A LGPD na saúde trata os dados dos pacientes como dados pessoais sensíveis, uma categoria com regras mais restritivas que as dos demais dados pessoais na Lei 13.709/2018. Clínicas e consultórios podem tratar esses dados sem pedir consentimento quando o uso é para o próprio atendimento, para a tutela da saúde ou para cumprir obrigação legal, como manter o prontuário por no mínimo 20 anos. O que a lei cobra é outra coisa: usar os dados só para essas finalidades, controlar quem acessa, proteger as informações contra vazamento e responder aos pacientes quando pedirem acesso ou correção. Em caso de incidente com risco relevante, em regra, a clínica tem três dias úteis para comunicar a Agência Nacional de Proteção de Dados (ANPD) e os pacientes afetados, e as sanções chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração.
Na rotina da clínica, boa parte dos riscos não está no sistema de prontuário, e sim no exame enviado pelo WhatsApp pessoal, na agenda aberta na recepção e na planilha de pacientes compartilhada sem controle.
Por que dados de pacientes são dados sensíveis
Dados de pacientes são dados sensíveis porque a LGPD inclui expressamente no artigo 5º, inciso II, o dado referente à saúde. Isso abrange diagnóstico, prontuário, exames, prescrições, histórico de atendimentos e até a simples informação de que uma pessoa é paciente de determinada especialidade, como psiquiatria.
A classificação importa porque um vazamento de dado sensível pode gerar discriminação e dano difícil de reverter. Por isso, o artigo 11 da lei limita as situações em que esses dados podem ser tratados e prevê regras mais duras para o compartilhamento.
Quando a clínica precisa de consentimento do paciente
A clínica não precisa de consentimento do paciente para tratar dados de saúde quando o uso se encaixa em uma das hipóteses do artigo 11 da LGPD. As que mais aparecem na rotina de clínicas e consultórios:
- Tutela da saúde: o procedimento realizado por profissionais e serviços de saúde, como consulta, exame e tratamento.
- Obrigação legal ou regulatória: manter prontuário, emitir nota fiscal, informar pagamentos à Receita e atender normas do conselho de classe e da vigilância sanitária.
- Exercício regular de direitos: guardar registros para se defender em processo judicial, administrativo ou ético.
O consentimento passa a ser necessário quando o uso não se encaixa em nenhuma das hipóteses do artigo 11. É o caso de usar a imagem do paciente em antes e depois, depoimento ou conteúdo para redes sociais, que além da LGPD segue as regras de publicidade médica do conselho. Nessas situações, a autorização deve ser específica e destacada, de preferência por escrito, como no termo de cessão de direitos de uso de imagem disponível nos modelos de documentos da Método.
Mesmo com consentimento, o artigo 11, parágrafo 4º, veda a comunicação ou o uso compartilhado de dados de saúde entre controladores para obter vantagem econômica, com exceções ligadas à própria prestação de serviços de saúde.
Prontuário: quanto tempo guardar e quem pode acessar
O prontuário deve ser guardado por no mínimo 20 anos a partir do último registro, pelo artigo 6º da Lei 13.787/2018, tanto em papel quanto digitalizado. Esse prazo prevalece sobre o pedido de eliminação de dados: a LGPD, no artigo 16, autoriza a conservação dos dados para cumprir obrigação legal.
O acesso deve ficar restrito a quem participa do atendimento. Recepção e área administrativa precisam de agenda, cadastro e dados de cobrança, não de diagnóstico. O paciente, por sua vez, tem direito de confirmar quais dados a clínica tem sobre ele, acessar e pedir correção, pelo artigo 18 da LGPD.
Prontuário não se confunde com documento fiscal: notas e comprovantes seguem os prazos tributários, explicados no post sobre quanto tempo guardar notas fiscais.
A estrutura da sua clínica acompanha as exigências da saúde?
Uma clínica com exigências em aberto descobre o problema na fiscalização, e não antes. A Método atende clínicas e consultórios desde 2018 e conduz com você registro no conselho, CNES, vigilância sanitária e a estrutura contábil e de pessoal do negócio.
Atendimento remoto para todo o Brasil.
