Por que sua clínica corre mais risco se ignorar a LGPD

Imagine a cena. Uma recepcionista digita, no sistema de agendamento, o nome, a data de nascimento e o motivo da consulta de um paciente. Ao lado, no mesmo cadastro, entra o histórico de exames, o diagnóstico anterior e a medicação em uso. Para quem trabalha na recepção, é rotina. Para a lei, é outra categoria de risco completamente diferente de um cadastro de e-commerce ou de uma newsletter.

Em julho de 2026, a Autoridade Nacional de Proteção de Dados abriu um processo sancionatório contra uma organização responsável pela gestão de unidades públicas de saúde em sete estados, depois de um ataque de ransomware expor prontuários, exames, diagnósticos e prescrições de aproximadamente 500 mil pacientes, entre eles quase 79 mil crianças e adolescentes. O motivo da autuação não foi só o ataque em si. Foi a instituição não ter comunicado individualmente os pacientes afetados e não ter apresentado evidências técnicas que comprovassem o real alcance do incidente.

Se você gerencia uma clínica, um consultório, um laboratório ou qualquer negócio que trata informações de pacientes, esse caso não é só uma notícia distante. É um retrato do que a ANPD está observando de perto agora. E aqui está o ponto que a maioria dos conteúdos genéricos sobre LGPD não explica direito: dado de saúde não é tratado pela lei da mesma forma que um telefone de contato ou um endereço de entrega. Ele entra em uma categoria à parte, chamada de dado pessoal sensível, com regras mais rígidas de base legal, consentimento e segurança.

Se você já leu sobre LGPD e saiu da leitura com a sensação de que “só precisa de uma política de privacidade no site”, não está sozinho. Isso acontece porque a maior parte do conteúdo disponível foi escrito pensando em lojas virtuais e sites institucionais, não em quem lida, todos os dias, com prontuários, convênios e exames. Neste artigo, você vai entender exatamente o que muda quando o dado tratado é de saúde, o que a lei exige de verdade do seu sistema e da sua equipe, os erros mais comuns que colocam clínicas em risco de multa e um roteiro prático para colocar sua operação em conformidade sem paralisar o atendimento.

Por que um dado de saúde pesa mais do que um cadastro comum

A Lei Geral de Proteção de Dados (Lei 13.709/2018) separa os dados pessoais em duas categorias. A primeira é o dado pessoal comum, como nome, e-mail e telefone. A segunda é o dado pessoal sensível, que inclui origem racial, convicção religiosa, opinião política e, o que interessa diretamente ao seu negócio, qualquer dado referente à saúde ou à vida sexual de uma pessoa identificada.

Repare que a lei não fala apenas de “diagnóstico” ou “prontuário”. Qualquer informação que revele algo sobre a condição de saúde de alguém entra nessa categoria: um exame de rotina, uma receita, o histórico de consultas, o plano de saúde utilizado e até a simples informação de que uma pessoa é paciente de uma clínica especializada em determinada condição. Isso já entrega, por si só, um dado sensível.

Dado pessoal comum: nome completo, e-mail, telefone, endereço de cobrança.
Dado pessoal sensível de saúde: diagnóstico, exame, prontuário, medicação em uso, plano de saúde, histórico de internações, resultado de teste genético.

A diferença prática entre as duas categorias não é filosófica. Ela se traduz em três exigências concretas que qualquer clínica precisa atender: uma base legal específica e mais restrita para justificar o tratamento, medidas de segurança reforçadas e regras muito mais duras sobre compartilhamento desse dado com terceiros. Ignorar essa separação é o primeiro passo para tratar dados de pacientes com o mesmo cuidado (ou descuido) que se trata o cadastro de um boletim informativo.

O que o artigo 11 da LGPD exige na prática de quem atende pacientes

O artigo 11 da lei estabelece as hipóteses em que o tratamento de dado sensível pode acontecer. A primeira, e mais conhecida, é o consentimento do titular, mas com uma condição importante: esse consentimento precisa ser específico e destacado, para uma finalidade determinada. Não vale um termo genérico de “aceito os termos de uso” escondido no rodapé do site ou dentro de um contrato de prestação de serviço.

A boa notícia para quem atua na área da saúde é que a lei também prevê hipóteses em que o consentimento não é a única via possível. O tratamento pode ocorrer, por exemplo, quando for indispensável para a tutela da saúde, realizada por profissionais de saúde, serviços de saúde ou autoridade sanitária. Isso cobre boa parte da operação assistencial de uma clínica: anotar sintomas, registrar exames, atualizar prontuário durante o atendimento.

