LGPD para clínicas e consultórios: o prontuário não é o seu maior risco

18 de setembro de 2026LGPD de Todos17 min de leitura

Em uma clínica quase todo dado é sensível, e o prontuário é justamente a parte que já está protegida. Ele tem sigilo profissional, tem prazo de guarda fixado em lei própria e quase sempre mora em um sistema com senha. O que escapa é o que roda em volta dele: o WhatsApp da recepção, a agenda aberta no balcão, a foto de exame no grupo da equipe e a lista de pacientes que sai para um parceiro. É nesses lugares que a LGPD encosta na clínica de verdade.

A maior parte do material sobre o assunto começa e termina no prontuário, e sai oferecendo um termo de consentimento para o paciente assinar na primeira consulta. Este texto faz o caminho contrário. Ele mostra por que a lei dispensa esse consentimento para o atendimento, onde ela cobra consentimento de verdade, e quais são os pontos da rotina de uma clínica que realmente deixam dado de saúde sair porta afora.

1. Onde a lei coloca a sua clínica

Registrar que uma pessoa é paciente já é tratar dado sensível, mesmo antes de qualquer diagnóstico. Não é preciso ter exame, laudo nem prescrição. A informação de que fulano tem consulta marcada em um lugar que trata saúde já diz algo sobre a saúde dele.

Repare no alcance da expressão "dado referente à saúde". Ela é maior do que o prontuário. O telefone de um paciente, sozinho, é dado comum. O mesmo telefone dentro da lista de espera de uma clínica de oncologia é dado referente à saúde, porque o contexto revela a condição. O texto sobre o que é dado sensível percorre a lista inteira do Art. 5º; aqui interessa a parte que faz a clínica funcionar em regime especial do primeiro cadastro em diante.

E vale para todas as portas da área: clínica médica, consultório odontológico, sala de psicologia, fisioterapia, nutrição, laboratório de análises e clínica de estética que faz procedimento. O que coloca o estabelecimento nesse regime não é a especialidade escrita na placa, é o tipo de dado que entra na ficha.

A lei ainda fecha a porta de saída mais usada, que é dizer que o dado não é de saúde porque não tem diagnóstico escrito. O Art. 11, § 1º manda aplicar o mesmo artigo a qualquer tratamento que revele dado sensível e possa causar dano ao titular. A agenda de uma clínica de psiquiatria não tem diagnóstico nenhum, e revela. O grupo de WhatsApp em que a recepção manda a lista do dia também.

Duas consequências práticas saem daí. A primeira é que a sua clínica é controladora desses dados, porque é ela que decide o que fazer com eles, e isso vale mesmo quando o sistema é de outra empresa. A segunda é que a régua deixa de ser o Art. 7º, que vale para dado comum, e passa a ser o Art. 11, que tem uma lista mais curta de hipóteses. Saber qual delas sustenta cada operação é o trabalho inteiro, e é o que as próximas seções fazem.

2. Você não precisa de consentimento para atender

A LGPD não pede consentimento do paciente para a clínica atender, examinar, registrar e guardar. Existe uma hipótese específica para isso, escrita para a área da saúde, e ela dispensa a assinatura justamente porque condicionar o atendimento a um papel deixaria o paciente sem escolha real.

Leia a alínea devagar, porque ela tem dois limites embutidos. O primeiro é a finalidade: tutela da saúde, e não qualquer coisa que a clínica queira fazer com o cadastro. O segundo é quem executa: profissional de saúde, serviço de saúde ou autoridade sanitária. Fora desse par, a hipótese não serve, e é exatamente por isso que ela não cobre divulgação, campanha comercial nem parceria.

Existe uma segunda hipótese que aparece na emergência. A alínea "e" do mesmo inciso autoriza o tratamento quando for indispensável para a proteção da vida ou da incolumidade física do titular ou de terceiro. É a que sustenta o atendimento de quem chega desacordado, sem cadastro e sem ninguém para assinar nada.

O consentimento volta a ser necessário no momento em que a clínica sai do atendimento. São situações comuns, e vale listá-las com nome:

• foto de antes e depois, ou qualquer imagem do paciente, para divulgação em site e redes;
• depoimento gravado ou escrito do paciente usado como material de venda;
• campanha comercial sobre serviço que não tem relação com o atendimento daquela pessoa;
• envio de dados para parceiro que não está prestando serviço de saúde àquele paciente;
• participação em pesquisa que não seja conduzida por órgão de pesquisa nos termos da alínea "c".

