Prontuários, exames, diagnósticos, receitas, histórico familiar, fotografias de procedimentos e até mensagens trocadas pelo WhatsApp fazem parte da rotina de clínicas e consultórios. O problema é que muitas dessas informações circulam diariamente sem que existam procedimentos claros para controlar quem pode acessá-las, como devem ser armazenadas e em quais situações podem ser compartilhadas.
É justamente nesse ponto que a LGPD em consultórios médicos ganha especial importância.
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) considera as informações referentes à saúde como dados pessoais sensíveis, conforme seu art. 5º, II. Por essa razão, seu tratamento exige cuidados maiores do que aqueles aplicáveis aos dados pessoais comuns.
Na prática, médicos, consultórios, clínicas, hospitais e demais prestadores de serviços de saúde precisam observar regras relacionadas à coleta, armazenamento, acesso, compartilhamento, segurança e descarte dos dados dos pacientes.
Uma falha pode ultrapassar o problema administrativo e resultar em fiscalização da Autoridade Nacional de Proteção de Dados (ANPD), ações indenizatórias e até consequências ético-profissionais.
O que a LGPD considera dado sensível na área da saúde?
A LGPD classifica como dados pessoais sensíveis informações relacionadas à saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, dados genéticos e biométricos, entre outras categorias previstas no art. 5º, II.
Em um consultório médico, podem estar nessa categoria informações como:
- diagnósticos e doenças;
- resultados de exames;
- medicamentos utilizados;
- histórico clínico;
- informações constantes do prontuário;
- fotografias relacionadas a tratamentos ou procedimentos;
- informações sobre gravidez;
- dados sobre saúde mental;
- informações genéticas;
- informações capazes de revelar determinada condição de saúde.
Isso significa que a proteção não se limita ao prontuário médico tradicional.
Uma simples mensagem enviada pelo WhatsApp, por exemplo, pode conter dados pessoais e informações sensíveis que precisam ser protegidas.
Como a LGPD se aplica a consultórios médicos?
A aplicação da LGPD em consultório médico começa antes mesmo da consulta.
Quando o paciente fornece nome, CPF, telefone, endereço, informações sobre convênio, exames e histórico de saúde, já existe tratamento de dados pessoais.
Durante e depois do atendimento, novas operações acontecem: o profissional registra informações no prontuário, solicita exames, compartilha dados quando necessário, emite documentos e mantém essas informações armazenadas.
A clínica ou o profissional que determina as principais finalidades e decisões relacionadas ao tratamento pode assumir a posição de controlador, enquanto determinados prestadores contratados podem atuar como operadores ou exercer outras funções conforme a relação concreta existente entre as partes.
Por isso, a adequação à LGPD não deve se limitar à elaboração de um termo de consentimento.
É necessário compreender todo o caminho percorrido pelas informações do paciente dentro e fora do consultório.
Qual é a base legal para tratar dados de saúde?
Um dos erros mais comuns na aplicação da LGPD é acreditar que todo tratamento de dados depende do consentimento do paciente.
Não é assim.
O art. 11 da LGPD estabelece diferentes hipóteses que podem autorizar o tratamento de dados pessoais sensíveis.
No contexto assistencial, uma das bases relevantes é a tutela da saúde, aplicável nos termos estabelecidos pela legislação.
Já atividades que ultrapassam a finalidade diretamente relacionada ao atendimento — como determinadas ações de marketing, publicidade ou utilização de imagens — precisam ser analisadas separadamente para identificar a base jurídica adequada.
Por isso, um bom programa de adequação deve identificar:
- qual informação está sendo tratada;
- para qual finalidade;
- quem terá acesso;
- com quem será compartilhada;
- por quanto tempo será armazenada;
- qual é a base legal aplicável.
O consentimento não deve ser utilizado indiscriminadamente para justificar todas as atividades da clínica.
