A recepção confirma a consulta pelo WhatsApp. O resultado do exame segue por mensagem. O prontuário fica em um sistema na nuvem. Em cada uma dessas situações, a clínica está tratando dados de saúde.
A Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica a clínicas de qualquer tamanho. A seguir, o que ela pede nos três pontos que mais geram dúvida.
Por que o dado de saúde tem regra própria
A LGPD classifica o dado referente à saúde como dado pessoal sensível (art. 5º, II). Para essa categoria, as hipóteses de uso são mais restritas e o cuidado exigido é maior (art. 11).
Isso não impede a clínica de trabalhar. Significa que ela precisa saber quais dados coleta, para quê, quem acessa e por quanto tempo guarda.
Preciso de consentimento para tudo?
Não. Esse é o equívoco mais comum. A lei permite tratar dados de saúde sem consentimento em algumas situações, entre elas:
a tutela da saúde, em procedimento realizado por profissionais e serviços de saúde;
o cumprimento de obrigação legal, como a guarda do prontuário (art. 11, II, a e f).
Atender o paciente e registrar o atendimento, portanto, não dependem de termo de consentimento.
O consentimento passa a ser necessário quando o uso vai além do atendimento: enviar promoções, usar a imagem do paciente em redes sociais, compartilhar dados com parceiros comerciais. Nesses casos, ele precisa ser específico e destacado, para uma finalidade determinada (art. 11, I).
Prontuário: quem acessa e por quanto tempo
O prontuário deve ser guardado por no mínimo 20 anos a partir do último registro, em papel ou digitalizado (Lei 13.787/2018, art. 6º). Por isso, o pedido de um paciente para "apagar tudo" não pode ser atendido antes desse prazo. Ele tem direito de acessar os próprios dados (LGPD, art. 18, II).
Dentro da clínica, vale a regra da necessidade: cada pessoa acessa o que precisa para a sua função. A recepção agenda e cobra, mas não precisa ler a evolução clínica. Na prática:
usuário e senha individuais, sem login compartilhado;
perfis de acesso diferentes para recepção, enfermagem, médicos e administrativo;
registro de quem acessou o quê;
bloqueio imediato do acesso de quem deixa a equipe.
WhatsApp: pode, com cuidados
O Conselho Federal de Medicina admite o uso do WhatsApp e de aplicativos similares na comunicação entre médico e paciente, em caráter privativo e sem substituir a consulta (Parecer CFM nº 14/2017). A LGPD acrescenta cuidados de segurança:
Use um número da clínica, e não o celular pessoal de quem está na recepção.
Confirme a identidade antes de enviar exame, laudo ou receita.
Não envie informações de saúde a familiares sem autorização do paciente.
Registre no prontuário o que for clinicamente relevante.
Proteja o aparelho com senha e defina o que acontece com as conversas quando alguém sai da equipe.
Sistema de agendamento e prontuário eletrônico
Quando a clínica contrata um sistema, o fornecedor passa a tratar os dados em nome dela. Na linguagem da lei, a clínica é a controladora e o fornecedor é o operador. A responsabilidade perante o paciente continua sendo da clínica.
Por isso, o contrato com o fornecedor merece leitura atenta. Verifique se ele trata de:
Medidas de segurança e sigilo.
Local de armazenamento e rotina de backup.
Uso dos dados pelo fornecedor para outras finalidades.
Aviso à clínica em caso de incidente.
Devolução ou exportação dos dados ao fim do contrato.
O último item costuma ser esquecido. Trocar de sistema sem conseguir levar os prontuários é um problema prático e jurídico.
E se houver um vazamento?
A lei obriga a comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos pacientes afetados o incidente que possa causar risco ou dano relevante (art. 48). O prazo é de três dias úteis a partir do conhecimento do fato, contado em dobro para agentes de pequeno porte (Resolução CD/ANPD nº 15/2024).
Três dias é pouco. Vale definir antes quem avalia o ocorrido, quem comunica e onde isso fica registrado.
Clínica pequena tem regras mais leves?
Em parte. A ANPD prevê tratamento simplificado para agentes de pequeno porte, como a dispensa de indicar um encarregado, desde que exista um canal de contato com o titular (Resolução CD/ANPD nº 2/2022, art. 11).
A flexibilização, porém, não se aplica a quem realiza tratamento de alto risco (arts. 3º e 4º). O uso de dados sensíveis é um dos critérios para essa classificação, combinado com outros, como a larga escala. Cada clínica precisa verificar em qual situação está.
Na prática
Seis pontos para começar:
Liste os dados que a clínica coleta e onde ficam guardados.
Revise quem acessa o prontuário.
Defina regras para o WhatsApp da clínica.
Leia o contrato do sistema de agendamento e do prontuário eletrônico.
Separe o termo de uso de imagem dos demais documentos do paciente.
Combine o que fazer em caso de incidente.
Perguntas frequentes
A clínica precisa de consentimento do paciente para ter prontuário?
Não. O atendimento e o registro em prontuário se apoiam na tutela da saúde e em obrigação legal. O consentimento é necessário para usos que vão além do atendimento, como divulgar imagens.
Posso enviar resultado de exame pelo WhatsApp?
O CFM admite o uso do aplicativo na comunicação com o paciente. Convém usar um número da clínica, confirmar a identidade de quem recebe e registrar o que for relevante no prontuário.
Por quanto tempo devo guardar o prontuário?
Por no mínimo 20 anos a partir do último registro.
O que fazer se houver vazamento de dados?
Se o incidente puder causar risco ou dano relevante, a clínica deve comunicar a ANPD e os pacientes afetados em três dias úteis, prazo contado em dobro para agentes de pequeno porte.
Normas e decisões citadas
Lei 13.709/2018 (LGPD), arts. 5º, 11, 18 e 48
Lei 13.787/2018 (prontuário), art. 6º
Resoluções CD/ANPD nº 2/2022 e nº 15/2024
Parecer CFM nº 14/2017
Conteúdo informativo. Não substitui a análise de um caso concreto.