Clínicas médicas e odontológicas operam, todos os dias, com a categoria de dados pessoais que recebe a mais rigorosa proteção legal no Brasil: os dados de saúde. Esses dados são classificados como sensíveis pelo art. 5º, II, da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), e seu tratamento exige base legal específica, controles reforçados e atenção redobrada ao sigilo profissional.
A particularidade do setor está no encontro entre normas: a LGPD impôs uma camada nova sobre uma arquitetura preexistente formada pela Resolução CFM nº 1.821/2007 (sobre prontuário e digitalização), pela Lei nº 13.787/2018 (prontuário eletrônico), pelas normas do CFO (para odontologia), pelos contratos com operadoras de planos de saúde e pelo Código de Ética Médica.
Este artigo trata do como tudo isso conversa — e do que clínicas, profissionais e gestores precisam ter em vigor para operar com segurança jurídica.
A LGPD criou uma categoria especial chamada dados pessoais sensíveis (art. 5º, II), que reúne informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Para o tratamento de dados sensíveis, a lei prevê hipóteses autorizativas específicas no art. 11, mais restritivas que as do art. 7º (que trata de dados pessoais comuns). Em saúde, as bases mais relevantes são:
A base "f" — tutela da saúde — é a porta de entrada para a maior parte dos tratamentos realizados em clínicas, hospitais e consultórios. Ela dispensa o consentimento, desde que o tratamento ocorra no contexto efetivo da prestação do serviço de saúde, por profissional ou estabelecimento de saúde.
Não. Em clínicas, o consentimento como base é exceção, não regra. A relação clínica-paciente já está coberta pelas bases "f" (tutela da saúde) e, em parte, pela execução de contrato e cumprimento de obrigação legal. Pedir consentimento para o atendimento médico, em si, gera um problema: o titular pode revogar, e o sistema fica travado entre obrigações legais de guarda e a revogação do consentimento.
O consentimento permanece relevante em outras frentes: envio de comunicações de marketing, pesquisas clínicas, divulgação de imagem, compartilhamentos não relacionados à finalidade direta do atendimento.
O sigilo médico é antigo, anterior à LGPD, e está fixado no Código de Ética Médica (Resolução CFM nº 2.217/2018 e atualizações), no Código de Ética Odontológica (Resolução CFO nº 118/2012), no Código Penal (art. 154, violação de segredo profissional) e no Código de Processo Civil (sigilo como dever).
A LGPD não substitui o sigilo: convive com ele e o reforça. O resultado é que clínicas precisam pensar em dois eixos:
Eixo do sigilo profissional: o que cada profissional pode revelar, a quem, e em quais hipóteses (justa causa, requisição judicial, autorização do paciente).
Eixo da proteção de dados: como a clínica trata, armazena, compartilha e protege o conjunto de informações, considerando o ciclo de vida do dado e os direitos do titular.
Os dois eixos se encontram em situações como pedido de cópia do prontuário pelo próprio paciente (direito de acesso da LGPD, art. 18, II, e direito histórico do paciente reconhecido pelo CFM), compartilhamento com operadora (relação contratual + sigilo + dados sensíveis), pedido de informações pela autoridade policial sem mandado (sigilo profissional como barreira), entre outras.
A LGPD garante o direito de acesso ao titular. Mas o titular faleceu. A resposta envolve análise: o CFM, em pareceres do Conselho Federal e regionais, reconhece o direito dos herdeiros ao acesso ao prontuário do falecido, especialmente para fins de defesa de direito próprio (previdência, seguro, ação judicial). Sob a LGPD, a base seria o exercício regular de direitos (art. 11, II, "d"). Mas a forma — quem recebe, em qual extensão, com qual documentação — precisa de critério.
O prontuário é o coração da operação de qualquer clínica, e sua disciplina legal é robusta. Os principais textos são:
A Resolução CFM nº 1.821/2007 estabeleceu, em seu art. 7º, o prazo mínimo de 20 anos para guarda do prontuário em suporte de papel, a partir do último registro. Esse prazo foi reafirmado pela Lei nº 13.787/2018 para o prontuário em papel.
