Muitos formulários de cadastro de clínicas pedem que o paciente “autorize o uso dos seus dados” antes da primeira consulta. Para os dados de saúde usados no próprio atendimento, essa autorização não é o que a Lei Geral de Proteção de Dados (LGPD) exige. A lei permite tratar esses dados sem consentimento quando o objetivo é a tutela da saúde, em procedimento feito por profissionais ou serviços de saúde. O que ela cobra da clínica é outra coisa: saber quais dados tem, quem acessa, por quanto tempo guarda e o que fazer se algo vazar.

A LGPD está em vigor desde setembro de 2020, e as sanções administrativas passaram a ser aplicadas em agosto de 2021. A multa simples pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Para quem atende pacientes, o cuidado com dados também aparece na relação de confiança, tema do guia sobre atendimento humanizado em cada etapa da jornada digital.

O que a LGPD considera dado sensível na clínica

A LGPD classifica como dado pessoal sensível toda informação referente à saúde do titular, além de dados genéticos e biométricos. Na rotina da clínica, isso inclui:

• prontuário;

• queixas registradas no agendamento;

• resultados de exames;

• laudos;

• prescrições;

• guias de convênio com diagnóstico ou procedimento.

Dados cadastrais e financeiros, como telefone, endereço e forma de pagamento, são dados pessoais comuns, mas também estão protegidos pela lei.

1. Mapeie os dados que a clínica coleta e quem tem acesso a eles

A adequação começa por um inventário. Sem ele, a clínica não consegue proteger, apagar ou justificar o que nem sabe que guarda.

Como colocar em prática:

• liste todos os pontos de coleta: telefone, WhatsApp, formulário do site, recepção, prontuário, guias de convênio, cobrança e emissão de notas;

• registre para cada dado a finalidade, quem tem acesso e onde ele fica armazenado;

• elimine coletas que não têm uso definido, como pedir CPF de acompanhantes ou dados que nunca são consultados;

• restrinja o acesso ao prontuário aos profissionais envolvidos no atendimento;

• defina prazos de guarda. O prontuário do paciente, por exemplo, deve ser mantido por no mínimo 20 anos a partir do último registro, segundo a Lei 13.787/2018.

Dados espalhados em planilhas, celulares pessoais e conversas de WhatsApp são os mais difíceis de controlar. Na plataforma Tivita, agenda, prontuário e financeiro ficam no mesmo ambiente, com acesso por login, o que reduz a circulação de informações fora de um local controlado.

2. Defina a base legal de cada uso dos dados

A LGPD prevê diferentes bases legais, e o consentimento é apenas uma delas. Para dados de saúde, o Conselho Regional de Medicina de Minas Gerais já se manifestou em parecer no sentido de que o tratamento feito por médicos e estabelecimentos para a tutela da saúde se enquadra no art. 11, II, da lei, sem depender de consentimento. A distinção na prática:

Sem consentimento (tutela da saúde ou obrigação legal):

• registrar o atendimento no prontuário;

• solicitar autorização ao convênio;

• emitir receita, laudo e nota fiscal;

• confirmar a consulta pelo WhatsApp.

Com consentimento específico e destacado:

• enviar conteúdo promocional ou newsletter;

• usar depoimento, foto ou imagem do paciente na divulgação da clínica;

• compartilhar dados para finalidades que não sejam o atendimento.

O uso de depoimentos na divulgação também segue as regras dos conselhos profissionais, como mostra o guia sobre marketing para psicólogas com ética.

Como colocar em prática:

• revise os formulários e retire termos genéricos de “autorização de uso de dados” para o atendimento;

• crie termos separados e específicos para cada finalidade que dependa de consentimento;

• registre data, forma e conteúdo de cada consentimento obtido, e ofereça um canal simples para revogá-lo;

• quando o termo for digital, a assinatura digital facilita o registro com validade jurídica.

3. Tenha um plano de resposta a incidentes de segurança

Um celular perdido com conversas de pacientes, um e-mail enviado ao destinatário errado ou um acesso indevido ao prontuário são incidentes de segurança. A Resolução CD/ANPD nº 15/2024 define que, quando o incidente puder gerar risco ou dano relevante, a clínica deve comunicar a ANPD e os pacientes afetados em até três dias úteis a partir do momento em que tomou conhecimento.

Pela mesma resolução:

• Pequeno porte: agentes de tratamento de pequeno porte têm o prazo contado em dobro.

• Informações complementares: podem ser enviadas em até 20 dias úteis.

• Registro: todo incidente deve ficar registrado por no mínimo cinco anos, mesmo os que não forem comunicados.

Como colocar em prática:

• defina quem identifica, avalia e decide sobre a comunicação de um incidente;

• deixe pronto um roteiro com os dados exigidos no formulário da ANPD e um modelo de mensagem aos pacientes;

• proíba o uso de celulares pessoais para guardar dados de pacientes e ative bloqueio de tela e senha nos aparelhos da clínica;

• treine a equipe pelo menos uma vez por ano, com exemplos reais da rotina.

A adequação à LGPD envolve interpretação jurídica, e os passos acima não substituem a orientação de um advogado especializado, sobretudo na definição das bases legais.

Como a proteção de dados é uma frente contínua, ela entra na revisão periódica da operação junto com os demais pontos deste check-up da gestão da clínica.