa ser específico e destacado, para finalidades específicas (art. 11, I).

A Lei nº 13.787/2018 trata da digitalização e do uso de sistemas informatizados para guardar e manusear o prontuário do paciente, e diz expressamente que essas atividades também são regidas pela LGPD. A digitalização precisa assegurar a integridade, a autenticidade e a confidencialidade do documento, com uso de certificado digital da ICP-Brasil ou de outro padrão legalmente aceito. Os originais em papel só podem ser destruídos depois da digitalização feita nesses termos e da análise de uma comissão permanente de revisão de prontuários criada para essa finalidade.

O prazo mínimo de guarda é de 20 anos contados a partir do último registro, e não da primeira consulta. Depois disso, o prontuário, em papel ou digitalizado, pode ser eliminado ou, alternativamente, devolvido ao paciente. A lei admite prazos diferentes fixados em regulamento, exige que a eliminação preserve a intimidade do paciente e o sigilo das informações e manda registrar a destinação final dos prontuários. Para organizar os prazos dos demais documentos da clínica, veja nosso guia sobre prazo de guarda de documentos.

Para médicos, o Código de Ética Médica acrescenta deveres próprios: elaborar prontuário legível para cada paciente e mantê-lo sob a guarda do médico ou da instituição que presta a assistência (art. 87). Dentistas e outros profissionais de saúde devem conferir as normas vigentes do respectivo conselho profissional sobre prontuário e sigilo.

Na prática, a clínica precisa saber onde está cada prontuário, inclusive os antigos em papel, quem acessa, como o sistema registra alterações e acessos e o que acontece com os dados se o fornecedor do sistema for trocado. Essa última pergunta costuma ficar sem resposta até o dia em que a troca acontece.

A recepção precisa da agenda, dos dados cadastrais e das informações do convênio. Não precisa ler a evolução clínica. O faturamento precisa dos códigos de procedimento para cobrar a operadora, mas não do histórico completo do paciente. O profissional de saúde precisa do prontuário dos pacientes que atende. Traduzir isso em perfis de acesso no sistema é uma das medidas mais efetivas e mais baratas que uma clínica pode adotar.

O Código de Ética Médica proíbe o médico de permitir o manuseio e o conhecimento dos prontuários sob sua responsabilidade por pessoas não obrigadas ao sigilo profissional (art. 85) e de deixar de orientar seus auxiliares a respeitar o sigilo (art. 78). Por isso, recepcionistas, auxiliares e equipe administrativa devem assinar termos de confidencialidade e receber orientação sobre o que podem e o que não podem acessar.

Os pontos fracos costumam ser simples: um único login compartilhado por toda a recepção, a tela do computador virada para a sala de espera, fichas impressas esquecidas no balcão, o nome e o motivo da consulta falados em voz alta e resultados de exames enviados para o e-mail errado. Nenhum deles exige tecnologia cara para ser corrigido.

Imagine um consultório odontológico com três dentistas, duas recepcionistas e um sistema de prontuário na nuvem. Ao mapear a rotina, a equipe descobre que as recepcionistas usam o mesmo login, que esse login dá acesso completo às fichas clínicas, que as radiografias são enviadas aos pacientes por mensagem e que fotos de antes e depois ficam na galeria do celular de um dos dentistas.

Os ajustes são simples. Cada pessoa passa a ter o próprio login, e o perfil da recepção deixa de ver a evolução clínica. As radiografias passam a ser disponibilizadas por um link protegido. As fotos clínicas vão para o prontuário e saem do celular, e o uso de qualquer imagem em rede social passa a depender de autorização específica e da conferência das regras do conselho. Ao revisar o contrato com o fornecedor do sistema, o consultório percebe que não havia nenhuma cláusula sobre a devolução dos dados ao fim do contrato e negocia a inclusão. O exemplo é fictício, mas cada um desses pontos é comum na rotina de consultórios.

O sigilo profissional é anterior à LGPD e continua valendo. O Código Penal tipifica como crime revelar, sem justa causa, segredo de que se tem ciência em razão da profissão e cuja revelação possa produzir dano a outrem (art. 154). O Código de Ética Médica veda revelar fato conhecido no exercício da profissão, salvo por motivo justo, dever legal ou consentimento por escrito do paciente (art. 73), e mantém a proibição mesmo que o fato seja público ou o paciente tenha falecido.

