Autor: André Casotte Última Atualização: 24 de Julho de 2026
Tempo de Leitura: 7 minutos
Revisado e Homologado por: Conselho Editorial Técnico “O Manual do Médico”
Imagine o seguinte cenário de rotina: o paciente entra na recepção do seu consultório, preenche uma ficha de papel com nome, CPF, histórico de doenças e o motivo da consulta, e deixa o documento visível sobre o balcão. Na saída, a secretária envia a confirmação da consulta pelo WhatsApp da clínica, anexando o pedido de exame em um grupo de mensagens. Dias depois, o paciente descobre que informações sobre o seu diagnóstico vazaram na região ou que passou a receber ligações de empresas vendendo medicamentos para a sua patologia específica.
Esse tipo de exposição — comum em clínicas que operam no modelo tradicional — é hoje considerado uma falha grave de segurança. Perante a Lei Geral de Proteção de Dados (LGPD), as informações médicas não são dados comuns; são dados pessoais sensíveis. Deixar fichas expostas, compartilhar exames sem criptografia ou usar softwares de prontuário piratas expõe a sua pj medica a sanções administrativas pesadíssimas aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD) e a processos de indenização por danos morais movidos por pacientes.
📌 Resposta Direta: A adequação à LGPD no consultório médico exige que a clínica adote medidas técnicas e administrativas para proteger os dados sensíveis dos pacientes em todo o seu ciclo de vida (coleta, armazenamento e eliminação). Na prática, o consultório deve: 1) Obter o consentimento ou garantir a hipótese legal adequada (tutela da saúde ou proteção da vida) para o tratamento dos dados; 2) Utilizar softwares de prontuário eletrônico com criptografia e controle de acesso por níveis de permissão; 3) Treinar a equipe de recepção sobre sigilo e manuseio de fichas físicas; 4) Coletar o Termo de Consentimento para envios de mensagens via WhatsApp/e-mail; e 5) Armazenar os documentos pelo prazo mínimo obrigatório de 20 anos estabelecido pelo CFM.
⚠️ Caixa de Alerta Máximo: A Culpabilidade da PJ Médica
A Responsabilidade Financeira da Empresa: > Ao longo da nossa rotina acompanhando auditorias e adequações societárias em estabelecimentos de saúde, notamos que muitos profissionais acreditam que a LGPD atinge apenas grandes redes hospitalares ou laboratórios.
Esse é um ledo engano. A ANPD e o Poder Judiciário responsabilizam diretamente o CNPJ da sua
pj medica. As sanções administrativas da LGPD incluem desde advertências públicas até multas de até 2% do faturamento bruto do CNPJ, limitadas a R$ 50 milhões por infração, além da obrigação de indenizar o paciente por danos morais presumidos. A adequação preventiva é infinitamente mais barata do que remediar um vazamento de dados.
📊 O que Mudar no Consultório: Antes vs. Depois da LGPD
| Prática do Consultório | Como Era Antes (Vulnerável) | Como Deve Ser Agora (Conforme) |
| Fichas de Papel | Fichas expostas na mesa da recepção ou prateleiras abertas. | Arquivos físicos trancados com chave e acesso restrito a pessoas autorizadas. |
| Confirmação por WhatsApp | Envio de receitas, laudos e nomes de patologias em conversas abertas. | Uso de links seguros com senha/autenticação ou envio apenas de dados operacionais. |
| Software de Prontuário | Sistemas locais sem criptografia ou planilhas do Excel em computadores simples. | Prontuário eletrônico (PEP) em nuvem com conformidade de segurança e criptografia. |
| Compartilhamento de Dados | Repasse de listas de pacientes para farmácias de manipulação ou parceiros. | Estritamente proibido sem o consentimento livre, inequívoco e destacado do paciente. |
🛠️ As 5 Ações Práticas para Adequar o seu Consultório Hoje
Não é necessário contratar uma auditoria multinacional para dar os primeiros passos de blindagem da sua clínica. Aplique estas cinco medidas de forma imediata:
- 1. Crie a Política de Privacidade do Consultório: Elabore um documento simples e visível (no site, na recepção e anexo às fichas) explicando quais dados são coletados, qual a finalidade e como o paciente pode solicitar a alteração ou exclusão de suas informações após o prazo legal.
- 2. Mapeie o Ciclo de Vida dos Dados (Data Mapping): Identifique por onde os dados dos pacientes entram na sua clínica (formulário do site, recepção, WhatsApp) e por onde saem (contabilidade, laboratórios, convênios). Elimine coletas desnecessárias (ex: não peça o estado civil ou religião do paciente se isso não for irrelevante para a conduta médica).
