A Lei Geral de Proteção de Dados, a LGPD, vale para qualquer negócio que trate dados pessoais. Clínicas e consultórios merecem atenção especial porque lidam com dados de saúde, que a lei classifica como dados pessoais sensíveis.
Adequar a clínica à LGPD pode parecer um projeto enorme, mas boa parte do trabalho está em organizar o que já acontece na rotina. Este checklist ajuda a começar. Para casos específicos, vale contar com orientação jurídica.
1. Mapeie quais dados você coleta
Liste todos os pontos em que a clínica recebe dados pessoais: ficha de cadastro, agendamento por WhatsApp, formulário do site, prontuário, pedidos de exame, dados de convênio, pagamento. Para cada ponto, anote quais dados são coletados, onde ficam guardados e quem tem acesso.
Esse mapa costuma revelar surpresas, como fichas em papel guardadas sem controle ou planilhas com dados de pacientes circulando por e-mail.
2. Colete apenas o necessário
A LGPD pede que o tratamento de dados se limite ao necessário para a finalidade. Revise a ficha de cadastro: cada campo tem uma razão de existir? Pedir informações que nunca serão usadas só aumenta o risco sem trazer benefício.
3. Entenda a base legal de cada tratamento
A lei lista as hipóteses em que dados sensíveis podem ser tratados. Para o atendimento em si, a própria LGPD prevê o tratamento para tutela da saúde, em procedimentos realizados por profissionais ou serviços de saúde. Já o uso de dados para outras finalidades, como enviar conteúdo promocional, costuma exigir uma base diferente, frequentemente o consentimento do paciente.
Separar essas finalidades evita um erro comum: usar o cadastro clínico como lista de marketing sem autorização.
4. Controle quem acessa o quê
- Cada pessoa da equipe com login próprio, sem senhas compartilhadas.
- Recepção sem acesso ao conteúdo clínico do prontuário.
- Acesso removido no mesmo dia em que alguém deixa a clínica.
- Computadores com bloqueio de tela e senha.
5. Cuide do WhatsApp e do e-mail
Boa parte dos vazamentos em clínicas acontece em canais informais. Evite enviar exames e documentos para números não confirmados, não use o celular pessoal da equipe para atender pacientes e não inclua informações clínicas em mensagens que podem ser vistas na tela bloqueada do celular.
6. Revise seus fornecedores
Sistemas de gestão, laboratórios parceiros, empresas de contabilidade e serviços de marketing podem ter acesso a dados dos pacientes. Verifique se os contratos tratam de proteção de dados e se esses fornecedores adotam medidas de segurança adequadas.
7. Tenha um canal para o titular
O paciente tem direitos garantidos pela LGPD, como confirmar se a clínica trata seus dados, acessá-los, corrigi-los e pedir informações sobre o compartilhamento. Defina um canal para receber esses pedidos e alguém responsável por respondê-los. A lei prevê a figura do encarregado pelo tratamento de dados, e a ANPD regulamenta em quais situações a indicação pode ser dispensada.
8. Saiba o que fazer em caso de incidente
Se houver vazamento ou acesso indevido que possa causar risco ou dano relevante aos pacientes, a clínica deve comunicar a ANPD e os titulares afetados no prazo definido pela autoridade. Ter um roteiro simples, com quem avisar e quais informações reunir, evita decisões improvisadas em um momento de pressão.
9. Publique uma política de privacidade
O site e os canais de atendimento devem informar, em linguagem clara, como a clínica trata os dados dos pacientes.
Um processo contínuo
A adequação à LGPD não termina em um documento assinado. Ela depende de hábitos da equipe e de ferramentas que ajudem. Na WayDoctor, permissões por perfil, histórico de acessos e o atendimento centralizado no WhatsApp oficial da clínica facilitam boa parte desse trabalho no dia a dia.