Dados de funcionários também entram na conta
Os dados de saúde dos funcionários também são sensíveis. Atestados médicos, exames admissionais e periódicos, o ASO e informações de afastamento ficam sob as mesmas regras, e o acesso deve ser restrito a quem cuida do departamento pessoal.
O mesmo vale para imagens. Câmeras de segurança captam dados pessoais de funcionários e pacientes, e o uso precisa ter finalidade clara e aviso, como explicamos no post sobre câmeras de vigilância no ambiente de trabalho. O termo de ciência de monitoramento por câmeras também está nos modelos de documentos.
O que fazer em caso de vazamento
Em caso de vazamento ou acesso indevido que possa causar risco ou dano relevante aos pacientes, em regra a clínica deve comunicar a ANPD e os titulares afetados em até três dias úteis do conhecimento do incidente, pela Resolução CD/ANPD 15/2024. Pela norma, a comunicação é obrigatória quando o incidente pode afetar significativamente os direitos dos titulares e envolve, entre outros, dados sensíveis, o que costuma ser o caso de dados de saúde.
As sanções do artigo 52 da LGPD, aplicáveis desde agosto de 2021, vão da advertência à multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, e incluem a publicização da infração, o bloqueio ou a eliminação dos dados e, nos casos mais graves, a suspensão ou a proibição do tratamento de dados. Para uma clínica, a exposição pública do incidente pode pesar tanto quanto a multa.
Microempresas e empresas de pequeno porte têm um regime simplificado, pela Resolução CD/ANPD 2/2022, com prazos em dobro e dispensa de indicar encarregado, desde que mantenham um canal de contato com os titulares. Esse regime, porém, não vale para quem faz tratamento de alto risco. Pela resolução, o uso de dados sensíveis, como os de saúde, já preenche um dos critérios, e basta somar a ele o tratamento em larga escala ou com potencial de afetar significativamente os direitos dos pacientes. Cada clínica precisa avaliar sua situação, de preferência com apoio jurídico especializado.
Boas práticas de LGPD para clínicas e consultórios
As boas práticas de LGPD para clínicas começam por medidas simples, que já reduzem boa parte do risco:
- sistema de prontuário com login individual e registro de acessos, sem senha compartilhada;
- envio de exames e laudos por canal seguro, e não pelo WhatsApp pessoal do profissional;
- agenda e telas da recepção fora da vista de quem está na sala de espera;
- termo de confidencialidade para funcionários e prestadores com acesso a dados;
- contratos com fornecedores de sistema prevendo segurança e sigilo dos dados;
- política de privacidade no site e canal para o paciente exercer seus direitos.
Perguntas frequentes sobre LGPD na saúde
O que a LGPD muda para clínicas e consultórios?
Dados de pacientes são dados sensíveis pela LGPD. A clínica pode tratá-los para o atendimento e para cumprir obrigações legais, mas precisa limitar o uso a essas finalidades, controlar acessos, proteger as informações e atender os pedidos dos pacientes, como acesso e correção.
A clínica precisa de consentimento do paciente pela LGPD?
Não para o atendimento em si. O artigo 11 da LGPD permite tratar dados de saúde sem consentimento para tutela da saúde e para cumprir obrigação legal. O consentimento é exigido para usos fora disso, como imagem do paciente em redes sociais ou depoimentos.
Por quanto tempo a clínica deve guardar o prontuário?
Por no mínimo 20 anos a partir do último registro, pela Lei 13.787/2018, em papel ou digitalizado. Esse prazo prevalece sobre um pedido de eliminação, porque a LGPD autoriza conservar dados para cumprir obrigação legal.
O que fazer se os dados dos pacientes vazarem?
Se o incidente puder causar risco ou dano relevante, em regra a clínica deve comunicar a ANPD e os pacientes afetados em até três dias úteis, pela Resolução CD/ANPD 15/2024, e adotar medidas para conter o problema. Como envolvem dados sensíveis, incidentes com dados de saúde costumam exigir essa comunicação.
Qual a multa por descumprir a LGPD?
A multa simples chega a 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, pelo artigo 52 da LGPD. A lei também prevê advertência, publicização, bloqueio ou eliminação dos dados e até a suspensão do tratamento.
