Toda clínica médica trata dados pessoais sensíveis. Essa afirmação não comporta exceção, porque informação sobre saúde é, por definição legal, dado sensível. E, apesar disso, muitas clínicas ainda operam como se a Lei Geral de Proteção de Dados fosse um tema restrito a empresas de tecnologia.

A Lei nº 13.709/2018 classifica como dado pessoal sensível, entre outros, aquele referente à saúde. Essa classificação não é meramente formal. Ela submete o tratamento dessas informações a um regime mais rigoroso, com hipóteses legais próprias, exigências reforçadas de segurança e consequências específicas em caso de incidente.

O primeiro equívoco comum é acreditar que a lei se aplica apenas a grandes operações. Não se aplica. O consultório individual que mantém prontuário eletrônico, agenda digital, comunicação com pacientes por aplicativo de mensagens e cadastro para envio de conteúdo já está tratando dados pessoais sensíveis em múltiplos pontos, com ou sem consciência disso.

O segundo equívoco é supor que o consentimento do paciente seja sempre suficiente. A lei prevê diversas bases legais para o tratamento de dados sensíveis, e o consentimento é apenas uma delas. Em muitos casos, o tratamento realizado pela clínica se apoia em outras bases, como a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária, e o cumprimento de obrigação legal ou regulatória. Identificar corretamente a base legal aplicável a cada finalidade é o ponto de partida de qualquer adequação séria, porque dela decorrem as obrigações subsequentes.

Essa distinção tem efeito prático imediato. O tratamento de dados para finalidade assistencial não depende necessariamente da mesma base legal do tratamento para finalidade de marketing. Utilizar o cadastro assistencial para enviar comunicações promocionais constitui finalidade distinta do atendimento e exige fundamento próprio e transparência. Quando a comunicação utiliza dados sensíveis ou permite inferir informações sobre a saúde do titular, o simples oferecimento de descadastramento pode não ser suficiente. 

A operação precisa ser examinada com maior rigor e, conforme o caso, pode depender de consentimento específico e destacado. Muitas clínicas utilizam a base assistencial para divulgação comercial sem essa análise, o que pode configurar desvio de finalidade.

O terceiro ponto crítico é a cadeia de fornecedores. A clínica raramente trata dados sozinha. Ela utiliza sistema de prontuário eletrônico, plataforma de agendamento, serviço de armazenamento em nuvem, ferramenta de comunicação, sistema de faturamento e, cada vez mais, soluções que envolvem inteligência artificial. Cada um desses fornecedores pode atuar como operador ou, em determinadas situações, como controlador independente ou conjunto, a depender do grau de decisão que exerce sobre o tratamento dos dados. A responsabilidade da clínica não desaparece porque parte da operação foi terceirizada.

Isso exige contratos adequados com esses prestadores, com previsão sobre finalidade do tratamento, medidas de segurança adotadas, vedação de uso para finalidade diversa, localização dos servidores, prazo de retenção e obrigações em caso de incidente de segurança. Contratar uma ferramenta apenas pela funcionalidade, sem examinar como ela trata os dados dos pacientes, transfere parte da operação, mas não elimina a responsabilidade da clínica.

O quarto ponto é o uso de aplicativos de mensagem. A comunicação com pacientes por meio desses canais se tornou padrão na rotina das clínicas e frequentemente inclui resultados de exames, orientações clínicas, fotografias de evolução e informações que integram o cuidado. Essa comunicação é tratamento de dado sensível. Quando ocorre em dispositivos pessoais de funcionários, sem controle de acesso, sem política definida e sem qualquer registro, cria-se exposição relevante, agravada pela dificuldade de demonstrar quem acessou o quê e quando.

Há ainda a interface entre proteção de dados e sigilo profissional. O sigilo médico é dever ético anterior à Lei Geral de Proteção de Dados e permanece integralmente aplicável. A lei não substitui o sigilo. Soma-se a ele. Uma mesma conduta pode ser simultaneamente violação de sigilo profissional, passível de apuração no Conselho, e tratamento irregular de dados, passível de sanção administrativa.

O paciente também tem direitos que a clínica precisa estar preparada para atender, entre eles a confirmação da existência de tratamento, o acesso aos dados, a correção de informações incompletas ou desatualizadas, a portabilidade, observadas as condições legais e a regulamentação da ANPD, e a informação sobre compartilhamentos.

Esses direitos convivem com as regras próprias do prontuário, que estabelecem prazos de guarda e limites à eliminação, e essa convivência exige análise cuidadosa. O direito à eliminação, por exemplo, não afasta o dever de guarda documental imposto pela regulamentação médica.

A adequação também ganhou nova camada com a Resolução CFM nº 2.454/2026, que regulamentou o uso da inteligência artificial na medicina e reforçou expressamente a observância da legislação de proteção de dados. Clínicas que adotam ferramentas de triagem, atendimento automatizado, apoio à decisão, gestão assistencial ou análise de informações clínicas passaram a tratar dados sensíveis por meio de sistemas cuja lógica de funcionamento, base de treinamento, governança e nível de segurança nem sempre conhecem em detalhe.

Na prática, a adequação de uma clínica começa por um mapeamento honesto. Quais dados são coletados, em que pontos, com qual finalidade, por quanto tempo são mantidos, quem tem acesso, para onde são enviados e quais fornecedores participam do tratamento. A partir desse mapeamento, definem-se as bases legais aplicáveis, revisam-se os contratos com fornecedores, estabelecem-se políticas internas, treina-se a equipe e organiza-se o plano de resposta a incidentes.

Nada disso é exigência formal desconectada da realidade. Um incidente de segurança envolvendo dados de saúde pode exigir comunicação à ANPD e aos titulares afetados, além de produzir repercussões regulatórias, civis e éticas e causar dano reputacional significativo, especialmente em áreas nas quais a confidencialidade integra a própria expectativa do paciente.

Proteger dados de paciente não é obrigação acessória da clínica. É extensão natural do dever de sigilo que sempre acompanhou o exercício da medicina.

A HGZ Advocacia Médica atua na adequação de clínicas e consultórios à Lei Geral de Proteção de Dados, com mapeamento de tratamento, definição de bases legais, revisão de contratos com fornecedores de tecnologia, elaboração de políticas internas, organização de plano de resposta a incidentes e articulação entre proteção de dados, sigilo profissional e normas do Conselho Federal de Medicina. Se a sua clínica utiliza prontuário eletrônico, comunicação digital com pacientes, aplicativos de mensagens ou ferramentas contratadas de terceiros, fale com a gente e organize essa estrutura.