E aqui o Art. 11, I é exigente de propósito: consentimento de forma específica e destacada, para finalidades específicas. Específica significa uma finalidade por vez, e não um parágrafo que autoriza tudo. Destacada significa separada do resto, e não uma linha no meio do contrato de atendimento. Um termo que mistura atendimento e divulgação na mesma assinatura tende a não valer para nenhum dos dois.

E dispensar o consentimento não deixa o paciente sem direitos. O Art. 9º garante a ele o acesso facilitado à informação sobre o tratamento, e o Art. 18 lhe dá o direito de confirmar, acessar, corrigir e saber com quem os dados foram compartilhados, qualquer que seja a base legal. O que muda é só de onde vem a autorização.

3. Os seis lugares por onde o dado escapa

Nos casos que aparecem no dia a dia, o dado raramente vaza pelo prontuário. Ele sai pelos caminhos informais que a equipe criou para trabalhar mais rápido, e que ninguém desenhou como sistema. A tabela junta os seis mais comuns.

Nenhuma dessas linhas depende de comprar software. Cinco delas são decisão de rotina, e a sexta é uma linha no procedimento de quem cuida dos equipamentos. O texto sobre segurança de dados sem equipe de TI percorre esse tipo de medida em quem não tem departamento de tecnologia, e a lógica é a mesma aqui.

O artigo não cita aplicativo nenhum, e é bom que não cite. A lei fala em medida adequada ao risco, e o risco de um dado de saúde é alto por definição. Isso não proíbe a clínica de usar mensagem para falar com o paciente: o que ele cobra é que a clínica saiba onde cada cópia foi parar. Mandar o aviso de que o resultado chegou por mensagem, e o arquivo por um canal com acesso controlado, resolve quase todos os casos. O texto sobre promoção por WhatsApp e e-mail trata da outra metade desse assunto, que é o envio comercial.

4. A lista de pacientes que não pode sair

Passar dados de saúde de pacientes para outra empresa em troca de alguma vantagem é uma das pouquíssimas coisas que a LGPD proíbe com todas as letras. Não é interpretação, não é recomendação de boa prática, e não existe termo assinado na recepção que conserte.

A exceção é grande e é fácil de confundir com uma porta aberta, então vale separar os dois casos com exemplos da rotina de qualquer clínica.

Está coberto pela exceção: encaminhar o pedido de exame de um paciente ao laboratório que vai fazer aquele exame, porque isso é prestação de serviço auxiliar de diagnose em benefício dele; enviar a guia ao convênio para o faturamento daquele atendimento, porque é a transação administrativa resultante do serviço; entregar ao próprio paciente, ou a quem ele indicar, a cópia do que a clínica tem sobre ele, que é a portabilidade do inciso I.

Não está coberto: repassar a base de pacientes a um laboratório para ele oferecer um pacote de exames; entregar a lista de quem faz determinado tratamento a um representante de indústria; combinar com outra clínica a troca de listas para prospecção mútua; vender o cadastro em qualquer formato. Em todos esses casos o dado de saúde sai de um controlador para outro com vantagem econômica no meio, que é exatamente a figura vedada.

O § 5º do mesmo artigo fecha a brecha seguinte, e vale conhecer porque o paciente pergunta no balcão: é vedado às operadoras de planos de saúde tratar dado de saúde para seleção de riscos, na contratação de qualquer modalidade e na entrada e saída de beneficiários.

Quando alguma dessas trocas já aconteceu, a conversa deixa de ser sobre prevenção. O texto sobre comunicar incidente à ANPD e ao titular mostra o que fazer quando dado sensível chega a quem não deveria, e o prazo dessa comunicação não espera a clínica decidir se foi grave.

5. Vinte anos de prontuário, e o que fazer depois

O prontuário se guarda por no mínimo 20 anos a partir do último registro, e esse prazo não é uma escolha da clínica. Ele vem de uma lei própria, e a LGPD não briga com ela. Pelo contrário: a LGPD manda eliminar o dado no fim do tratamento e abre, no mesmo artigo, a exceção que cobre exatamente este caso.

A obrigação legal, no caso, é a Lei nº 13.787/2018, que trata da digitalização e da guarda do prontuário do paciente. O Art. 1º dela diz, sem rodeio, que o assunto é regido por ela e pela LGPD ao mesmo tempo, o que poupa a discussão sobre qual das duas vale. E o prazo está no Art. 6º.

