LGPD para clínicas: como tratar dados de pacientes e dados de saúde na prática

Toda clínica trata dados pessoais — e a maioria trata também dados de saúde, que a LGPD (Lei nº 13.709/2018) classifica como sensíveis e protege com regras mais rígidas. Não é preciso um departamento jurídico para se organizar: é preciso entender os papéis, as bases legais e ter um checklist.

Conteúdo informativo; não substitui a orientação de um DPO ou advogado para o seu caso.

Quem é controlador e quem é operador

Controlador é quem decide por que e como os dados são tratados. Operador é quem trata os dados em nome do controlador, seguindo as instruções dele.

Sobre os dados dos pacientes, a clínica é a controladora.
Um sistema de gestão que a clínica usa para tratar esses dados atua como operador.

Isso tem consequência prática: o paciente exerce direitos com a clínica, e o fornecedor do software apoia tecnicamente. Deve existir um contrato (ou termo) que descreva esse tratamento entre controlador e operador.

Dados de saúde: base legal (art. 11)

Dados de saúde só podem ser tratados nas hipóteses do art. 11 da LGPD. As duas mais comuns em clínica:

Consentimento específico e destacado do titular (art. 11, I) — o paciente autoriza aquele tratamento, de forma clara e separada.
Tutela da saúde, em procedimento realizado por profissionais ou serviços de saúde (art. 11, II, "f").

Marketing e divulgação não se enquadram nessas hipóteses: para usar foto ou depoimento de paciente publicamente, é preciso consentimento próprio, separado do consentimento assistencial.

Princípio da minimização. Colete e guarde só o necessário para a finalidade. Uma anamnese com 40 campos que ninguém usa é risco, não é organização.

Checklist de conformidade para a clínica

Mapa de dados — o que a clínica coleta, onde guarda, por quanto tempo e com quem compartilha.
Aviso de privacidade ao paciente, em linguagem simples, no momento da coleta.
Consentimento assistencial registrado (anamnese/termo) e consentimento de imagem separado.
Contratos com operadores (sistemas, contabilidade, laboratório) prevendo confidencialidade e conformidade.
Controle de acesso — cada pessoa da equipe vê só o que precisa; senhas individuais; registro de acesso.
Segurança básica — HTTPS, backup, dispositivos com bloqueio, e-mails com cuidado.
Plano de incidente — quem faz o quê se houver vazamento, e prazo para comunicar a ANPD e os afetados.
Encarregado (DPO) definido e um canal para o titular exercer direitos.
Retenção e descarte — prazos por tipo de dado (prontuário, fiscal, marketing) e eliminação segura ao fim.

Direitos do paciente

Acesso, correção, portabilidade, informação sobre compartilhamento, revogação de consentimento e eliminação (nos casos cabíveis). A clínica precisa de um processo para receber e responder esses pedidos em prazo razoável.

Como o ZapClini ajuda

O ZapClini atua como operador dos dados de pacientes: trata as informações conforme as instruções da clínica, com dados hospedados no Brasil, transmissão cifrada, controle de acesso por perfil e registros de auditoria. Formulários de consentimento, contratos e histórico ficam organizados por paciente. Veja a Política de Privacidade e a Central de Privacidade (LGPD).