O ponto que costuma pegar gestores de clínica de surpresa está no parágrafo 4º do artigo 11. Ele veda, como regra, a comunicação ou o uso compartilhado de dados sensíveis de saúde entre controladores com o objetivo de obter vantagem econômica, salvo exceções pontuais, como a própria prestação de serviços de saúde ou a portabilidade quando o paciente autoriza. Ou seja, mesmo com consentimento do paciente, compartilhar a base de dados de saúde com uma empresa de marketing ou vender listas segmentadas por condição médica esbarra em uma vedação específica da lei, muito mais rígida do que a regra geral aplicada a um cadastro comercial comum.

Um cenário que ajuda a entender na prática

Imagine uma clínica de estética que decide repassar sua lista de pacientes, com histórico de procedimentos realizados, para uma empresa parceira de anúncios segmentados. Mesmo que o paciente tenha assinado um termo geral ao se cadastrar, esse compartilhamento provavelmente fere a vedação do artigo 11, porque o histórico de procedimentos estéticos e dermatológicos já é considerado dado de saúde, e o objetivo declarado é comercial. Esse é exatamente o tipo de prática que a ANPD tem sinalizado que vai fiscalizar com mais rigor, avaliando se a base legal apresentada corresponde à realidade da operação, e não apenas ao que está escrito em um documento arquivado na gaveta.

Guia prático: como estruturar a conformidade da sua clínica passo a passo

Colocar uma clínica em conformidade não exige reformular toda a operação de uma vez. Exige um roteiro de priorização. Veja a sequência que costuma funcionar melhor na prática, sem sobrecarregar a equipe assistencial.

Checklist rápido para revisar hoje mesmo:

• Existe um termo de consentimento específico para dados de saúde, separado dos termos gerais de atendimento?
• O sistema de agendamento e o prontuário eletrônico têm controle de acesso por perfil de usuário?
• Há um canal visível (site, e-mail ou formulário) para o paciente solicitar informações sobre seus dados?
• A equipe sabe o que fazer nas primeiras horas depois de um incidente de segurança?
• Contratos com parceiros (laboratórios, planos, sistemas de gestão) têm cláusulas específicas de proteção de dados sensíveis?

Um bom ponto de partida, se a clínica ainda não tem nenhuma dessas estruturas, é priorizar o mapeamento de dados e a designação do encarregado. São as duas peças que aparecem primeiro em qualquer fiscalização, e que sustentam todo o restante da governança. Se sua equipe não tem tempo ou repertório interno para conduzir esse processo, contar com um apoio especializado em LGPD e governança digital costuma acelerar a adequação sem tirar o time assistencial do atendimento aos pacientes.

Erros mais comuns que colocam clínicas e empresas de saúde em risco

Depois de acompanhar como diferentes operações de saúde lidam com esse tema, alguns padrões de falha se repetem com uma frequência que chama a atenção. Veja os principais.

1. Achar que “conversa por WhatsApp” está fora do radar da lei. Enviar resultado de exame por mensagem, mesmo que solicitado pelo próprio paciente, exige os mesmos cuidados de qualquer outro canal. Um envio para o número errado já configura incidente de dado sensível.

2. Tratar o consentimento genérico como suficiente. Um termo único, assinado na recepção, cobrindo “todo e qualquer uso de dados” não atende à exigência de finalidade específica e destacada prevista no artigo 11.

3. Não ter RIPD nem documentação de base legal. Em uma fiscalização, a ANPD não pergunta apenas se a clínica cumpre a lei. Ela pergunta como a clínica comprova esse cumprimento. Sem relatório, sem mapeamento, a resposta fica limitada a promessas verbais.

4. Compartilhar listas de pacientes com parceiros comerciais. Convênios com academias, farmácias ou empresas de bem-estar que envolvem repasse de dados de saúde para fins de oferta comercial esbarram diretamente na vedação do parágrafo 4º do artigo 11.

5. Demorar para notificar um incidente, ou notificar de forma genérica. O caso do instituto que geriu unidades públicas de saúde em sete estados, citado no início deste artigo, mostra bem o risco. A instituição optou por publicar um aviso genérico no site em vez de comunicar individualmente cada paciente afetado, e essa decisão pesou contra ela no processo aberto pela ANPD.