A LGPD não substitui essas regras. Ela acrescenta obrigações que o sigilo não cobria de forma organizada: ter base legal para cada tratamento, informar o paciente, adotar medidas de segurança técnicas e administrativas, controlar fornecedores, atender pedidos dos titulares e responder a incidentes.

Esse último ponto merece atenção. Pela Resolução CD/ANPD nº 15/2024, a comunicação à ANPD e aos titulares é obrigatória quando o incidente puder afetar significativamente os titulares e envolver pelo menos um dos critérios listados na resolução, entre eles dados sensíveis e dados protegidos por sigilo profissional. Os dados de uma clínica costumam atender aos dois. Se um incidente tiver potencial de afetar significativamente os pacientes, o prazo para comunicar é de três dias úteis a partir do momento em que a clínica sabe que dados pessoais foram afetados.

Uma clínica pequena depende de muitos fornecedores: o sistema de prontuário e agenda, o serviço de nuvem, a ferramenta de mensagens, o laboratório de apoio, a empresa de TI, o contador e as operadoras de planos de saúde. Cada um recebe uma parte dos dados, e alguns recebem tudo.

O fornecedor do sistema de prontuário é o mais crítico. Antes de contratar ou renovar, vale conferir onde os dados ficam armazenados, quem da empresa pode acessá-los, se há registro de acessos, como incidentes são comunicados à clínica, se há outros fornecedores envolvidos e, principalmente, como os dados são devolvidos em formato utilizável ao fim do contrato. Uma clínica que não consegue tirar seus prontuários do sistema antigo tem um problema de continuidade do atendimento, além de um problema de proteção de dados.

A LGPD proíbe a comunicação ou o uso compartilhado entre controladores de dados de saúde com o objetivo de obter vantagem econômica (art. 11, § 4º). As exceções envolvem a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos titulares, para permitir a portabilidade pedida pelo paciente ou as transações financeiras e administrativas resultantes desses serviços. O § 5º do mesmo artigo proíbe as operadoras de planos de saúde de usar dados de saúde para seleção de riscos na contratação ou na exclusão de beneficiários.

Na prática, enviar à operadora o necessário para autorizar e faturar um procedimento está dentro das exceções. Repassar a lista de pacientes a uma empresa de suplementos, a uma academia parceira ou a qualquer outro negócio para que ofereça produtos não está. Na dúvida, a pergunta é simples: esse compartilhamento serve ao cuidado do paciente ou às transações financeiras e administrativas desse cuidado?

O paciente tem direito de acesso aos seus dados (art. 18, II). A LGPD prevê duas formas de resposta: em formato simplificado, imediatamente, ou por declaração clara e completa, em até 15 dias contados do pedido (art. 19). Para médicos, o Código de Ética Médica também veda negar ao paciente acesso ao prontuário, deixar de fornecer cópia quando solicitada ou deixar de dar as explicações necessárias para que ele entenda o conteúdo, salvo quando isso trouxer riscos ao próprio paciente ou a terceiros (art. 88).

Pedidos de eliminação precisam de cuidado. O paciente pode pedir para apagar seus dados, mas o prontuário tem prazo legal de guarda, e a LGPD autoriza a conservação para cumprir obrigação legal (art. 16, I). A resposta correta explica isso com clareza, informa até quando o prontuário será mantido e elimina o que não tem obrigação de guarda, como o cadastro em uma lista de mensagens promocionais.

Pedidos feitos por familiares, por representantes ou relativos a pacientes falecidos exigem análise caso a caso, porque envolvem sigilo, representação legal e, muitas vezes, conflitos familiares. Ter um procedimento escrito, com quem recebe, como confere a identidade e quem decide, evita respostas improvisadas no balcão. O nosso guia sobre como organizar o atendimento das solicitações dos titulares detalha esse fluxo.

