LGPD em clínica médica: o que você precisa fazer em 2026

A Lei Geral de Proteção de Dados (Lei 13.709/2018) está totalmente em vigor desde 2021, com sanções aplicáveis pela ANPD. Para clínica médica, que trata dados sensíveis (saúde) o tempo todo, o cuidado precisa ser duplo. Este guia traz o essencial. sem juridiquês.

O que a LGPD considera dado sensível

Dado de saúde é classificado pela LGPD como dado pessoal sensível (art. 5º, II). Isso significa: tratamento exige consentimento específico do paciente, ou se enquadrar nas hipóteses do art. 11. Tratamento desautorizado tem multa de até R$ 50 milhões.

Quem é o controlador na clínica

O controlador é quem decide o que fazer com o dado. Na maioria das clínicas, é o médico responsável ou a pessoa jurídica da clínica. O controlador tem obrigações legais frente ao paciente: garantir transparência, segurança, propósito específico de uso, e direito de acesso/eliminação.

Termo de consentimento informado

Toda clínica precisa ter um Termo de Consentimento explicando: quais dados são coletados, com qual finalidade, com quem são compartilhados (laboratório, convênio), quanto tempo são guardados, e como o paciente pode acessar/excluir. Assinatura no momento da primeira consulta.

Segurança do prontuário eletrônico

Prontuário em papel: armário trancado, acesso restrito. Prontuário eletrônico: senha forte, criptografia em repouso, backup criptografado, acesso registrado por usuário. Plataforma de prontuário precisa ter cláusula de conformidade LGPD no contrato.

WhatsApp e LGPD

WhatsApp pode ser usado para comunicação operacional (lembrete de consulta, confirmação, orientação geral). Não use WhatsApp para enviar resultado de exame, prescrição, prontuário ou informação clínica sensível sem confirmação de identidade.

Marketing médico e LGPD

Dados de paciente coletados via formulário do site, anúncio do Meta ou Google só podem ser usados para a finalidade declarada (agendamento de consulta). Não pode entrar em base de marketing sem novo consentimento. Não pode ser compartilhado com terceiros sem autorização específica.

Encarregado (DPO)

Clínica com mais de 1 médico ou que trate dados em volume significativo deve nomear um Encarregado pelo Tratamento de Dados (DPO). Pode ser interno ou terceirizado. É quem recebe demandas da ANPD e dos titulares.

Perguntas frequentes

Posso enviar resultado de exame por WhatsApp?

Tecnicamente sim, com confirmação de identidade e consentimento prévio. Mas o ideal é portal seguro do paciente.

E se a base for hackeada?

Notificação obrigatória à ANPD e aos pacientes em prazo razoável (geralmente 72h após detecção).