LGPD para médicos: guia prático de proteção de dados no consultório

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) está em vigor desde 2020, mas muitos consultórios ainda não se adaptaram. E os riscos são reais: multas de até 2% do faturamento (limitadas a R$50 milhões por infração).

Este guia traduz a LGPD para o dia a dia do consultório médico, sem juridiquês.

O que são dados pessoais sensíveis na medicina?

A LGPD classifica dados de saúde como dados pessoais sensíveis, que têm proteção reforçada. No consultório, isso inclui:

• Prontuário médico e histórico clínico
• Diagnósticos e resultados de exames
• Informações sobre tratamentos e medicações
• Motivo da consulta (quando revela condição de saúde)
• Dados biométricos (impressão digital em sistemas de acesso)

Dados não sensíveis (mas ainda protegidos): nome, CPF, telefone, endereço, e-mail.

5 obrigações do médico como controlador de dados

1. Informar o paciente

O paciente tem direito de saber quais dados são coletados, para que servem e como são armazenados. Isso pode ser feito via um termo simples na primeira consulta ou no primeiro contato por WhatsApp.

2. Obter consentimento quando necessário

Para dados sensíveis de saúde, o consentimento é a base legal mais segura. Ele deve ser livre, informado, inequívoco e específico. Um termo assinado (físico ou digital) resolve.

3. Garantir segurança dos dados

Medidas mínimas recomendadas:

• Computadores com senha e tela bloqueada
• Prontuário eletrônico com criptografia (não planilha Excel)
• Backup regular dos dados
• WiFi do consultório com senha forte
• WhatsApp do consultório em aparelho dedicado

4. Definir período de retenção

O prontuário médico deve ser guardado por no mínimo 20 anos após o último atendimento (Resolução CFM nº 1.821/2007). Outros dados administrativos podem ter períodos menores.

5. Atender solicitações do paciente

O paciente pode pedir: acesso aos seus dados, correção, portabilidade e até eliminação (exceto prontuário, que tem obrigação legal de guarda).

WhatsApp e LGPD: o que pode e o que não pode

Atenção: Enviar resultados de exames, diagnósticos ou informações clínicas por WhatsApp pessoal sem criptografia adequada e sem consentimento pode configurar violação da LGPD.

O que pode:

• Agendamento e confirmação de consultas
• Lembretes de horário
• Informações administrativas (endereço, valor, formas de pagamento)
• Pesquisa de satisfação

O que exige cuidado extra:

• Envio de exames (precisa de consentimento expresso)
• Discussão de diagnósticos (preferível em consulta)
• Grupos de WhatsApp com pacientes (expõe dados entre eles)

Como a tecnologia ajuda na conformidade

Sistemas modernos de gestão para consultórios já vêm preparados para a LGPD:

• Criptografia em trânsito e em repouso
• Controle de acesso por função (médico, secretária, financeiro)
• Logs de auditoria — quem acessou o quê e quando
• Consentimento digital — termos apresentados e aceitos eletronicamente
• Exclusão automatizada — dados eliminados após período de retenção

Checklist rápido de conformidade

1. Tenho um termo de consentimento para coleta de dados? ☐
2. Os dados dos pacientes estão em sistema criptografado? ☐
3. Meus computadores têm senha e tela bloqueada? ☐
4. Faço backup regular dos dados? ☐
5. Sei quem tem acesso aos dados do consultório? ☐
6. Tenho política de retenção e descarte definida? ☐
7. O WhatsApp do consultório é dedicado (não pessoal)? ☐