Confirmar consultas e enviar lembretes por mensagem faz parte do atendimento. O cuidado está no conteúdo: a mensagem não precisa dizer o motivo da consulta nem o nome do exame, porque o celular pode ser visto por outras pessoas. Para resultados de exames e laudos, o mais seguro é usar um canal com acesso controlado, como o portal do laboratório ou um link protegido por senha, em vez de mandar o arquivo anexado em uma conversa.

Fotos de pacientes, depoimentos e casos clínicos em redes sociais exigem autorização específica do paciente. Para médicos e dentistas, há uma camada adicional: os conselhos profissionais têm regras próprias de publicidade e exposição de pacientes, que em alguns casos restringem esse uso mesmo com autorização. Consulte a norma vigente do seu conselho antes de publicar.

Dados de saúde estão entre as prioridades da ANPD. O Mapa de Temas Prioritários para 2026 e 2027 prevê 10 ações de fiscalização voltadas a dados biométricos, de saúde ou financeiros. Isso não significa que toda clínica será fiscalizada, mas reforça a importância de ter a rotina organizada e documentada. Um plano inicial pode seguir esta ordem:

O aviso de privacidade para pacientes não precisa ser longo. Ele deve dizer quem é a clínica, quais dados coleta e para quê, com quem compartilha (operadoras, laboratórios, fornecedores de sistema), por quanto tempo guarda o prontuário e como o paciente pode fazer pedidos. Um cartaz na recepção com um QR code para o texto completo é uma forma prática de dar acesso.

Para clínicas com grande volume de pacientes ou que estão adotando algo novo, como telemedicina, ferramentas de transcrição de consultas ou uso de inteligência artificial na análise de exames, vale elaborar um relatório de impacto à proteção de dados pessoais antes de colocar a mudança em uso. O nosso guia avançado do RIPD mostra como estruturar essa análise.

Um consultório com um profissional e uma secretária consegue manter esse controle com poucos documentos. A dificuldade cresce com o número de profissionais, unidades, sistemas e convênios. Os pedidos de pacientes chegam por telefone, e-mail e recepção, cada um com um prazo. Os fornecedores mudam. Um novo serviço exige uma nova análise de risco. Sem um lugar central para esses registros, a clínica depende da memória de quem está no cargo.

No módulo de Mapeamento de Dados da LGPD Cloud, cada atividade da clínica, como atendimento, faturamento de convênios ou envio de lembretes, pode ser registrada com setor, bases legais, tempo de retenção, perfis de titulares, armazenamento físico ou digital, sistemas usados, transferência internacional e compartilhamentos com terceiros, como laboratórios e operadoras.

Os tratamentos de maior risco podem ter um RIPD elaborado na própria plataforma, vinculado à atividade, com avaliação de necessidade e proporcionalidade, matriz de riscos, medidas de controle, risco residual, conclusões e registro de aprovação com data, responsável e cargo.

Os pedidos de pacientes podem ser recebidos pelo módulo de Direito dos Titulares, com canal próprio, confirmação de e-mail, protocolo, controle de prazo com pausa e retomada, histórico de mensagens e anexos e registro de procurador, o que ajuda nos pedidos feitos por representantes. As decisões clínicas e jurídicas continuam com os profissionais; a plataforma mantém os registros organizados e rastreáveis.

Aplicar a LGPD em clínicas e consultórios não exige colher consentimento de todo paciente. O atendimento se apoia na tutela da saúde, a guarda do prontuário se apoia em obrigação legal e o consentimento fica para o que vai além do cuidado. O trabalho está em organizar acessos, fornecedores, pedidos de pacientes, comunicação e guarda de documentos.

Se for preciso escolher um ponto de partida, comece pelos perfis de acesso ao prontuário e pelo contrato com o fornecedor do sistema. São as duas decisões que mais protegem os pacientes e as que mais pesam quando algo dá errado.

Consulte o texto compilado da LGPD, especialmente os artigos 11, 16, 18 e 19, a Lei nº 13.787/2018, o art. 154 do Código Penal, o Código de Ética Médica, a Resolução CD/ANPD nº 15/2024 e o Mapa de Temas Prioritários da ANPD. No blog, veja também os artigos sobre dados pessoais sensíveis, RIPD e direitos dos titulares.