Duas palavras dessa frase costumam passar batidas. "Mínimo" quer dizer que 20 anos é o piso, e outras determinações podem esticar o prazo. "Último registro" quer dizer que a contagem reinicia a cada atendimento, e não na data da primeira consulta: um paciente que voltou no ano passado tem o relógio zerado.

Em junho de 2026 o Conselho Federal de Medicina fechou a parte que faltava, que era o depois. O Parecer CFM nº 19/2026, de 5 de junho, atualizou o Parecer CFM nº 06/2015 e uniformizou as regras de descarte. Ele confirma os 20 anos da Lei nº 13.787/2018, ressalva que qualquer determinação legal, judicial, administrativa, contratual ou arquivística que imponha guarda maior prevalece, e diz que não há obrigação de avisar previamente pacientes, familiares ou Conselhos de Medicina, ainda que o contato prévio seja recomendado por cautela.

A parte mais útil para quem toca uma clínica é o que ele exige do procedimento. A eliminação precisa ser acompanhada de um termo próprio, com identificação do paciente, número do prontuário, data do último registro e método usado na destruição, e esse termo fica arquivado de forma permanente. Os métodos admitidos são os que inutilizam o suporte por completo, como fragmentação e incineração, e a supervisão cabe à direção técnica e à direção clínica. O parecer ainda pede que o registro de eliminação carregue só o necessário para comprovar o procedimento, sem reproduzir diagnóstico ou causa de morte.

Daqui sai a resposta para o medo mais comum do setor, que é achar que a LGPD obriga a apagar tudo. Não obriga, e em muitos casos proíbe. Um pedido de exclusão feito por paciente não apaga o prontuário enquanto o prazo legal estiver correndo. O Art. 18, VI garante a eliminação dos dados tratados com consentimento e ressalva as hipóteses do Art. 16, e o prontuário não está em nenhuma das duas pontas: ele não é tratado com consentimento, e a conservação dele é obrigação legal. O texto sobre pedido de exclusão de dados mostra como responder a esse pedido sem prometer o que não dá, e o texto sobre por quanto tempo guardar dados traz os prazos das outras leis que convivem com este.

6. Quem trata dados em nome da sua clínica

A clínica é controladora dos dados dos pacientes, e quase nunca está sozinha nesse tratamento. Quem trata por ordem dela é operador, e essa posição precisa estar escrita em algum lugar antes de alguém precisar dela.

A lista costuma ser mais longa do que a clínica imagina: o sistema de prontuário eletrônico, a plataforma de telemedicina, o laboratório que executa exame por ordem da clínica, a empresa de cobrança, o escritório de contabilidade que cuida da folha, a agência que administra as redes sociais e, às vezes, a empresa que faz a confirmação de consulta por mensagem. Todas recebem dado de paciente, e nenhuma decide o que fazer com ele.

O que a lei pede dessas relações é simples de enunciar e raro de encontrar pronto: o Art. 39 manda o operador tratar segundo as instruções do controlador, e instrução que não está escrita não existe no dia em que alguém cobra. Um aditivo curto costuma resolver, dizendo quais dados, para quê, por quanto tempo, quem acessa, o que acontece no fim do contrato e o que cada lado faz quando há incidente. O texto sobre o fornecedor que acessa dados percorre essa posição em detalhe, e o texto sobre LGPD no escritório de contabilidade mostra o caso de quem ocupa os dois papéis ao mesmo tempo.

Sobre encarregado, a resposta depende do porte e do risco. A Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte de indicar um formalmente, desde que exista canal de comunicação com o titular e com a ANPD, e a dispensa cai quando o tratamento é de alto risco. Clínica trata dado sensível, que é um dos critérios da régua, então vale conferir o outro antes de concluir. O texto sobre quando é preciso ter encarregado destrincha isso, e o texto sobre LGPD para pequena empresa traz o regime inteiro do pequeno porte.

7. O que ter, e em que ordem

A adequação de uma clínica pequena cabe em poucos dias de trabalho, desde que na ordem certa. A ordem importa porque cada item usa a resposta do anterior, e começar pelo documento é o erro que faz a clínica gastar duas vezes.