Casos reais mostram os riscos do tratamento inadequado de dados médicos
A preocupação com proteção de dados na saúde deixou de ser apenas teórica. Casos envolvendo hospitais, clínicas, laboratórios e profissionais demonstram como a utilização inadequada de informações médicas pode gerar consequências jurídicas.
Vazamento de prontuários e atuação da ANPD
Incidentes envolvendo grandes quantidades de prontuários demonstram a dimensão que uma falha de segurança pode alcançar.
Quando bancos de dados contendo informações médicas ficam indevidamente acessíveis, não estão expostos apenas nomes ou números de documentos, mas informações capazes de revelar doenças, tratamentos e outros aspectos extremamente privados da vida do paciente.
Além do risco individual, incidentes relevantes podem atrair a atuação fiscalizatória da Autoridade Nacional de Proteção de Dados (ANPD).
Exposição de dados médicos na internet pode gerar indenização
A publicação ou exposição indevida de exames e informações relacionadas à saúde pode resultar em responsabilização civil.
Isso acontece porque o sigilo das informações médicas não decorre apenas da LGPD. Ele também se relaciona à privacidade, à intimidade e às normas éticas aplicáveis aos profissionais da saúde.
Quanto mais sensível for a informação exposta e maiores forem as consequências da divulgação, maior tende a ser o risco jurídico.
Gravidez também pode revelar informação sensível de saúde
Outro ponto importante é que um dado sensível nem sempre precisa aparecer expressamente em uma ficha médica.
Dependendo das circunstâncias, informações aparentemente comuns podem revelar uma condição de saúde.
É o caso, por exemplo, de dados utilizados de forma a permitir concluir que determinada pessoa está grávida.
Por isso, clínicas e consultórios devem ter atenção especial ao compartilhamento de listas de pacientes ou informações com parceiros comerciais.
Fotos de pacientes e procedimentos nas redes sociais exigem atenção
O uso de imagens de pacientes é outro ponto especialmente delicado.
Fotos de procedimentos, resultados e conteúdos de “antes e depois” podem revelar não apenas a identidade da pessoa, mas informações relacionadas ao seu estado de saúde ou ao tratamento realizado.
A autorização para utilização de imagem em publicidade não deve ser confundida com a autorização necessária para realizar o próprio atendimento médico.
Além da LGPD, devem ser observadas as normas éticas e profissionais aplicáveis à publicidade na área da saúde.
LGPD e prontuário eletrônico: quais cuidados devem ser adotados?
A utilização de prontuário eletrônico facilita o atendimento e a organização da clínica, mas também exige cuidados de segurança.
Entre as medidas que podem ser adotadas estão:
- controle individualizado de acesso;
- definição de permissões conforme a função de cada colaborador;
- utilização de senhas fortes e autenticação adequada;
- registros de acesso e alterações;
- realização periódica de backups;
- atualização dos sistemas utilizados;
- proteção contra acessos externos indevidos;
- revisão dos contratos com fornecedores de software.
Não basta contratar um sistema e presumir que toda a responsabilidade pela segurança passou para a empresa fornecedora.
A relação entre clínica e fornecedor deve ser juridicamente analisada, inclusive quanto às responsabilidades envolvendo proteção de dados.
É permitido enviar exames e dados de pacientes pelo WhatsApp?
O WhatsApp tornou-se uma ferramenta comum na comunicação entre clínicas e pacientes, mas seu uso deve ser organizado.
Enviar um exame para o contato errado, manter documentos sensíveis em aparelhos compartilhados ou criar grupos nos quais informações de pacientes circulam sem necessidade pode gerar incidentes de segurança e violação de confidencialidade.
A clínica deve estabelecer regras internas sobre:
- quais informações podem ser enviadas;
- quem está autorizado a enviá-las;
- como confirmar a identidade do destinatário;
- quais dispositivos podem acessar as mensagens;
- como documentos e conversas serão armazenados ou eliminados.
A facilidade proporcionada pela ferramenta não elimina os deveres previstos na legislação.
