A clínica médica concentra mais dado pessoal sensível por metro quadrado do que quase qualquer outro negócio no Brasil. Prontuário, exame, diagnóstico, foto de procedimento, biometria na recepção, dados de convênio: praticamente tudo que a clínica coleta do paciente é dado pessoal sensível pela LGPD, especificamente dado de saúde e dado biométrico (art. 5º, II). Dado sensível tem base legal mais restrita, obrigação de documentação mais rígida e consequência mais grave em caso de vazamento. E a multa da ANPD chega a R$ 50 milhões por infração, com alíquota de até 2% do faturamento bruto do último exercício.
O erro mais comum: a clínica opera como se seguir o CFM resolvesse a questão. Não resolve. CFM e LGPD têm objetos diferentes. O Código de Ética Médica cuida da deontologia. A LGPD protege o paciente como titular de dados. Uma clínica pode estar em dia com o Conselho e descumprir a lei de dados ao mesmo tempo.
Prontuário eletrônico: 20 anos do CFM resolvem o prazo, não a proteção
O CFM estabelece prazo mínimo de guarda de 20 anos após o último atendimento para adultos. Esse prazo é obrigação regulatória e serve como base legal para retenção sob a LGPD: a clínica guarda porque é obrigada, não por vontade própria. Isso resolve o prazo. Não resolve a proteção dos dados durante esses 20 anos.
A LGPD exige medidas técnicas e organizacionais adequadas durante todo o período de retenção. Prontuário eletrônico em servidor sem criptografia, sem log de acesso, sem controle por perfil de usuário, é descumprimento mesmo com o prazo correto. O mínimo: criptografia em repouso, acesso diferenciado por função (médico, recepcionista, faturista) e trilha de auditoria. Nossa leitura: a ANPD vai perguntar quem tinha acesso e o que foi feito para proteger. O CFM nunca fez essa pergunta.
Foto pré/pós-procedimento: dado sensível em dobro
Essa é a que mais pega clínicas de dermatologia, cirurgia plástica e odontologia estética. A foto do paciente antes e depois de um procedimento revela informação de saúde e, quando o rosto está identificável, carrega dado biométrico. Dado de saúde e dado biométrico são as duas categorias de dado sensível no art. 5º, II. O tratamento exige consentimento específico e destacado, não genérico embutido num bloco de admissão.
O que a clínica faz: pede uma assinatura num "termo de uso de imagem" junto com outros documentos de entrada. Esse consentimento raramente especifica que a foto vai para o Instagram da clínica ou para material de marketing. A LGPD exige que o consentimento para finalidade de marketing seja separado, redigido de forma clara e revogável a qualquer momento. Misturar tudo num termo geral não é consentimento válido. E a clínica que usa foto pré/pós em redes sociais sem consentimento específico acumula risco tanto na ANPD quanto em ação judicial do próprio paciente.
Biometria na recepção: comodidade com protocolo obrigatório
Impressão digital ou reconhecimento facial para agilizar o check-in é dado biométrico, portanto dado sensível (art. 5º, II). O consentimento para coleta tem que ser específico, separado do termo de admissão geral e informar o dado coletado, forma de armazenamento e prazo de retenção. Além disso:
- O paciente pode recusar a biometria sem perder o acesso ao serviço. A clínica precisa manter alternativa.
- Se o sistema for de fornecedor externo, é obrigatório um Acordo de Processamento de Dados com esse fornecedor. Sem ele, a clínica responde pelo vazamento que o fornecedor causar.
- Dado biométrico coletado para check-in não pode ser usado para outra finalidade, como controle de ponto de funcionários.
Compartilhar com convênio e os direitos do paciente no portal
Plano de saúde pede guia de autorização, laudo, prontuário resumido. A clínica manda. Esse compartilhamento envolve dado sensível de saúde e a LGPD exige base legal documentada para cada operação. Há bases que sustentam o compartilhamento: execução de contrato (o paciente quer usar o benefício do plano), cumprimento de obrigação legal (regulação da ANS), e tutela da saúde do art. 11. O problema é que a clínica nunca documentou qual base usa. E o princípio da necessidade exige o mínimo necessário para a finalidade: mandar o prontuário inteiro quando o convênio só precisa do CID e do procedimento viola a lei.
No portal do paciente, acesso a laudo não é cumprimento do art. 18. O paciente tem o direito de pedir cópia dos dados que a clínica possui, exigir correção em até 15 dias (art. 19), solicitar portabilidade para outro prestador e revogar consentimentos já dados. O portal precisa de um canal identificado para receber essas solicitações e de fluxo interno para respondê-las no prazo. Isso é processo, não funcionalidade de software.
Encarregado de dados e o regime simplificado para clínica pequena
O art. 41 da LGPD exige que todo controlador indique um encarregado (DPO). Clínica que coleta dado de saúde, biometria e foto de paciente é controladora de dado sensível. O porte não elimina a obrigação. A Resolução CD/ANPD 02/2022 prevê regime simplificado para microempresas e empresas de pequeno porte, reduzindo exigências formais, mas não dispensa o encarregado. Numa clínica menor ele pode ser profissional externo. O que não muda: o nome e o canal de contato do encarregado precisam ser públicos, geralmente na política de privacidade do site.
O que fazer nos próximos 15 dias
- Verificar se o sistema de prontuário eletrônico tem controle de acesso por perfil de usuário e log de acesso registrado.
- Auditar os termos de admissão: consentimento para foto, biometria e compartilhamento com convênio precisam ser documentos separados e específicos.
- Mapear quais terceiros recebem dados de pacientes (convênios, laboratórios, sistemas de gestão) e confirmar se há contrato de processamento com cada um.
- Criar canal formal para solicitações de titulares, definir quem responde internamente e começar a registrar as respostas.
- Indicar encarregado de dados e publicar o contato na política de privacidade do site.
- Revisar posts de foto pré/pós nas redes sociais: sem consentimento específico para marketing, o conteúdo está em risco.
Dado de saúde é a categoria mais protegida da LGPD. A clínica que tratar isso como detalhe administrativo vai aprender do jeito mais caro.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
