Resposta rápida: dado de saúde é dado sensível na LGPD — o nível mais alto de proteção. Para a sua clínica, o essencial é: ter uma base legal válida para tratar os dados (a tutela da saúde é uma delas, então nem sempre depende de consentimento), guardar o prontuário com segurança e controle de acesso, respeitar os direitos do paciente (acesso, correção) e ter um plano para incidentes. Não é sobre um documento só — é sobre como a clínica lida com informação todos os dias.
Muita clínica trata LGPD como "aquele termo que o paciente assina na recepção". Não é. A lei olha para o fluxo inteiro do dado — e dado de saúde é o mais protegido de todos.
A LGPD (Lei nº 13.709/2018) cria uma categoria especial: os dados pessoais sensíveis (art. 5º, II), que incluem os dados de saúde. Eles exigem cuidado redobrado, porque o potencial de dano ao paciente em caso de uso indevido é maior. A própria lei prevê a tutela da saúde como base legal para o tratamento desses dados por profissionais e serviços de saúde (art. 11, II).
1. Base legal para tratar os dados. Para o cuidado do próprio paciente, a tutela da saúde costuma ser a base — o que significa que nem tudo depende de consentimento assinado. Já usos secundários (marketing, newsletter, pesquisa) exigem base própria, geralmente o consentimento específico.
2. Segurança e controle de acesso. Prontuário sob senha, acesso restrito a quem precisa, trilha de quem acessou o quê. Papel em armário trancado, sistema com login individual.
3. Minimização e finalidade. Coletar só o necessário, usar só para o que foi informado. Não pedir dados que não têm função no atendimento.
4. Direitos do paciente. Atender pedidos de acesso, correção e informação sobre compartilhamento. Negar acesso ao próprio prontuário, por exemplo, é indevido.
5. Plano de resposta a incidentes. Se houver vazamento, saber o que fazer: avaliar o risco, comunicar a ANPD e os pacientes quando for o caso, registrar tudo.
6. Cuidado com terceiros. Sistema de prontuário, laboratório, contabilidade — quem trata dado em nome da clínica também precisa estar em conformidade (contrato adequado).
Tratar LGPD como um único termo de consentimento na recepção — e, ao mesmo tempo, deixar o prontuário sem controle de acesso, mandar mensagem de marketing sem base legal e não ter plano para vazamento. A conformidade é o conjunto, não o papel.
A LGPD não briga com a medicina — ela organiza o cuidado com a informação do mesmo jeito que a boa prática já organiza o cuidado com o paciente. Documentar as medidas é o que demonstra a conformidade.
Teste o MedAmparo por 30 dias, sem cobrança e sem cartão. Leve seus termos e veja onde estão os pontos frágeis.