LGPD na clínica: checklist de conformidade para dados de pacientes

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) não é opcional para clínicas: todo prontuário, toda agenda e toda conversa de WhatsApp com paciente contém dados pessoais — e quase sempre dados sensíveis de saúde, a categoria mais protegida da lei. A boa notícia é que a conformidade de uma clínica de pequeno ou médio porte é um projeto finito. Este checklist organiza o caminho em nove frentes, na ordem em que fazem sentido.

1. Mapeie as bases legais: art. 7º e art. 11

Todo tratamento de dado pessoal precisa de uma base legal. A LGPD tem dois cardápios distintos:

• Art. 7º — bases para dados pessoais em geral (nome, telefone, CPF, endereço): consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse, entre outras.
• Art. 11 — bases para dados sensíveis, incluindo dados de saúde. Aqui o rol é mais restrito, e a base central para a clínica é a tutela da saúde (art. 11, II, "f"): o tratamento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária, no exercício da assistência.

Tradução prática: para atender o paciente — registrar anamnese, prescrever, acompanhar evolução — a clínica não depende de consentimento; a base é a tutela da saúde. Isso é importante porque consentimento pode ser revogado, e o cuidado assistencial não pode ficar refém disso.

Consentimento vs. outras bases: quando usar cada uma

2. Trate dados de saúde como o que são: sensíveis

Dados de saúde exigem um nível de cuidado acima do padrão. Na prática, isso significa:

• Minimização: colete apenas o necessário para a finalidade assistencial. CPF do acompanhante, por exemplo, raramente é necessário.
• Controle de acesso por papel: a recepção não precisa ler a evolução clínica; o financeiro não precisa ver o diagnóstico. Cada perfil acessa só o que a função exige.
• Criptografia: dados em repouso e em trânsito criptografados com padrão forte (AES-256-GCM é a referência atual).
• Trilha de auditoria: registro imutável de quem acessou o quê e quando — essencial para investigar incidentes e demonstrar conformidade à ANPD.
• Proibição de canais informais: resultado de exame no grupo de WhatsApp da equipe é incidente de segurança esperando para acontecer.

3. Nomeie um encarregado (DPO)

O art. 41 da LGPD exige que o controlador indique um encarregado pelo tratamento de dados pessoais (DPO). Para uma clínica, isso não exige contratar um executivo: pode ser um profissional interno capacitado ou um serviço externo. O que importa:

• Nome e contato do encarregado publicados (site e/ou recepção);
• Canal funcional para receber pedidos de titulares e comunicações da ANPD;
• Autonomia para orientar a equipe e reportar riscos à direção.

4. Elabore o RIPD (Relatório de Impacto)

O Relatório de Impacto à Proteção de Dados Pessoais é o documento que descreve os tratamentos que podem gerar risco às liberdades do titular — e tratamento de dado sensível de saúde em escala é exatamente esse caso. Um RIPD de clínica deve cobrir:

• Quais dados são tratados, de quem, e com qual finalidade e base legal;
• O ciclo de vida do dado: coleta, armazenamento, compartilhamento, retenção e eliminação;
• Riscos identificados (acesso indevido, vazamento, perda) e as medidas que os mitigam;
• Revisão periódica — o RIPD é documento vivo, não formalidade de gaveta.

5. Formalize contratos com operadores (DPA)

Todo fornecedor que trata dados de pacientes em nome da clínica é um operador: o software de gestão, o laboratório parceiro, a contabilidade que recebe dados de faturamento, o serviço de mensagens. Com cada um deles, a clínica precisa de um contrato de tratamento de dados (DPA) que defina:

• O que o operador pode e não pode fazer com os dados;
• Medidas de segurança mínimas exigidas (criptografia, controle de acesso, backup);
• Dever de comunicar incidentes à clínica em prazo definido;
• Devolução ou eliminação dos dados ao fim do contrato — de preferência em formato portável e aberto, como HL7 FHIR R4.

6. Operacionalize os direitos do titular

O paciente tem, entre outros, os direitos de confirmação de tratamento, acesso aos dados, correção de dados incompletos ou desatualizados, portabilidade, informação sobre compartilhamentos e revogação do consentimento (onde consentimento for a base). Para a clínica, o teste é simples: se um paciente pedir hoje uma cópia integral dos seus dados, em quanto tempo você entrega?

• Defina um canal único de recebimento (o e-mail do DPO resolve);
• Estabeleça prazo interno de resposta (15 dias é uma referência segura);
• Lembre-se: revogar consentimento de marketing não apaga o prontuário — a guarda do registro clínico tem base legal própria e prazos regulatórios de retenção.

7. Tenha um plano de resposta a incidentes

Incidente de segurança com dados pessoais — vazamento, acesso indevido, perda de equipamento — exige resposta organizada. A ANPD exige a comunicação de incidentes que possam acarretar risco ou dano relevante aos titulares, em prazo curto (a regulamentação da ANPD fixa 3 dias úteis como referência). Seu plano precisa definir, antes do incidente:

• Quem aciona quem: equipe → DPO → direção → jurídico;
• Contenção: como isolar o problema (bloquear credencial, revogar acesso, restaurar backup);
• Avaliação: quais dados, quantos titulares, qual o risco provável;
• Comunicação: quando e como notificar ANPD e pacientes afetados;
• Registro: tudo documentado, mesmo nos incidentes que não exigirem notificação.

8. Treine a equipe — e repita

A maioria dos incidentes em clínicas não nasce de ataque sofisticado, e sim de rotina: senha compartilhada, tela aberta na recepção, exame enviado ao contato errado. Treinamento de proteção de dados deve ser parte do onboarding de todo colaborador e reciclado ao menos uma vez por ano, cobrindo: o que é dado sensível, o que pode e não pode ser enviado por mensageria, como reconhecer phishing e a quem reportar qualquer suspeita — sem punir quem reporta.

9. Checklist final de conformidade

A tecnologia certa faz metade do checklist

Repare que quase metade dos itens acima depende diretamente do software que a clínica usa: criptografia, controle de acesso, auditoria, backup, portabilidade e DPA. É por isso que a escolha da plataforma é, na prática, uma decisão de compliance. A Tekove, por exemplo, foi construída alinhada à LGPD desde a origem: criptografia AES-256-GCM, cadeia de auditoria imutável HMAC-SHA256 append-only, hospedagem AWS na região América do Sul, backup a cada 6 horas, DPA assinado no onboarding e dados do paciente portáveis em HL7 FHIR R4 — com export disponível por 90 dias após o cancelamento. Os itens organizacionais — DPO, RIPD, treinamento — continuam sendo trabalho da clínica; os técnicos, a plataforma já entrega prontos.

Leia também