Consultório médico precisa ter encarregado de dados (DPO)?
Depende da estrutura e do enquadramento do agente de tratamento.
A LGPD prevê a figura do encarregado pelo tratamento de dados pessoais, responsável por atuar como canal de comunicação relacionado à proteção de dados.
Entretanto, a regulamentação da ANPD estabelece hipóteses de dispensa para determinados agentes de tratamento de pequeno porte.
Quando houver enquadramento na hipótese de dispensa, ainda deverá existir um canal adequado de comunicação com os titulares.
Portanto, não é correto afirmar que todo consultório, independentemente de seu porte e características, necessariamente precisa nomear um DPO.
A situação deve ser analisada individualmente.
O que fazer em caso de vazamento de dados médicos?
Quando ocorre um incidente envolvendo dados pessoais, o primeiro passo é identificar sua extensão.
É necessário avaliar quais informações foram afetadas, quantas pessoas podem ter sido atingidas, quais riscos existem e quais providências podem reduzir os danos.
Nos incidentes capazes de acarretar risco ou dano relevante aos titulares, existe obrigação de comunicação à ANPD e aos titulares afetados, observadas as regras estabelecidas pela Autoridade.
Atualmente, a regulamentação prevê, como regra, prazo de três dias úteis para essa comunicação, ressalvadas situações específicas previstas na regulamentação aplicável.
Por isso, clínicas e consultórios não deveriam esperar um vazamento acontecer para descobrir quem será responsável por responder ao incidente.
Um plano de resposta a incidentes deve ser preparado antecipadamente.
Quais penalidades podem ser aplicadas por descumprimento da LGPD?
Uma falha envolvendo dados de pacientes pode produzir consequências em diferentes esferas.
Sanções administrativas da ANPD
A LGPD prevê medidas como advertência, publicização da infração, multa e outras sanções administrativas, conforme a natureza da irregularidade e o procedimento aplicável.
A multa simples pode alcançar até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, limitada a R$ 50 milhões por infração, conforme as regras da LGPD.
Responsabilidade civil
O paciente também pode buscar judicialmente a reparação dos danos causados pelo tratamento irregular de seus dados.
A existência e o valor de eventual indenização dependerão das circunstâncias concretas do caso, como a natureza das informações expostas, a extensão do incidente e suas consequências.
Responsabilidade ética e profissional
Além da LGPD, médicos e demais profissionais da saúde estão sujeitos às normas de seus respectivos conselhos profissionais.
Assim, um mesmo fato pode produzir discussões administrativas, civis e ético-profissionais distintas.
O Estatuto dos Direitos do Paciente também reforçou a proteção
A Lei nº 15.378/2026, que instituiu o Estatuto dos Direitos do Paciente, acrescentou mais uma camada normativa relevante para os serviços de saúde.
O Estatuto disciplina direitos e responsabilidades relacionados aos cuidados prestados por profissionais e serviços de saúde e deve ser interpretado em conjunto com outras normas aplicáveis.
Para clínicas e consultórios, isso reforça a importância de estabelecer procedimentos claros relacionados à informação, consentimento, confidencialidade e documentação do atendimento.
Como adequar um consultório médico à LGPD?
A adequação deve começar pelo conhecimento do fluxo real de informações da clínica.
Algumas medidas são especialmente importantes:
- Mapear os dados tratados: identificar quais informações são coletadas, onde ficam armazenadas, quem pode acessá-las e para quem são enviadas.
- Definir as bases legais: cada operação relevante deve possuir finalidade e fundamento jurídico identificados.
- Revisar termos e documentos: contratos, políticas de privacidade, autorizações de imagem e outros documentos devem refletir a realidade da clínica.
- Revisar contratos com fornecedores: sistemas de prontuário, armazenamento em nuvem, empresas de marketing, contabilidade e outros prestadores podem ter acesso a dados pessoais.