O que vem por aí: fiscalização mais próxima e menos margem para improviso

Se você ainda enxerga a LGPD como um risco distante, os próprios documentos da ANPD indicam o contrário para o setor de saúde. A agência publicou, para o biênio 2026-2027, um Mapa de Temas Prioritários que coloca dados biométricos, financeiros e de saúde como o eixo com maior número de ações de fiscalização previstas, com pelo menos dez atividades voltadas especificamente a esse recorte até o fim de 2026. Em paralelo, a ANPD passou a operar como agência reguladora autônoma, o que na prática significa mais estrutura e mais capacidade para investigar denúncias e realizar varreduras proativas em setores de alto risco.

Outro sinal relevante está no tipo de avaliação que a agência declarou que vai priorizar. A ANPD tem sinalizado que vai olhar para a efetividade real das práticas de proteção de dados, não apenas para a existência formal de políticas guardadas em um arquivo. Ou seja, ter um documento de política de privacidade publicado no site deixa de ser suficiente se, na prática, a operação não segue o que está escrito ali. Para clínicas, hospitais, laboratórios e plataformas de telemedicina, isso reforça a importância de tratar a conformidade como rotina operacional, e não como uma tarefa cumprida uma única vez.

Você pode consultar as diretrizes oficiais direto na fonte, na página da Autoridade Nacional de Proteção de Dados, que reúne os regulamentos, resoluções e o histórico de decisões da agência.

Conclusão: o plano de ação para proteger pacientes e o seu negócio

Tratar dado de saúde como um cadastro comum é, hoje, uma das decisões mais caras que uma clínica pode tomar sem perceber. A lei já classifica esse tipo de informação como sensível desde 2018, mas o cenário de fiscalização mudou. A ANPD deixou de atuar apenas na orientação e passou a aplicar sanções concretas, com casos reais envolvendo centenas de milhares de pacientes.

O caminho mais seguro não exige reformular sua clínica inteira em uma semana. Exige começar pelo básico: mapear onde os dados sensíveis circulam, revisar os termos de consentimento, designar um responsável e ter um plano testado para o pior cenário. Cada uma dessas etapas reduz de forma concreta o risco de multa e, principalmente, protege a confiança que o paciente deposita ao compartilhar informações da própria saúde com a sua equipe.

Se sua clínica ainda não passou por esse diagnóstico, o próximo passo natural é buscar uma avaliação estruturada. Conheça as soluções de LGPD e governança digital pensadas para operações de saúde e entenda exatamente onde sua clínica está exposta antes que uma fiscalização mostre isso por você.

Perguntas Frequentes (FAQ)

Dado de saúde sempre precisa de consentimento do paciente?

Não sempre. A LGPD prevê hipóteses em que o tratamento é permitido sem consentimento, como quando é indispensável para a tutela da saúde, realizada por profissionais ou serviços de saúde. Fora dessas exceções, porém, o consentimento precisa ser específico e destacado, nunca genérico, cobrindo com clareza a finalidade exata do uso daquele dado.

Posso compartilhar a lista de pacientes com uma empresa parceira para divulgação?

Na maioria dos casos, não. O artigo 11 da LGPD veda, como regra, o compartilhamento de dados sensíveis de saúde entre organizações com objetivo de obter vantagem econômica. Existem exceções ligadas à prestação de serviços de saúde, mas convênios comerciais de divulgação geralmente não se enquadram nelas.

O que acontece se minha clínica sofrer um vazamento de dados?

A lei exige comunicação à ANPD e aos titulares afetados em prazo curto, geralmente tratado como 72 horas. Casos recentes mostram que a forma da comunicação importa tanto quanto o prazo: um aviso genérico no site, sem contato individual com cada paciente, já foi apontado como falha em processos sancionatórios abertos pela agência.

Minha clínica é pequena, ainda assim corre risco de fiscalização?

Sim. O porte da clínica não isenta a obrigação legal. Os documentos recentes da ANPD mostram foco em setores de alto risco, e o volume de dados sensíveis tratados, mesmo por operações pequenas, já justifica atenção. Multas podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração.

Preciso contratar um encarregado (DPO) exclusivo para minha clínica?

A lei não exige um profissional exclusivo em tempo integral para todo porte de negócio, mas exige a designação formal de um encarregado e a publicação de um canal de contato acessível ao titular. A ausência dessa figura já motivou ações de fiscalização, mesmo em organizações de porte médio.