LGPD no consultório: checklist para quem atende e registra dado de saúde

No consultório, quem responde pela LGPD é você. Não é o sistema de prontuário, nem a secretária, nem a ferramenta de IA. Para os dados dos seus pacientes, a lei chama você de controlador, e todo fornecedor que toca nesses dados trata a informação em seu nome.

Dado de saúde é dado pessoal sensível (art. 5º, II, da LGPD), a categoria com as regras mais duras da lei. Os dez itens abaixo cobrem o que um consultório precisa ter resolvido.

1. Quem é o controlador e quem é o operador no consultório?

Você, ou a clínica, é o controlador: decide para que o dado serve e como é tratado. Os fornecedores são operadores e só podem usar o dado conforme as suas instruções (art. 39). Isso vale para o prontuário eletrônico, a agenda online, o sistema de cobrança e a IA que escreve o registro.

Na prática, a pergunta para cada fornecedor é a mesma: o que vocês fazem com o dado dos meus pacientes, e onde isso está escrito?

2. Qual é a base legal para registrar o prontuário médico?

O prontuário não depende do consentimento do paciente. A base é a tutela da saúde, em procedimento feito por profissional de saúde (art. 11, II, "f"). Pedir consentimento para registrar a consulta cria um problema: se o paciente revogar, o registro que a lei manda guardar ficaria sem base.

Consentimento entra em outras finalidades, como mandar lembrete de campanha ou usar o caso num evento. Aí ele precisa ser específico e destacado. Para entender a diferença entre termo de ciência e consentimento ao gravar, veja se gravar consulta médica é permitido.

3. Como mapear onde estão os dados dos pacientes?

Liste cada lugar em que há dado de paciente: prontuário, agenda, planilha financeira, WhatsApp do consultório, e-mail, pasta de exames, ferramenta de IA. O art. 37 pede registro das operações de tratamento, e esse mapa é o começo dele.

É comum descobrir aqui o maior risco do consultório: laudo no WhatsApp pessoal da secretária ou planilha de pacientes num computador sem senha.

4. O que conferir no contrato de cada operador?

Todo fornecedor da lista do item 3 precisa ter termos que digam, no mínimo, onde o dado fica, por quanto tempo, quem acessa e se ele é usado para treinar modelos. Se o fornecedor não responde por escrito, isso já é a resposta.

5. Como controlar quem acessa o sistema do consultório?

Senha individual para cada pessoa, nunca login compartilhado. Autenticação em dois fatores onde houver. Perfil de acesso diferente para a secretária, que precisa da agenda mas não do conteúdo clínico. O art. 46 pede medidas de segurança aptas a proteger os dados, e acesso é a primeira delas.

6. Por quanto tempo guardar o prontuário médico?

A Lei 13.787/2018 fixa a guarda do prontuário por no mínimo 20 anos a partir do último registro (art. 6º). Isso vale para o prontuário do seu sistema. Rascunho, anotação solta e documento gerado em ferramenta de apoio precisam terminar no prontuário oficial, que é o que conta para esse prazo.

7. Como responder aos pedidos de acesso do paciente?

O paciente pode pedir acesso, correção e informação sobre com quem os dados dele foram compartilhados (art. 18). No caso do médico, o Código de Ética também veda negar ao paciente acesso ao próprio prontuário (art. 88). Defina quem recebe esse pedido no consultório e em quanto tempo você responde.

8. Qual o prazo para comunicar um incidente de segurança à ANPD?

Vazamento, computador roubado, conta invadida. Se houver risco ou dano relevante ao paciente, o controlador comunica a ANPD e o próprio paciente (art. 48). Pelo regulamento da ANPD, o prazo é de 3 dias úteis a partir do momento em que você sabe que dado pessoal foi afetado, e dobra para agente de pequeno porte.

Anote agora quem você chama se isso acontecer. No dia do incidente não sobra tempo para descobrir.

9. Como avaliar uma inteligência artificial pela LGPD?

Ferramenta de IA que escuta a consulta trata dado sensível em volume. A Resolução CFM nº 2.454/2026 soma deveres próprios aos da LGPD: compartilhar com a IA só o estritamente necessário, com base legal (art. 6º, § 1º), não usar sistema sem padrão mínimo de segurança (art. 6º, § 3º) e avisar o paciente de qualquer uso (art. 11). O resumo está no guia sobre a Resolução CFM 2.454/2026.

Na Dora Health, a política de privacidade define a Dora como operadora dos dados dos seus pacientes e você como controlador (Cláusula 1.2), com base legal no art. 11, II, "f". A Dora não salva o áudio da consulta, e a transcrição e o documento ficam criptografados na sua conta até você apagar. O texto completo está na política de privacidade, e a comparação entre sistemas está em melhores prontuários com inteligência artificial.

10. Como avisar o paciente de forma simples e transparente?

Um aviso curto na recepção ou no site, dizendo quais dados você coleta, para quê e como o paciente pede acesso, cumpre o dever de transparência sem juridiquês. Se você usa um prontuário com IA na consulta, o aviso é o lugar certo para dizer isso também.

Por onde começar a adequação do consultório?

Os itens 1, 3 e 4 são o diagnóstico. Os outros sete só funcionam depois deles, porque você não protege um dado que não sabe onde está.

Este checklist resume a lei e não substitui orientação jurídica. Para o caso da sua clínica, especialmente se houver mais de um profissional ou atendimento por convênio, vale uma revisão com advogado especializado.

Dos lugares onde o dado dos seus pacientes está hoje, quantos você conseguiria listar sem abrir o computador?