- Controlar acessos: colaboradores devem acessar apenas as informações necessárias ao exercício de suas funções.
- Treinar a equipe: muitos incidentes acontecem por falhas humanas, como envio de exame para o paciente errado, exposição de documentos ou compartilhamento indevido de informações.
- Criar um plano de resposta a incidentes: a clínica precisa saber previamente como agir caso ocorra vazamento, perda ou acesso indevido.
- Revisar periodicamente a conformidade: a adequação à LGPD é um processo contínuo, e não um documento produzido uma única vez.
Como uma assessoria jurídica pode ajudar na adequação à LGPD?
A adequação jurídica de clínicas e consultórios vai além da elaboração de um termo de consentimento.
Uma assessoria especializada pode auxiliar no mapeamento dos riscos jurídicos, revisão de contratos, elaboração de políticas internas, análise das bases legais utilizadas, estruturação de termos relacionados ao uso de imagem e orientação sobre procedimentos em caso de incidentes.
A atuação preventiva tende a ser especialmente relevante na área da saúde porque o consultório lida diariamente com dados pessoais sensíveis.
Identificar uma vulnerabilidade antes de ocorrer um incidente pode evitar exposição de pacientes, conflitos judiciais, problemas perante órgãos reguladores e danos à reputação profissional.
Perguntas frequentes sobre LGPD em consultórios médicos
A LGPD se aplica a consultórios médicos pequenos?
Sim. O porte reduzido do consultório não afasta automaticamente a aplicação da LGPD. Existem, entretanto, regras específicas e flexibilizações destinadas a determinados agentes de tratamento de pequeno porte.
Médico pode compartilhar dados de pacientes?
O compartilhamento pode ocorrer quando existir finalidade legítima e base jurídica adequada. A possibilidade depende do contexto, da finalidade, das informações envolvidas e das pessoas ou entidades que receberão os dados.
Todo tratamento de dado médico precisa de consentimento?
Não. A LGPD estabelece diferentes bases legais para o tratamento de dados pessoais sensíveis. No contexto da assistência à saúde, outras hipóteses legais podem justificar o tratamento.
Consultório médico precisa de DPO?
Nem sempre. Determinados agentes de tratamento de pequeno porte podem estar dispensados da indicação de encarregado conforme regulamentação da ANPD, embora permaneçam sujeitos às demais obrigações aplicáveis e devam disponibilizar canal de comunicação adequado.
O que acontece se uma clínica vazar dados de pacientes?
Dependendo das circunstâncias, o incidente pode gerar obrigação de comunicação aos titulares e à ANPD, investigação administrativa, sanções, ações de indenização e consequências ético-profissionais.
Clínica pode publicar foto de paciente nas redes sociais?
O uso de imagens de pacientes exige análise específica da finalidade, da base jurídica aplicável e das normas profissionais de publicidade. Uma autorização genérica para atendimento médico não deve ser tratada automaticamente como autorização para utilização publicitária da imagem.
Conclusão
A LGPD em consultórios médicos deve ser encarada como parte da própria gestão do serviço de saúde.
Prontuários, exames, fotografias, mensagens e demais informações clínicas fazem parte de uma categoria especialmente protegida pela legislação brasileira.
Por isso, clínicas e profissionais precisam saber quais dados possuem, por que os utilizam, quem pode acessá-los, com quem são compartilhados e quais medidas existem para protegê-los.
A adequação preventiva envolve medidas jurídicas, administrativas e tecnológicas, incluindo revisão de contratos, definição de procedimentos internos, treinamento da equipe, segurança da informação e preparação para eventuais incidentes.
Mais do que evitar multas, proteger dados médicos significa preservar a privacidade, a confiança e a segurança do próprio paciente.
Este conteúdo possui caráter exclusivamente informativo e não substitui a análise jurídica individualizada. A aplicação da LGPD depende das características, estrutura, operações e fluxo de dados de cada clínica ou consultório.