Para o prontuário em meio eletrônico, a Lei 13.787/2018 permite, em seu art. 6º, a eliminação após decorrido o prazo, mediante critérios técnicos. A prática comum, em sistemas eletrônicos certificados (com assinatura digital ICP-Brasil), é a retenção por prazo igual ou superior. Em odontologia, o prazo mínimo orientado pelo CFO costuma ser de 10 anos, mas a prática prudente é alinhar ao padrão médico, especialmente para procedimentos com risco de discussão judicial posterior.
O prontuário é o conjunto de documentos padronizados e ordenados, proveniente de várias fontes, gerados a partir de fatos, acontecimentos e situações sobre a saúde do paciente e a assistência a ele prestada. Inclui anamnese, exames físicos, resultados de exames complementares, hipóteses diagnósticas, diagnóstico definitivo, tratamento efetuado, prescrição, evolução clínica e termo de consentimento informado para procedimentos.
Sob a LGPD, esses conteúdos são, em regra, dados pessoais sensíveis — o que aumenta o nível de cuidado exigido.
O compartilhamento com operadoras é o ponto que mais gera dúvida no dia a dia das clínicas. A operadora pede informações para autorizar procedimentos, processar reembolsos, fiscalizar uso de cobertura. A clínica precisa entregar — ou apenas parte? E sob qual base?
Em geral, o compartilhamento ocorre sob dupla fundamentação: cumprimento da regulação ANS (Resoluções Normativas que disciplinam a TISS — Troca de Informações em Saúde Suplementar) e execução de contrato firmado entre clínica/profissional e operadora. Sob a LGPD, há base no art. 11, II, "f" (tutela da saúde) combinado, em determinados aspectos, com a execução do contrato de prestação de serviço.
O ponto sensível é a extensão do compartilhamento. A clínica deve fornecer o mínimo necessário para a finalidade (princípio da necessidade, art. 6º, III, da LGPD). Operadora não tem direito a receber a totalidade do prontuário, salvo em hipóteses específicas justificadas (auditoria, glosa, regulação).
A LGPD trata o relacionamento entre agentes de tratamento. Em geral, no relacionamento clínica-operadora, ambas são controladoras (cada uma com sua finalidade, autônoma na decisão). Há quem defenda, em casos específicos, controladoria conjunta (art. 5º, VI, c/c art. 26 da LGPD), o que exige acordo escrito.
Os contratos costumam ser silentes sobre LGPD. A revisão das cláusulas é parte da adequação: definir papéis, responsabilidades, cooperação em incidentes, atendimento a direitos de titulares.
A Resolução CFM nº 2.314/2022 consolidou as regras de telemedicina no Brasil. O prontuário do atendimento por telemedicina segue o mesmo regime do atendimento presencial: precisa ser registrado, guardado pelo prazo mínimo e protegido.
A telemedicina introduz desafios adicionais sob a LGPD:
A Resolução ANPD nº 9/2024 detalhou o regime das transferências internacionais e introduziu cláusulas-padrão. Plataformas com servidores fora do Brasil exigem análise dessa adequação.
Vazamento em clínica é cenário grave: dados de saúde são sensíveis, o impacto reputacional é alto, e a obrigação de comunicar a ANPD e os titulares está prevista no art. 48 da LGPD.
A Resolução ANPD nº 15/2024 fixou o procedimento e o prazo: três dias úteis a contar do conhecimento do incidente para comunicação à ANPD, em formulário próprio.
O fluxo prático nas primeiras 72 horas inclui, em essência:
Contenção: isolar o sistema afetado, mudar credenciais, bloquear acessos, preservar logs. Sem evidência preservada, não há investigação possível.
Avaliação: identificar a natureza dos dados expostos, quantidade de titulares, riscos concretos para os titulares (fraude, discriminação, dano patrimonial).
Documentação: registrar tudo, com horários, decisões, pessoas envolvidas. Esse registro será revisto pela ANPD em eventual fiscalização.
Comunicação interna: acionar o DPO (encarregado), a alta direção, o jurídico, o TI.