- 3. Treine e Assine Termos de Confidentialidade com a Equipe: A secretária, a equipe de limpeza e o faturista têm acesso a informações de saúde. Todos devem assinar um Termo de Confidencialidade e Sigilo (NDA), e serem instruídos a nunca falar sobre diagnósticos em áreas comuns ou deixar telas de computador destravadas.
- 4. Blindagem do WhatsApp do Consultório: Configure o WhatsApp Business da clínica com autenticação em dois fatores e evite enviar diagnósticos ou fotos de exames diretamente na conversa aberta. Utilize termos de consentimento prévio para comunicação digital.
- 5. Contratos de Encarregado e Operadores de Dados: Caso utilize softwares de prontuário, sistemas de agendamento online ou contabilidade externa, certifique-se de que os contratos com essas empresas contenham Cláusulas de Proteção de Dados (DPA), repassando a responsabilidade técnica em caso de invasão de servidores terceirizados.
🗺️ O Fluxo da Coleta Segura de Dados na Recepção
[Chegada do Paciente] ➡️ Apresentação do aviso de privacidade sobre a finalidade da coleta dos dados na recepção.
👇
[Cadastro de Saúde] ➡️ Coleta estritamente dos dados necessários para a ficha clínica e emissão da Nota Fiscal (PJ).
👇
[Atendimento Médico] ➡️ Inserção de evoluções no Prontuário Eletrônico protegido por senha individual do médico.
👇
[Armazenamento Nuvem] ➡️ Criptografia dos dados com backup automático e controle de logs de acesso (quem leu o quê).
👇
[Guarda Obrigatória] ➡️ Retenção do prontuário pelo prazo mínimo de 20 anos exigido pelo CFM e Lei 13.787/2018.
🟢 Leia também e fortaleça a indexação interna do portal:
Perguntas Frequentes (FAQ)
O paciente pode exigir a exclusão de todo o seu prontuário médico com base na LGPD?
Não. Embora a LGPD garanta ao titular o direito de exclusão de dados pessoais, o Artigo 16 da própria lei abre exceções claras para o cumprimento de obrigação legal ou regulatória pelo controlador. Como a Lei Federal nº 13.787/2018 e as resoluções do CFM exigem que o médico e a clínica guardem o prontuário pelo prazo mínimo de 20 anos, o consultório tem o dever legal de recusar o pedido de exclusão do histórico clínico do prontuário, devendo manter os documentos devidamente arquivados e protegidos até o término do prazo estipulado por lei.
A clínica médica precisa indicar obrigatoriamente um Encarregado pelo Tratamento de Dados (DPO)?
Para clínicas médicas e consultórios de pequeno e médio porte (classificados pela ANPD como agentes de tratamento de pequeno porte), a obrigatoriedade de nomeação formal de um DPO (Data Protection Officer) dedicado foi flexibilizada pela Resolução CD/ANPD nº 2/2022. No entanto, mesmo não sendo obrigatória a contratação de um profissional exclusivo, a clínica deve manter um canal de atendimento oficial (ex: um e-mail específico de privacidade) para responder a dúvidas e solicitações dos pacientes sobre seus dados pessoais de forma ágil.
O envio de lembretes de consulta por SMS ou WhatsApp viola a LGPD?
Não viola, desde que a finalidade da mensagem seja estritamente operacional (confirmar horário, enviar instruções de preparo de exames ou localização da clínica) e que o paciente tenha sido informado sobre essa comunicação no momento do cadastro. O que a LGPD proíbe é o uso desse canal de contato para o envio de campanhas de marketing não solicitadas, promoções de procedimentos estéticos ou o compartilhamento do número do paciente com empresas terceiras sem a autorização prévia e expressa do titular.
📚 Fontes Consultadas e Base Legal:
- Legislação Federal: Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais – LGPD (Artigos 5º, 7º, 11 e 14 — Disposições sobre o tratamento de dados sensíveis de saúde e sanções administrativas).
- Autoridade Nacional de Proteção de Dados (ANPD): Resolução CD/ANPD nº 2/2022 (Regulamenta a aplicação da LGPD para agentes de tratamento de pequeno porte e startups no Brasil).
- Conselho Federal de Medicina (CFM): Resolução CFM nº 2.299/2022 (Estabelece os requisitos de segurança da informação e assiantura digital para prontuários e sistemas médicos eletrônicos).