LGPD na clínica: o que muda no processo
O que a LGPD exige de uma clínica médica na prática?
Exige quatro mudanças de processo: saber onde o dado de paciente está e quem acessa, usar a base legal correta em cada tratamento, controlar os canais por onde o dado circula, principalmente o WhatsApp, e ter contrato com todo fornecedor que toca esse dado. Dado de saúde é dado pessoal sensível pelo artigo 11 da LGPD, e isso significa que o rol de bases legais é mais estreito que o do dado comum. Consentimento genérico num termo assinado na primeira consulta não cobre tudo, e em muitos casos não é nem a base aplicável.
A maioria das clínicas aborda LGPD comprando um pacote de documentos. Sai com política de privacidade no site, termo de consentimento na pasta e nada mudado na operação. O documento serve para mostrar intenção. O que protege a clínica, e o que a fiscalização olha, é o que acontece no balcão.
A confusão que custa mais caro: consentimento não é a base principal
Para atendimento em saúde, a LGPD prevê base legal própria. O tratamento necessário para tutela da saúde, em procedimento realizado por profissional de saúde ou serviço de saúde, não depende de consentimento. Prontuário, histórico clínico, prescrição e exame estão nesse grupo.
Consentimento é a base para o que não é cuidado: mandar campanha de marketing, usar foto de antes e depois, divulgar depoimento, compartilhar dado com parceiro comercial. E consentimento, pela lei, precisa ser específico e destacado, para finalidade determinada, e pode ser revogado.
A consequência prática é o contrário do que a maioria faz. Clínica pede consentimento onde não precisa, com texto amplo demais que não vale nada, e deixa de pedir onde precisa, que é no marketing. É exatamente onde o risco é maior, porque é o uso visível, o que aparece no Instagram e gera reclamação. Vale ler junto com antes e depois no Instagram médico e com o guia de publicidade médica e odontológica, porque ali o Conselho e a LGPD cobram coisas diferentes sobre a mesma foto.
O WhatsApp é o maior ponto de vazamento da clínica
Não é o prontuário. É o celular da recepção, e por quatro motivos que se somam.
Primeiro, o número costuma ser pessoal, de uma funcionária, e vai embora com ela quando ela sai. Segundo, o histórico fica no aparelho, com exame, resultado, foto de lesão e dado de pagamento, sem controle de acesso. Terceiro, a conversa é feita em grupo, às vezes com paciente em grupo junto. Quarto, ninguém sabe dizer quantas pessoas leram o que foi mandado.
O conserto é de política e cabe em meia página:
- Número da clínica é da clínica, com conta business e acesso controlado por usuário.
- Resultado de exame e laudo não vão por mensagem, vão por canal de entrega com identificação do paciente.
- Foto clínica não fica na galeria do celular, vai direto para o prontuário.
- Grupo com paciente dentro é proibido.
- Quem sai da clínica perde o acesso no mesmo dia, e isso entra no checklist de desligamento.
Essa lista vale mais que qualquer parecer, porque ela é cumprível pela recepção e conferível pelo gestor.
O inventário que a lei pressupõe
A LGPD assume que a clínica sabe onde o dado está. Quase nenhuma sabe. Então o primeiro trabalho real é o mapeamento, e ele é simples de fazer e chato de ignorar.
Para cada lugar onde existe dado de paciente, anote cinco coisas: que dado é, para que é usado, qual a base legal, quem tem acesso e por quanto tempo fica guardado. Os lugares costumam ser mais do que a lista mental do dono: prontuário eletrônico, sistema de agenda, planilha da recepção, WhatsApp, e-mail, maquininha, software de orçamento, plataforma de anúncio com público carregado, laboratório parceiro, contabilidade, cobrança.
Essa última parte da lista é a que gera o segundo trabalho: contrato. Todo fornecedor que trata dado de paciente por conta da clínica precisa de cláusula de proteção de dados, com finalidade definida, proibição de uso próprio, obrigação de segurança e dever de avisar incidente. Software de saúde com cláusula autorizando uso dos dados para treinar modelo é comum, e é o tipo de coisa que você só descobre lendo. Vale conferir isso junto com o inventário que a Resolução CFM 2.454/2026 passou a exigir, porque é o mesmo levantamento.
Direito do titular: o pedido que chega sem aviso
Um dia um paciente pede cópia de tudo que você tem sobre ele, ou pede exclusão. A lei dá prazo de resposta. Clínica sem processo definido entra em pânico, responde errado ou não responde.
Defina três coisas antes de o pedido chegar. Quem recebe o pedido, por qual canal, e quem responde. Qual o prazo interno, que precisa ser menor que o prazo legal. E o que não pode ser excluído, porque prontuário tem prazo de guarda obrigatório por norma do Conselho e pedido de exclusão não derruba obrigação legal de retenção. Esse último ponto é o que mais gera resposta errada: a clínica apaga o que não podia apagar para agradar o paciente e cria problema maior.
Incidente de segurança
Se houver vazamento, a clínica precisa saber o que fazer nas primeiras horas, e isso é um procedimento de uma página: quem é avisado internamente, como se contém o acesso, como se registra o que aconteceu, quem decide sobre comunicação à autoridade e aos pacientes afetados.
Dado de saúde vazado tem potencial de dano alto, e é por isso que o setor aparece com destaque na pauta de fiscalização. A diferença entre uma clínica que responde a um incidente e uma que apanha não está no software. Está em ter o procedimento escrito antes.
Por onde começar, em ordem
Primeiro o mapeamento, porque sem ele todo o resto é adivinhação. Segundo a política de WhatsApp e canais, porque é o risco mais próximo. Terceiro o controle de acesso por usuário nos sistemas, com fim de senha compartilhada. Quarto os contratos de fornecedor. Quinto o processo de pedido do titular e de incidente. Sexto, e só aí, os documentos públicos, que é a parte que a maioria faz primeiro.
Nada disso substitui orientação jurídica, e a redação dos documentos precisa de advogado. O que atrasa esse trabalho quase sempre é a falta do mapeamento, e essa parte é sua.
Você sabe dizer quantas pessoas têm acesso hoje ao histórico dos seus pacientes?
Como a Atomia resolve isso
No mês 1 a gente mapeia onde o dado de paciente circula na sua clínica, sistema por sistema e canal por canal, com quem acessa cada um, e devolve a lista do que está exposto por processo e não por software. Em seguida reescrevemos o processo de recepção e de canais, que é onde o vazamento acontece de verdade, e deixamos a regra por escrito no lugar onde a equipe trabalha. A redação jurídica e a validação ficam com o advogado da clínica. A gente entrega o levantamento de operação que faz esse trabalho sair mais rápido e mais barato, e cuida para que a regra continue sendo cumprida nos meses seguintes.