LGPD em clínicas: o que mudou de verdade para o consultório que coleta dado de paciente

A Lei Geral de Proteção de Dados está em vigor desde 2020, e a Autoridade Nacional de Proteção de Dados (ANPD) começou a aplicar sanções a partir de 2023. A agenda regulatória 2025-2026 da ANPD lista dados sensíveis em saúde entre os temas prioritários — e isso significa que clínicas médicas e odontológicas estão expostas a fiscalização ativa, não passiva.

A multa pode chegar a 2% do faturamento da clínica, com limite de R$ 50 milhões por infração. Para uma clínica boutique, o risco financeiro pesa, mas o risco reputacional pesa mais — vazamento de prontuário em uma clínica que atende público pagante destrói confiança que levou anos para construir.

O que muda na prática

A LGPD classifica dados de saúde como "sensíveis", junto com origem racial, convicção religiosa, opinião política, biometria e orientação sexual. Dados sensíveis exigem regime mais rigoroso de coleta, armazenamento, acesso e compartilhamento. Não é só "ter senha no computador da recepção" — é uma cadeia de decisões.

Os três pilares práticos para uma clínica que coleta dado de paciente em 2026:

1. Mapear o que você coleta, onde está, e quem acessa

Esse mapeamento é o exercício que mais clínica pula e mais a ANPD cobra em fiscalização. A pergunta básica: se um paciente pedir "me mostre tudo que vocês têm sobre mim", em quantos sistemas e pastas você precisa procurar?

Em clínica boutique média, a resposta envolve: ERP, prontuário digital, planilha de financeiro, WhatsApp da recepção, WhatsApp pessoal do dentista, e-mail do consultório, pasta no Google Drive com fotos do antes/depois, agenda física e às vezes uma pasta de papel para anamneses antigas. Cada um desses pontos precisa estar mapeado.

2. Designar um Encarregado (DPO)

A LGPD exige que toda organização que trata dado pessoal tenha um Encarregado pelo Tratamento de Dados (Data Protection Officer, ou DPO). É a pessoa responsável por receber pedidos de titulares (pacientes), responder à ANPD e cuidar da governança interna.

Para clínica pequena, o DPO costuma ser o sócio responsável pela administração, ou um consultor externo contratado mensalmente. O importante é ter um nome registrado e os canais públicos (geralmente um e-mail tipo dpo@clinica.com.br) onde paciente pode escrever.

3. Contratos de tratamento com terceiros

Toda ferramenta que toca dado de paciente — ERP, sistema de agendamento, IA de atendimento, serviço de cobrança, contador — precisa estar contratualmente vinculada à LGPD. Isso significa um anexo de proteção de dados nos contratos, definindo o que é tratado, com que finalidade, por quanto tempo e como é descartado.

É frequente clínica usar três ou quatro serviços que tratam dado sensível sem ter cláusula explícita. Em fiscalização, a responsabilidade volta para a clínica — não para o fornecedor.

O que muitas clínicas erram

Os erros mais comuns que aparecem em consultas de compliance:

• WhatsApp pessoal da recepcionista. Conversa com paciente em telefone pessoal é tratamento de dado sensível em ambiente sem controle de acesso. Migrar para WhatsApp Business institucional, com histórico e log, é o caminho.
• Foto antes/depois sem termo de consentimento específico. Não basta o paciente autorizar o procedimento; precisa autorizar o uso da imagem, separadamente, com prazo e finalidade declarados.
• Anamnese em papel guardada indefinidamente. A LGPD exige princípio de minimização — guarde só o necessário, pelo tempo necessário. Anamnese de paciente que não voltou em cinco anos provavelmente deveria ter sido descartada com protocolo, não estar numa pasta no almoxarifado.
• Compartilhamento com convênio sem registro. Enviar dados de paciente para operadora exige registro do que foi enviado, quando e por que.

O que vem em 2026

A agenda regulatória da ANPD para o biênio 2025-2026 inclui temas que afetam clínicas: regulamentação específica para tratamento de dados sensíveis, regras para uso de IA em decisões automatizadas que afetam o titular, e protocolos de anonimização. Vale acompanhar publicações da ANPD ao longo do ano — vai sair regulamentação que muda detalhes operacionais.

LGPD orienta como a VitalSynk projeta cada integração. Quando conectamos WhatsApp, ERP e agenda, o consentimento explícito do paciente, a minimização de dados e o registro de cada interação fazem parte da arquitetura. Veja como em o que entregamos ou no manifesto.