Toda clínica acha que o problema de LGPD é o site ter banner de cookies. Não é. O problema real está no consultório: no prontuário que fica aberto na tela pro paciente da fila seguinte ver, no leitor biométrico da recepção, na foto de "antes e depois" que a esteticista posta sem pensar duas vezes.
Dado de saúde é dado pessoal sensível pela definição do art. 5º, II da LGPD. Isso muda tudo: a base legal fica mais restrita, a exigência de consentimento fica mais rígida e a multa, se vazar, tende a ser tratada com mais peso pela ANPD. Nossa leitura: quem administra clínica devia estudar esse artigo com mais atenção do que estuda tabela de convênio.
Prontuário eletrônico: onde está o dado importa tanto quanto o que tem nele
Migrar do papel pro sistema eletrônico não resolve LGPD, só transfere o risco pra outro lugar. Se o sistema é hospedado em nuvem de terceiro, você precisa saber onde os servidores estão, quem tem acesso administrativo e se existe contrato de operador de dados com aquele fornecedor (art. 39).
Na prática, a maioria dos softwares de prontuário vendidos pra clínica pequena não te dá nem log de acesso detalhado. Isso é problema seu, não do fornecedor, porque quem responde perante o paciente e a ANPD é o controlador: a clínica.
- Exija do sistema log de quem acessou qual prontuário e quando
- Restrinja acesso por perfil: recepção não precisa ver histórico clínico completo
- Desative acesso de ex-funcionário no mesmo dia do desligamento, não na "próxima atualização de senha"
- Verifique se o contrato com o fornecedor de software prevê o que acontece com os dados se você cancelar o serviço
Quanto tempo guardar prontuário: CFM manda 20 anos, e a LGPD não te dá desculpa pra apagar antes
Esse é o ponto que mais gera confusão. A Resolução CFM 1.821/2007 exige guarda do prontuário, físico ou eletrônico, por prazo mínimo de 20 anos a contar do último registro. A LGPD, no princípio da necessidade (art. 6º, III), diria pra manter só o tempo indispensável à finalidade.
Falando sério: não existe conflito de verdade aqui. A obrigação regulatória do CFM é, ela mesma, uma base legal de tratamento prevista no art. 7º, II da LGPD (cumprimento de obrigação legal ou regulatória). Você não precisa escolher entre as duas normas. Precisa documentar essa base legal na sua política de privacidade e no registro de operações de tratamento, pra não parecer que está guardando dado "porque sim".
O erro comum é o oposto: clínica que apaga prontuário de paciente antigo achando que está "fazendo LGPD direito" e na verdade está descumprindo o CFM.
Compartilhar dado com convênio: legítimo interesse não é carta branca
Enviar dado clínico pra operadora de saúde pra fins de faturamento e auditoria de glosa tem base legal, normalmente execução de contrato (art. 7º, V) combinada, em alguns casos, com a hipótese do art. 11, II, f, para tratamento de dado sensível por profissional ou serviço de saúde. O problema não é enviar. É enviar mais do que a operadora precisa.
Convênio pedindo cópia integral de prontuário pra autorizar um procedimento simples é prática comum e questionável. Nossa leitura: a clínica deve enviar só o resumo clínico necessário pra aquela autorização específica, não o histórico inteiro do paciente. E o contrato com a operadora precisa deixar claro quem é controlador de quê, porque em regra os dois lados são controladores independentes, cada um responde pelo seu tratamento.
Biometria e foto de antes/depois: dado sensível redobrado
Reconhecimento facial ou digital na catraca de entrada da clínica trata dado biométrico, que é sensível por definição legal. Isso exige consentimento específico e destacado (art. 11, I), separado de qualquer termo genérico de atendimento. Um "aceito os termos" escondido no fim de um formulário de dez páginas não cobre isso.
Foto de antes e depois em clínica de estética ou dermatologia é a mesma lógica, com um agravante: normalmente essas fotos são usadas depois pra divulgação em redes sociais. Aí você tem dois consentimentos distintos que precisam ser coletados separadamente:
- Consentimento para captar e armazenar a foto no prontuário, como registro clínico
- Consentimento específico para uso da imagem em divulgação, marketing ou portfólio
Uma clínica de Blumenau que atendemos usava a mesma foto de "antes e depois" pra prontuário e pra Instagram com o mesmo termo assinado há três anos. O paciente pode revogar o consentimento de divulgação a qualquer momento e a foto sai do ar, mesmo que o tratamento clínico continue documentado internamente.
Portal do paciente: praticidade que vira risco se mal configurado
Portal onde o paciente vê exame e agenda consulta reduz trabalho de recepção, mas é também um dos pontos mais vulneráveis. Autenticação fraca, recuperação de senha por pergunta óbvia, link de resultado de exame que funciona sem login: são falhas que a gente já viu em sistema vendido como "pronto pra LGPD".
Se o paciente pede acesso, correção ou exclusão de dado pelo portal, a resposta tem prazo de 15 dias, conforme o art. 19. Isso precisa estar automatizado ou pelo menos ter um responsável designado, porque 15 dias passa rápido quando ninguém está de olho nesse canal.
Quem responde se vazar não é o sistema, é você
Vazamento de dado de saúde tende a ser tratado como infração grave pela ANPD, dado o tipo de dado envolvido. A multa vai até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, mas o dano maior costuma ser reputacional: paciente que descobre que seu diagnóstico vazou não volta, e conta pra quem conhece.
Toda clínica que trata dado pessoal precisa de encarregado, o DPO, indicado nos termos do art. 41. Em clínica pequena esse papel pode ser acumulado por um sócio ou terceirizado, o que a Resolução CD/ANPD 02/2022 permite dentro do regime simplificado para empresas de pequeno porte. O que não pode é não ter ninguém.
O que fazer nas próximas duas semanas
- Levante quem tem acesso ao sistema de prontuário hoje e revogue o que não é mais necessário
- Separe, no termo de consentimento, o uso clínico da foto do uso pra divulgação em redes sociais
- Confirme por escrito com o fornecedor de software onde os dados ficam hospedados e se existe contrato de operador
- Revise o que é enviado ao convênio por autorização: só o necessário, não o prontuário inteiro
- Nomeie formalmente um encarregado, ainda que acumulando função, e documente essa nomeação
Nenhum desses pontos exige investimento alto. Exige revisar processo que já existe e às vezes só nunca foi olhado com essa lente.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
