A LGPD na clínica costuma ser tratada de duas formas erradas: ou como burocracia que não afeta consultório pequeno, ou como pânico que faz o dono comprar um pacote de documentos e achar que resolveu. Nenhuma das duas protege.
A realidade é mais simples e mais séria. Clínica lida com dado de saúde, que a lei classifica como dado pessoal sensível, a categoria de maior proteção. Isso vale para a rede com dez unidades e para o consultório de um profissional só. Não existe isenção por porte.
Este artigo explica o que muda no dia a dia, o que fazer de concreto e onde estão os riscos que mais aparecem na prática. Não é consultoria jurídica: para adequação formal, procure um advogado da área.
Por que clínica é um caso especial na LGPD
A maioria das empresas trata dado comum: nome, telefone, e-mail. Clínica trata isso mais tudo o que a lei protege com rigor máximo. Diagnóstico, histórico de doenças, medicamentos, alergias, imagens clínicas, evolução de tratamento. Tudo isso é dado sensível.
A consequência prática é que o cuidado exigido é maior, o impacto de um vazamento é mais grave e a responsabilidade continua sendo da clínica mesmo quando os dados estão em um sistema contratado de terceiro.
O detalhe que pega quase todo mundo: o consentimento que o paciente dá para ser atendido não autoriza usar a foto dele em marketing. São finalidades diferentes e exigem autorizações separadas, específicas e destacadas. Publicar caso clínico com base no termo de atendimento é uma das falhas mais comuns.
O que muda na rotina da clínica
Fora do papel, a lei aparece em situações bem concretas.
Quem acessa o quê
Nem todo mundo da equipe precisa ver tudo. Acesso por perfil, com registro de quem consultou qual prontuário, deixa de ser luxo e vira controle esperado.
Onde a informação circula
Prontuário fotografado e enviado por WhatsApp pessoal, planilha compartilhada sem controle e grupo com dado de paciente são os pontos mais frágeis da operação.
O que acontece na saída
Funcionário que sai precisa ter acesso revogado no mesmo dia. Base de paciente que vai embora no celular de alguém é incidente de segurança.
Uso de imagem e depoimento
Foto de resultado, depoimento e caso clínico exigem autorização específica para aquela finalidade, com o paciente sabendo onde e por quanto tempo será usada.
Prontuário: a lei manda guardar e proteger ao mesmo tempo
Existe uma confusão frequente aqui. Alguns donos de clínica entendem que a LGPD dá ao paciente o direito de exigir a exclusão de tudo, inclusive do prontuário. Não é bem assim.
O Conselho Federal de Odontologia estabelece guarda mínima de dez anos para o prontuário, e há entendimento consolidado de que descartar mesmo após esse prazo traz risco jurídico, já que o prontuário é a principal defesa do profissional em caso de questionamento. A obrigação legal de guarda convive com a LGPD.
O que o paciente tem é o direito de saber que os dados existem, acessar o próprio prontuário, pedir correção de informação incorreta e ser informado sobre como aquilo é tratado. Guardar é dever. Proteger e dar acesso, também.
Na prática: se um paciente pedir a exclusão total dos dados, a clínica precisa explicar que existe obrigação legal de manter o prontuário pelo prazo exigido, e que o que pode ser excluído são dados usados para outras finalidades, como comunicação de marketing.
O que dá para fazer agora, sem projeto de meses
- Mapeie onde estão os dados. Sistema, papel, planilha, WhatsApp, e-mail, agenda. Você não protege o que não sabe que existe.
- Corte o acesso desnecessário. Cada pessoa vê apenas o que precisa para o trabalho dela. É a medida de maior impacto e menor custo.
- Tire dado clínico dos canais pessoais. Prontuário e imagem não deveriam trafegar por WhatsApp pessoal de ninguém.
- Separe o termo de uso de imagem. Documento específico, com finalidade, canais e prazo. Nunca embutido no termo de atendimento.
- Verifique seus fornecedores. Onde ficam os servidores, como é o backup, existe controle de acesso e registro de auditoria, e o que acontece com os dados se você encerrar o contrato.
