LGPD · Autoavaliação

Sua clínica já está adequada à LGPD? Checklist para saber (e comprovar)

Não existe um selo oficial de "adequado à LGPD". Estar em conformidade é cumprir um conjunto de obrigações — e conseguir provar cada uma. Este checklist de 12 pontos mostra onde você está e o que falta.

Setembro de 2026 · 7 min de leitura

"Minha clínica está adequada à LGPD?" é a pergunta que todo dono de consultório faz — e a resposta honesta é: depende de você conseguir demonstrar que cumpre a lei. Como a clínica trata dado de saúde (dado sensível, Art. 11), a régua é mais alta que a de um comércio comum. A boa notícia: dá pra checar ponto a ponto.

Como saber se minha clínica está adequada à LGPD?

Não existe um selo oficial nem um "certificado da ANPD". Estar adequado é cumprir um conjunto de obrigações concretas e conseguir provar cada uma. O jeito prático de descobrir onde você está é passar pelo checklist abaixo: cada item é uma pergunta de sim/não. Todo "não" é uma lacuna aberta.

O checklist de adequação — 12 pontos

Mapeamento e base legal

• ☐ Você tem um mapa de dados atualizado — sabe quais dados de pacientes coleta, por quê e por quanto tempo guarda? (Art. 37)
• ☐ Cada tratamento tem uma base legal definida (tutela da saúde no atendimento; consentimento no marketing/imagem)? (Art. 7º e 11)

Consentimento e prova

• ☐ Você coleta consentimento específico para o que é opcional (marketing, fotos de divulgação, lembrete promocional)?
• ☐ Esse consentimento fica registrado com prova (data, IP, versão do texto) — e não só um "de acordo" verbal ou uma ficha sem rastro?

Direitos do paciente

• ☐ Existe um canal para o paciente pedir acesso, correção ou exclusão dos dados?
• ☐ Você consegue responder em até 15 dias a esses pedidos?

Segurança

• ☐ O acesso aos dados é restrito por pessoa/perfil (nem todo mundo vê tudo)?
• ☐ Há backup e os dados sensíveis estão protegidos (criptografia/senha), inclusive o que ainda é papel?

Governança e incidentes

• ☐ Você indicou um encarregado (pode ser o próprio responsável pela clínica) e divulgou um canal de contato?
• ☐ Tem uma política/aviso de privacidade visível para o paciente?
• ☐ Você sabe o que fazer num vazamento — avisar a ANPD e os pacientes afetados?
• ☐ Seus fornecedores que tocam nos dados (sistema, contabilidade, nuvem) têm contrato e guardam os dados com segurança, de preferência no Brasil?

Respondeu "não" em algum ponto? Ali está exatamente o que fechar primeiro. A maioria das clínicas trava em dois: consentimento com prova e resposta ao paciente no prazo — os dois que mais aparecem numa reclamação à ANPD.

Como comprovar que a clínica está adequada?

Aqui está o pulo do gato que quase ninguém explica: a LGPD exige a demonstração de conformidade (o princípio da responsabilização e prestação de contas — accountability, Art. 6º, X). Ou seja, não basta cumprir; você tem que conseguir mostrar a evidência quando a ANPD pedir. O que você apresenta:

• O mapa de dados documentado (registro das operações de tratamento, Art. 37);
• Os consentimentos guardados com prova — data, IP e hash de cada aceite;
• O registro das respostas a pedidos de pacientes, dentro dos 15 dias;
• A política de privacidade publicada e datada;
• Os contratos com fornecedores que tratam dados.

Repare que quase tudo é evidência que precisa estar registrada — não um certificado. É por isso que uma planilha desmonta rápido: ela não guarda a prova do consentimento nem o histórico de prazos.

Como sei se o meu sistema está de acordo com a LGPD?

Um software não "deixa você em conformidade" por decreto — ele é a ferramenta que ajuda a cumprir e a comprovar. Antes de confiar os dados dos pacientes a um sistema, cheque com o fornecedor:

• Onde os dados ficam armazenados? Prefira servidores no Brasil.
• Controle de acesso por perfil, criptografia e backup automático?
• O consentimento é registrado com evidência (data, IP, hash) — ou é só um "aceito" sem rastro?
• Existe contrato de tratamento de dados (DPA) com você?
• Ele te ajuda a responder o paciente (acesso/exclusão) e a demonstrar tudo isso?

Quanto custa não estar adequado

Com dado de saúde, o vazamento pesa mais: além da multa, há dano de imagem e risco de ação do próprio paciente. Para uma clínica, a confiança é o ativo principal — e é ela que a adequação protege.

Perguntas frequentes