1. Liste onde o dado de paciente está. Sistema, papel na recepção, planilha, celular de quem atende, grupo da equipe, nuvem do exame de imagem. Sem essa lista, todo o resto é palpite.
2. Para cada lugar, diga qual hipótese do Art. 11 sustenta. Atendimento, obrigação legal, exercício de direito, e o que sobrar sem hipótese precisa parar ou ganhar consentimento próprio.
3. Feche os seis pontos da tabela. São decisões de rotina, valem a partir de amanhã e não custam nada.
4. Publique o aviso de privacidade na recepção e no site, com o que a clínica faz, com quem compartilha e como o paciente exerce os direitos dele.
5. Separe os termos específicos para imagem, depoimento e pesquisa, um para cada finalidade, longe do papel do atendimento.
6. Escreva o contrato com quem trata por você, começando pelo sistema de prontuário, que é onde está o volume.
7. Registre o que você decidiu. Uma adequação sem registro datado é indistinguível de nenhuma adequação quando alguém pergunta.

O último item é o que mais some da conversa e o que mais pesa quando a pergunta vem de fora. O texto sobre como comprovar a adequação mostra o que serve de prova, e a resposta curta é que nada substitui o registro do que foi feito, com data.

8. Perguntas frequentes

Clínica precisa de termo de consentimento do paciente por causa da LGPD?

Para atender, não precisa. O Art. 11, II, "f" autoriza o tratamento de dado sensível, sem consentimento, quando ele é indispensável para a tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Atender, examinar, registrar no prontuário e guardar pelo prazo da lei entram aí. O consentimento volta a ser necessário para o que não é atendimento: foto de antes e depois para divulgação, depoimento do paciente, campanha comercial e envio de dados para parceiro que não está prestando serviço àquele paciente. Nesses casos o Art. 11, I pede consentimento específico e destacado, um para cada finalidade.

Por quanto tempo a clínica precisa guardar o prontuário do paciente?

No mínimo 20 anos a partir do último registro. O prazo está no Art. 6º da Lei nº 13.787/2018, que trata da guarda e do manuseio do prontuário do paciente, e vale tanto para papel quanto para digitalizado. A LGPD não briga com isso: o Art. 16, I autoriza a conservação para cumprimento de obrigação legal ou regulatória pelo controlador, que é exatamente o caso. O Parecer CFM nº 19/2026 confirmou o prazo e detalhou o descarte depois dele, com termo de eliminação arquivado de forma permanente.

A clínica pode passar dados de pacientes para um laboratório ou para um parceiro?

Depende de para quê. O Art. 11, § 4º veda a comunicação ou o uso compartilhado de dados de saúde entre controladores com objetivo de obter vantagem econômica, e abre exceção para a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos interesses do titular. Na prática: encaminhar o pedido de exame do paciente ao laboratório que vai fazer aquele exame é prestação de serviço e está coberto. Entregar a base de pacientes a um parceiro para ele oferecer alguma coisa é a hipótese que o parágrafo proíbe, e nenhum termo assinado na recepção conserta isso.

Consultório com um profissional só também precisa cumprir a LGPD?

Precisa, e o tamanho muda o volume de obrigação, não a existência dela. A Resolução CD/ANPD nº 2/2022 cria um regime mais leve para o agente de tratamento de pequeno porte, com prazos maiores e dispensa da indicação formal de encarregado, desde que exista um canal de comunicação com o titular e com a ANPD. O que não muda para ninguém é o núcleo: informar o paciente sobre o que é feito com os dados dele, tratar dado de saúde dentro das hipóteses do Art. 11, manter segurança compatível com o risco e responder aos pedidos do titular. Um consultório de uma sala cumpre isso em poucas horas de trabalho.

Posso publicar foto de antes e depois do paciente nas redes da clínica?

Só com consentimento específico e destacado para essa finalidade, e não vale aproveitar a assinatura do atendimento. Divulgação não é tutela da saúde, então o Art. 11, II, "f" não cobre. Sobra o Art. 11, I, que pede consentimento para finalidades específicas, de forma destacada, o que significa um documento próprio dizendo que aquelas imagens vão para redes sociais e site, por quanto tempo, e que o paciente pode voltar atrás. Quando o paciente revoga, o combinado é tirar do ar, e é bom que o procedimento da clínica já preveja como isso é feito.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 5º, 7º, 9º, 11, 16, 18, 39 e 46 · Lei nº 13.787/2018, Arts. 1º e 6º · Parecer CFM nº 19/2026 · Resolução CD/ANPD nº 2/2022

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.