Nicho · Clínica médica

LGPD para Clínicas Médicas (2026)

Numa clínica com vários médicos, recepção e faturamento, o dado do paciente passa por muitas mãos. A LGPD é a mesma do consultório de uma pessoa só — mas o risco, e o cuidado, são bem maiores.

Setembro de 2026 · 7 min de leitura

Uma clínica médica trata dado sensível de saúde (Art. 11 da LGPD) o dia inteiro — mas, diferente do consultório de um único profissional, o dado circula entre vários médicos, a recepção, o faturamento e a operadora do convênio. É essa circulação que a LGPD manda organizar.

A clínica é controladora; a equipe é operadora

A clínica (pessoa jurídica) decide por que e como os dados são tratados — é a controladora. Os médicos, a recepção e terceiros que operam os dados a mando dela (sistema, contabilidade, empresa de faturamento) são operadores. Na prática: a clínica responde pela conformidade, e cada operador precisa de contrato e de instrução clara sobre o que pode fazer com o dado.

O ponto crítico: controle de acesso por perfil

Aqui é onde a clínica médica se diferencia do consultório pequeno. Com várias pessoas no sistema, "todo mundo vê tudo" vira um risco enorme. O certo é acesso por perfil:

• A recepção vê agenda e contato — não o prontuário clínico completo;
• Cada profissional vê os pacientes que atende;
• O faturamento vê o necessário para a guia/convênio;
• O sistema registra os acessos (quem abriu qual prontuário e quando);
• Todos assinam termo de confidencialidade, e ninguém compartilha senha.

Senha compartilhada e prontuário aberto para todos são as duas falhas que mais aparecem quando um paciente reclama à ANPD.

Convênios, guias e faturamento (TISS)

Carteirinha, guias, autorizações e dados de faturamento são dados pessoais — e, por estarem ligados à saúde, sensíveis. O envio à operadora tem base legal própria (execução de contrato e obrigação regulatória), mas precisa estar mapeado: quais dados vão, para quem, com que segurança e com trilha de quem enviou. Exames, laudos e imagens seguem a mesma régua — inclusive o prazo de guarda do conselho.

Consentimento: só para o que é opcional

Para atender, a clínica não precisa de consentimento — a base é a tutela da saúde (Art. 11, II). O consentimento entra no que é opcional: marketing, lembrete promocional, uso de imagem e pesquisa. Esse aceite tem que ser específico, separado por finalidade e registrado com prova (data, IP, hash) — um "de acordo" solto não sustenta.

Como comprovar a adequação

A LGPD exige a demonstração de conformidade (Art. 6º, X). Numa clínica médica, o que você apresenta: o mapa de dados (Art. 37), os logs de acesso ao prontuário, os termos de confidencialidade da equipe, os consentimentos com prova do que é opcional e os contratos com operadores (sistema, faturamento, nuvem). É esse conjunto que segura numa fiscalização.

Perguntas frequentes