Direito Médico
Prevenção na rotina
LGPD para médicos e clínicas: o que muda no consultório
LGPD para médicos: dados de saúde são sensíveis. Veja as bases legais, o uso do WhatsApp, os deveres da clínica, o prazo em incidentes e as sanções.
O médico sempre lidou com informações delicadas e sempre teve o dever de sigilo. A Lei Geral de Proteção de Dados não substitui essas regras éticas, mas acrescenta obrigações de organização, segurança e transparência que valem para consultórios, clínicas e hospitais de qualquer tamanho.
A boa notícia é que boa parte do que a LGPD exige já é boa prática médica. O desafio está nos detalhes da rotina: o WhatsApp da recepção, a planilha de agendamentos, o sistema na nuvem, o grupo da equipe.
Por que a LGPD para médicos é diferente
A LGPD classifica como dado pessoal sensível o dado referente à saúde, à vida sexual, a dado genético ou biométrico, entre outros. Esses dados recebem proteção reforçada, porque o seu vazamento ou uso indevido pode causar discriminação e danos graves.
Para o consultório, isso significa que praticamente todos os dados clínicos que circulam, do prontuário ao resultado de exame enviado por mensagem, estão na categoria mais protegida da lei.
Bases legais: preciso pedir consentimento para tudo?
Não. A LGPD prevê hipóteses em que os dados sensíveis podem ser tratados sem consentimento. Para a atividade médica, as mais relevantes são:
- tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
- cumprimento de obrigação legal ou regulatória, como a guarda do prontuário e as notificações compulsórias;
- exercício regular de direitos, inclusive em processo judicial ou administrativo, como na defesa do médico;
- proteção da vida ou da incolumidade física do titular ou de terceiro.
O consentimento continua importante para usos que vão além do atendimento, como enviar conteúdo de marketing, usar imagens em redes sociais (sujeito também às regras de publicidade médica) ou participar de pesquisas.
A lei também proíbe a comunicação ou o uso compartilhado de dados de saúde entre controladores com o objetivo de obter vantagem econômica, salvo nas hipóteses previstas, como a prestação de serviços de saúde em benefício do titular.
Os pontos críticos do consultório
| Situação | Risco | Cuidado |
|---|---|---|
| WhatsApp da recepção | Celular compartilhado, mensagens com exames, backup sem controle | Número institucional, acesso restrito, regras claras do que pode ser enviado |
| Prontuário em nuvem | Fornecedor sem segurança adequada | Contrato com cláusulas de proteção de dados e sistema que atenda aos requisitos do CFM |
| Planilhas e papel solto | Perda, acesso indevido | Centralizar no sistema e restringir acessos |
| Grupos da equipe | Discussão de casos com dados identificáveis | Anonimizar e usar canais adequados |
| Laboratórios e parceiros | Compartilhamento sem base legal | Compartilhar apenas o necessário para o atendimento |
| Ex-funcionários | Acesso que continua ativo | Revogar senhas no desligamento |
Esses cuidados se somam ao dever ético de sigilo médico e às regras de guarda do prontuário médico.
Direitos do paciente
O paciente, como titular dos dados, pode pedir confirmação do tratamento, acesso, correção de dados incompletos ou desatualizados e informações sobre com quem os dados foram compartilhados. Atenção: o direito de eliminação não se sobrepõe à obrigação legal de guardar o prontuário pelo prazo mínimo de 20 anos.
Incidentes de segurança
Se houver vazamento, acesso indevido ou perda de dados que possa causar risco ou dano relevante aos pacientes, o controlador deve comunicar a ANPD e os titulares. Pelo regulamento da ANPD (Resolução CD/ANPD nº 15/2024), a comunicação à autoridade deve ser feita em três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. Os incidentes também devem ser registrados e o registro, mantido por pelo menos cinco anos.
Ter um plano simples de resposta, com quem avisar e o que fazer primeiro, evita decisões improvisadas.
Sanções
A LGPD prevê sanções administrativas aplicadas pela ANPD, como advertência, publicização da infração, bloqueio ou eliminação dos dados e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Além disso, o vazamento de dados de saúde pode gerar ações de indenização e processos éticos no Conselho de Medicina.
Checklist de LGPD para médicos
- Mapeie quais dados você coleta, onde guarda e quem acessa.
- Revise a política de privacidade do site e do agendamento.
- Defina regras de uso do WhatsApp e do e-mail.
- Faça contratos com fornecedores de sistema, nuvem e marketing com cláusulas de proteção de dados.
- Treine a equipe e formalize o compromisso de confidencialidade.
- Controle senhas e acessos, inclusive no desligamento.
- Tenha um canal para os pacientes exercerem seus direitos.
- Prepare um roteiro de resposta a incidentes.
Se você atende a distância, as exigências de segurança da plataforma estão detalhadas nas regras da telemedicina.
Perguntas frequentes
O consultório pequeno precisa cumprir a LGPD?
Sim. A lei vale para qualquer pessoa ou empresa que trate dados pessoais. A ANPD prevê regras simplificadas para agentes de pequeno porte, mas o tratamento de dados de saúde exige atenção especial.
Preciso pedir consentimento para atender o paciente?
Não para o atendimento em si. O tratamento de dados para tutela da saúde, feito por profissionais de saúde, tem base legal própria. O consentimento é necessário para outros usos, como marketing e uso de imagem.
O paciente pode pedir para apagar o prontuário?
O direito de eliminação não se aplica quando há obrigação legal de guarda. O prontuário deve ser mantido pelo prazo mínimo de 20 anos a partir do último registro.
Posso mandar resultado de exame pelo WhatsApp?
Pode, se o paciente concordar com esse meio e se forem adotados cuidados de segurança, como número institucional, confirmação do destinatário e controle de acesso ao aparelho.
Fontes e normas citadas
Conteúdo informativo, atualizado em 3 de novembro de 2026. Não substitui a análise jurídica do caso concreto. Normas e entendimentos dos tribunais podem mudar.