LGPD e conformidade para clínicas: o guia completo
Clínica lida com o tipo de dado mais protegido pela lei: o de saúde. A LGPD não é burocracia opcional — é obrigação, e o descuido custa caro. Neste guia, o que a lei exige na prática, sem juridiquês, e como manter a clínica em conformidade no dia a dia.
Entender, sem juridiquês, o que a LGPD exige de uma clínica — e como manter a conformidade na prática, todo dia.
Por que a LGPD é mais séria numa clínica
A LGPD classifica dados de saúde como sensíveis — a categoria com proteção mais alta. Isso significa mais cuidado na coleta, no armazenamento, no acesso e no compartilhamento. Some as normas do CFM sobre sigilo e guarda de prontuário, e a barra fica alta — com razão.
A boa notícia: conformidade é, em grande parte, processo e tecnologia. Este conteúdo é informativo; para casos específicos, consulte um especialista.
Na saúde, dado vazado não é só multa: é quebra de confiança — e confiança é o ativo que sustenta a clínica.
Vamos ao essencial: dados sensíveis, prontuário, consentimento, segurança e como escolher um sistema conforme.
O que a LGPD exige na prática
- Finalidade e base legal — colete só o necessário, para um propósito claro.
- Consentimento e informação — o paciente sabe o que é coletado e por quê.
- Segurança — dados criptografados e acesso controlado.
- Acesso restrito — cada pessoa vê só o que precisa.
- Direitos do titular — acesso, correção e exclusão dos dados.
Prontuário eletrônico e segurança
O prontuário eletrônico concentra os dados mais sensíveis. Ele deve ter criptografia, backup, trilha de auditoria (quem acessou o quê) e isolamento — cada clínica vê apenas os próprios dados. E há a guarda do prontuário exigida pelo CFM, com prazos próprios que devem ser confirmados na norma vigente.
Como escolher um sistema conforme
- Criptografia de dados sensíveis.
- Isolamento por clínica no banco de dados.
- Auditoria de acessos e permissões por função.
- Dados exportáveis (direito do titular) e política clara.
A Qoro é construída com conformidade nativa: dados sensíveis criptografados, cada clínica isolada no banco, todo acesso auditado e permissões por função — alinhada à LGPD e às normas do CFM.
LGPD, CFM e a IA no atendimento
Ao usar IA no atendimento, valem as mesmas regras: a IA é operacional (agenda, confirma, cobra), trata dados com segurança e nunca faz ato clínico. Transparência com o paciente e controle de acesso são inegociáveis.
Base legal: o erro que quase toda clínica comete
A confusão mais cara em adequação de clínica é achar que consentimento é a base legal para tudo. Não é — e em saúde, frequentemente, nem é a correta.
A LGPD lista bases legais específicas para dado sensível no art. 11. Tutela da saúde, por profissional de saúde ou serviço de saúde, é uma delas. Isso significa que tratar o prontuário do paciente não depende de consentimento: depende de finalidade legítima e de o tratamento ser feito por quem a lei autoriza.
| Finalidade | Base legal típica | Consequência prática |
|---|---|---|
| Registro de prontuário e evolução | Tutela da saúde | Não depende de consentimento e não pode ser revogado por pedido do titular |
| Guarda do prontuário pelo prazo legal | Cumprimento de obrigação legal | Pedido de exclusão não se aplica enquanto o prazo do CFM correr |
| Emissão de nota e obrigações fiscais | Cumprimento de obrigação legal | Idem |
| Confirmação e lembrete de consulta | Execução de contrato | Faz parte do serviço contratado; não é marketing |
| Cobrança de pendência | Execução de contrato / exercício de direito | Permitido, respeitados os limites do CDC |
| Campanha de reativação e marketing | Consentimento | Aqui sim é preciso consentimento, e ele precisa poder ser retirado com facilidade |
| Uso de foto de antes e depois | Consentimento específico e destacado | Autorização separada, para essa finalidade, revogável |
A leitura prática: separe o que é serviço do que é divulgação. Confirmação de consulta é execução do contrato e continua mesmo que o paciente não queira receber campanha. Já a foto do resultado e a mensagem promocional exigem autorização própria, específica, e ficam de fora no momento em que ele pedir.
Sete passos de adequação para clínica pequena
Adequação não começa por documento. Começa por saber onde os dados estão.
- 1. Mapeie onde há dado de paciente. Sistema, WhatsApp, planilha, caderno da recepção, grupo da equipe, e-mail, celular pessoal de quem atende. O inventário costuma revelar quatro ou cinco lugares que ninguém tinha considerado.
- 2. Elimine os lugares que não deveriam existir. Grupo de WhatsApp com nome de paciente e planilha no computador de casa são os dois campeões.
- 3. Defina quem acessa o quê. A recepção precisa da agenda e do cadastro, não da evolução clínica. Permissão por função, não por confiança pessoal.
- 4. Escreva a política de privacidade em linguagem que o paciente entenda, dizendo quais dados você trata, para quê, com quem compartilha e por quanto tempo guarda.
- 5. Separe os consentimentos. Um para atendimento, outro para imagem, outro para comunicação de marketing. Consentimento único que cobre tudo não é válido.
- 6. Defina o plano de incidente antes de precisar dele: quem é avisado, em que ordem, e em quanto tempo. Improvisar isso no dia é o que transforma incidente em crise.
- 7. Verifique seus fornecedores. Você responde pela escolha deles. Pergunte onde os dados ficam, quem são os subprocessadores e o que acontece se você cancelar.
O passo 7 é o mais ignorado e o de maior risco. Contratar um sistema não transfere a responsabilidade da clínica — a clínica continua sendo a controladora dos dados dos seus pacientes. Veja como a Qoro trata isso, com as medidas técnicas, os prazos de retenção e a lista de subprocessadores abertos.
