LGPD e ANPD para clínicas: o que revisar na proteção de dados

Clínicas e consultórios tratam informações que exigem cuidados reforçados de privacidade e segurança: histórico clínico, exames, prontuários, contatos e registros de atendimento. Para organizar esses cuidados, o primeiro passo é identificar onde os dados circulam e quem responde por cada etapa.

O debate não deveria começar por uma promessa de multa evitada nem por um servidor instalado. Deve começar por um inventário verificável de dados, sistemas, pessoas com acesso e fornecedores.

A clínica é pequena. Isso muda suas obrigações?

Existem regras diferenciadas para determinados agentes de tratamento de pequeno porte. A Resolução CD/ANPD nº 2/2022 prevê, no artigo 11, que agentes elegíveis não são obrigados a indicar encarregado de dados, desde que disponibilizem um canal de comunicação com os titulares. A elegibilidade exige avaliar os critérios da norma, inclusive o tratamento de alto risco.

A dispensa de encarregado não é dispensa de cumprir a LGPD. Base legal, finalidade, segurança, transparência, direitos dos titulares e deveres perante a ANPD continuam sendo relevantes.

Por isso, a frase “toda clínica é obrigada a nomear um DPO” é imprecisa; a frase “clínica pequena não precisa se preocupar com LGPD” também.

Cinco controles práticos para revisar

1. Mapa de dados: identifique quais sistemas recebem, compartilham e guardam informações pessoais, especialmente prontuários, laudos, exames e mensagens.
2. Controle de acesso: cada profissional deve acessar somente o necessário, com conta individual, autenticação forte quando possível e revogação de acessos.
3. Fornecedores e contratos: verifique responsabilidades e fluxos de dados em prontuário SaaS, nuvem, WhatsApp e prestadores terceirizados.
4. Backup e recuperação: documentação e execução de cópias não substituem um teste real de restauração; estabeleça frequência e responsáveis.
5. Resposta a incidentes: defina quem é avisado, como se preservam evidências, como se avalia a necessidade de comunicação e como se reduz o dano.

Cloud estrangeira, WhatsApp e IA são proibidos?

Não por definição. Hospedagem no exterior e serviços de terceiros exigem avaliação contratual, de segurança e, quando pertinente, dos requisitos de transferência internacional. A localização física do servidor, isoladamente, não determina conformidade.

Quando uma ferramenta de IA processa dados pessoais, examine quais informações ela recebe, por quanto tempo são retidas, quem pode acessá-las e qual é a finalidade do tratamento. Evite enviar informações identificáveis desnecessariamente.

Quando procurar ajuda especializada

Se a equipe não sabe responder quem controla os acessos, onde estão as cópias de dados, quais serviços enviam informações para terceiros ou como recuperar o sistema após falha, há um problema técnico e organizacional concreto a resolver.

A AleffTech pode apoiar o mapeamento e a organização tecnológica; avaliações jurídicas e regulatórias específicas precisam envolver profissionais habilitados. Não existe fórmula que garanta ausência de incidentes ou de sanções.

Fontes: Resolução CD/ANPD nº 2/2022 e orientações da ANPD sobre encarregado.

Converse com a AleffTech para entender a organização tecnológica necessária no seu ambiente.