- Defina quem responde pelo tema. Alguém precisa ser o ponto de contato para dúvida e para incidente, mesmo em clínica pequena.
- Treine a equipe. A maioria dos vazamentos não vem de invasão, vem de descuido de rotina.
Dado de paciente organizado em um lugar só
Conversa de WhatsApp centralizada no sistema, com acesso por perfil, em vez de espalhada no celular de cada pessoa da equipe. Teste o SaúdeCRM grátis por 7 dias.
Testar grátis agora →O que perguntar a quem hospeda seus dados
- Onde ficam fisicamente os servidores e os backups?
- Existe controle de acesso por perfil dentro do sistema?
- Há registro de quem acessou qual informação e quando?
- Os dados de uma clínica ficam isolados dos de outra?
- Como sou avisado em caso de incidente de segurança?
- Se eu encerrar o contrato, como exporto e como é feita a eliminação?
Onde o risco realmente mora
As sanções previstas na lei chegam a valores muito altos, e isso costuma ser o argumento mais usado para assustar. Só que, para a maioria das clínicas, o risco prático mais provável é outro e igualmente sério.
Vazamento por descuido interno. Print de prontuário em grupo, notebook sem senha, planilha compartilhada com link público. É o que mais acontece.
Uso indevido de imagem. Publicar antes e depois sem autorização específica gera exposição na LGPD e também no campo ético profissional.
Reclamação de paciente. Um paciente incomodado pode acionar a autoridade de proteção de dados. A partir daí, a clínica precisa demonstrar o que fez, e boa intenção não vale como prova.
Perda de confiança. Difícil de medir e caro de recuperar. Em saúde, privacidade faz parte do serviço.
Conclusão
Adequação à LGPD em clínica não começa por comprar documento, começa por três perguntas: onde estão os meus dados, quem tem acesso a eles e por quais canais eles circulam. Responder isso com sinceridade já revela a maior parte dos problemas.
As medidas de maior impacto são as menos glamourosas: restringir acesso, tirar dado clínico de canal pessoal, separar autorização de imagem e escolher fornecedor que leva o tema a sério. O resto se constrói em cima disso, com apoio jurídico adequado.
Centralize a conversa com o paciente
Atendimento de WhatsApp dentro do sistema, com acesso por perfil e histórico ligado ao cadastro, em vez de espalhado por celulares pessoais.
Criar minha conta grátis →Este conteúdo é informativo e não substitui orientação jurídica. Para adequação formal da sua clínica, consulte um advogado especializado em proteção de dados.
Perguntas frequentes
A LGPD se aplica a consultório pequeno?
Sim. Não existe isenção por porte. Clínica trata dado de saúde, que a lei classifica como dado pessoal sensível, a categoria de maior proteção. Isso vale igualmente para a rede com várias unidades e para o consultório de um único profissional.
O paciente pode exigir que eu apague o prontuário dele?
Não integralmente. O Conselho Federal de Odontologia estabelece guarda mínima de dez anos, e essa obrigação legal convive com a LGPD. O paciente tem direito de acessar o próprio prontuário, pedir correção de informação incorreta e ser informado sobre o tratamento dos dados. O que pode ser excluído são dados usados para outras finalidades, como marketing.
Posso publicar foto de antes e depois do paciente?
Só com autorização específica para essa finalidade, separada do termo de atendimento, informando onde e por quanto tempo a imagem será usada. Além da LGPD, há regras éticas próprias da profissão sobre esse tipo de publicação, que valem a consulta ao conselho da sua categoria.
Mandar prontuário por WhatsApp é problema?
É um dos pontos mais frágeis da operação de clínica. Dado clínico trafegando por aplicativo pessoal, sem controle de acesso e armazenado no celular de cada pessoa, é exposição desnecessária. O caminho é centralizar a informação em um sistema com acesso por perfil.
O que perguntar ao fornecedor do meu sistema sobre LGPD?
Onde ficam servidores e backups, se existe controle de acesso por perfil, se há registro de quem acessou o quê, se os dados de cada clínica ficam isolados, como você é avisado em caso de incidente e como funciona a exportação e a eliminação ao encerrar o contrato.