As primeiras vinte e quatro horas de um vazamento
A obrigação da LGPD é comunicar incidente de segurança que possa acarretar risco relevante aos titulares, à ANPD e às pessoas afetadas, em prazo razoável. O que define se o caso vira problema grande não é o vazamento — é a resposta.
| Momento | O que fazer |
|---|---|
| Imediato | Conter: revogar acesso comprometido, trocar credenciais, isolar o que vazou |
| Primeiras horas | Determinar o escopo — quais dados, de quantas pessoas, por qual via. Sem trilha de auditoria, esta etapa é impossível. |
| No mesmo dia | Registrar tudo por escrito, com horário. O registro é o que demonstra diligência depois. |
| Em seguida | Avaliar risco aos titulares e, havendo risco relevante, comunicar ANPD e afetados |
| Depois | Corrigir a causa e documentar a correção |
Repare que a segunda linha depende inteiramente de uma coisa: existir registro de quem acessou o quê e quando. Clínica sem trilha de auditoria não consegue nem dizer o tamanho do problema — e essa incapacidade, por si só, agrava a situação diante da autoridade.
Onde a inteligência artificial entra nessa conta
Usar IA no atendimento não é vedado pela LGPD, mas acrescenta obrigações. Três pontos:
- Transparência. O paciente tem direito de saber que está falando com um sistema automatizado e de pedir atendimento humano.
- Supervisão. Toda interação precisa ficar registrada e revisável pela clínica. Automação que ninguém consegue auditar é risco, não eficiência.
- Limite de escopo. Automação que trate de conteúdo clínico soma dois problemas: o de proteção de dados e o de exercício irregular de atividade privativa. Manter a IA no operacional resolve os dois de uma vez.
O vazamento não tira férias
Conformidade sem dor de cabeça
Veja como a Qoro protege os dados da sua clínica por padrão — criptografia, isolamento e auditoria — alinhada à LGPD e ao CFM.
Prefere não falar com ninguém agora? Calcule seu vazamento em 2 minutos — sem cadastro.
Perguntas frequentes
A LGPD se aplica a consultórios pequenos?
Sim. Independe do porte: qualquer clínica que trate dados de pacientes precisa se adequar.
Dados de saúde são especiais na LGPD?
Sim — são "dados sensíveis", a categoria com maior proteção, exigindo cuidado extra na coleta, guarda e acesso.
Preciso de consentimento para tudo?
Nem sempre: há bases legais além do consentimento (como a tutela da saúde). Mas transparência e informação ao paciente são sempre necessárias. Confirme o enquadramento com um especialista.
Como guardar o prontuário com segurança?
Com criptografia, backup, controle de acesso e trilha de auditoria, respeitando os prazos de guarda do CFM.
O que é trilha de auditoria?
É o registro de quem acessou quais dados e quando — essencial para segurança e para demonstrar conformidade.
O paciente pode pedir seus dados ou a exclusão?
Sim, é um direito previsto na LGPD, respeitadas as obrigações de guarda do prontuário. O sistema deve permitir exportar os dados.
WhatsApp com paciente é permitido pela LGPD?
Sim, com cuidados: finalidade clara, segurança e tratamento adequado dos dados. Evite expor informações sensíveis desnecessariamente.
Como escolher um sistema em conformidade?
Procure criptografia, isolamento por clínica, auditoria de acessos, permissões por função e dados exportáveis — e uma política de privacidade clara.
Preciso de consentimento do paciente para tudo?
Não, e essa é a confusão mais cara da adequação. A LGPD prevê base legal específica para dado sensível de saúde: tutela da saúde por profissional ou serviço de saúde. Prontuário, guarda pelo prazo legal, confirmação de consulta e cobrança não dependem de consentimento. Já campanha de marketing e uso de foto de antes e depois dependem — e o consentimento precisa ser específico e revogável.
O paciente pode exigir que eu apague o prontuário dele?
Pode pedir, mas o prontuário dentro do prazo obrigatório de guarda não pode ser apagado. A obrigação de conservação, no caso do CFM de no mínimo 20 anos, é cumprimento de obrigação legal e se sobrepõe ao direito de exclusão nesse ponto específico. Dados de contato e mensagens, esses sim podem ser apagados.
Grupo de WhatsApp com nome de paciente é problema?
É um dos problemas mais comuns e mais fáceis de resolver. Expõe dado de saúde a todos os participantes, fica no celular pessoal de cada um e não tem controle de acesso nem registro de quem viu o quê. É o primeiro lugar a eliminar no mapeamento.
Sou responsável se o vazamento for do sistema que contratei?
A clínica é a controladora dos dados dos seus pacientes e o fornecedor é operador — a LGPD responsabiliza os dois papéis, em medidas diferentes. Contratar não transfere o problema, divide. Por isso verificar o fornecedor, saber quem são os subprocessadores e o que acontece no cancelamento faz parte da adequação da clínica, não do fornecedor.
O que fazer nas primeiras horas de um vazamento?
Conter primeiro: revogar acesso comprometido e trocar credenciais. Depois determinar o escopo — quais dados, de quantas pessoas, por qual via — o que só é possível se existir trilha de auditoria. Registrar tudo por escrito com horário, avaliar o risco aos titulares e, havendo risco relevante, comunicar a ANPD e os afetados. O que agrava o caso não é o vazamento, é a ausência de resposta documentada.
Este conteúdo tem caráter informativo e de gestão. Regras profissionais e legais (por exemplo, do CFM e do Código de Defesa do Consumidor) devem ser confirmadas nas fontes oficiais. A IA da Qoro é operacional — agenda, confirma e cobra — e não realiza diagnóstico ou orientação clínica.