Comunicação externa: à ANPD em até 3 dias úteis; aos titulares em prazo razoável, em linguagem clara, com indicação dos riscos e das medidas de mitigação.
Análise posterior: revisar controles, atualizar políticas, treinar equipes.
A omissão na comunicação, ou a comunicação tardia sem justificativa, é tratada com gravidade pela ANPD e pode majorar a sanção aplicável.
As sanções da ANPD vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52 da LGPD). Para clínicas de pequeno e médio porte, multas calibradas pela Resolução ANPD nº 4/2023 (Regulamento de Dosimetria) podem ser significativas.
Além das sanções administrativas, há o risco civil. O STJ tem reconhecido dano moral in re ipsa em vazamentos de dados sensíveis. Em clínicas, isso significa que o paciente afetado por um incidente de segurança pode ingressar com ação individual ou aderir a ação coletiva (Ministério Público, Defensoria, associações).
Há, ainda, a responsabilidade ética. Conselhos de classe (CFM, CFO, conselhos regionais) abrem processos disciplinares por violação de sigilo, que podem culminar em suspensão ou cassação do registro profissional.
O paciente, na qualidade de titular de dados, tem todos os direitos previstos no art. 18 da LGPD: confirmação, acesso, correção, portabilidade, eliminação (com ressalvas), informação sobre compartilhamentos. A clínica precisa de um canal de atendimento, um fluxo interno e um prazo de resposta.
Alguns direitos exigem ponderação em saúde:
Eliminação: a LGPD permite ao titular pedir eliminação, mas o art. 16 ressalva a manutenção quando há obrigação legal (e o prazo de guarda do prontuário é uma obrigação clara). A resposta correta a um pedido de eliminação total do prontuário é a recusa fundamentada, com explicação clara do paciente sobre o prazo legal.
Portabilidade: o paciente pode pedir cópia dos dados em formato estruturado. A clínica precisa atender em formato que permita uso e leitura pelo paciente ou pelo profissional indicado.
Correção: o paciente pode pedir correção de dados cadastrais (nome, endereço). Quanto aos registros clínicos, a "correção" não pode alterar o registro original; o que se faz é adicionar uma anotação, preservando a integridade do histórico (princípio da inalterabilidade do prontuário).
Reunindo o que foi exposto, uma estrutura mínima razoável envolve:
A LGPD não criou uma realidade nova para clínicas; ela formalizou e reforçou um regime de proteção que sempre existiu, ancorado no sigilo profissional, na ética médica e odontológica, e no respeito ao paciente. O que mudou foi o nível de exigência documental, a possibilidade concreta de sanção administrativa e a visibilidade do tema no debate público.
Para clínicas que estão começando a estruturar sua adequação, o caminho mais seguro é tratar o programa como integrado à governança clínica e à gestão de riscos — não como um anexo do TI ou um documento jurídico solto. A interface entre LGPD, CFM, CFO, ANS e Código de Ética é o que sustenta a operação segura.
Para um diagnóstico ajustado à realidade da sua clínica, com revisão de prontuário, contratos, plataformas e fluxos internos, é possível agendar conversa para atendimento individualizado, com honorários previstos em contrato escrito.
Este conteúdo tem finalidade exclusivamente informativa e não substitui a análise individualizada de cada caso. As referências às normas vigentes em maio de 2026 podem sofrer alterações por atos normativos posteriores. Conforme o Provimento OAB 205/2021 e o Código de Ética e Disciplina da OAB, este material não constitui captação de clientela nem oferta de serviços advocatícios.
Viviani Veloso — OAB/SP nº 262.546. Mais de 20 anos de atuação em Direito Empresarial, Trabalhista, Saúde Mental Corporativa e Proteção de Dados.
Para análise específica do contexto da sua empresa, com identificação de pontos de atenção e recomendações individualizadas, é possível agendar uma reunião preliminar.
Material informativo. Em conformidade com o Provimento OAB nº 205/2021. Não constitui consulta jurídica. Viviani Veloso — Advogada inscrita na OAB/SP nº 262.546.