23 Jul 2026

LGPD para clínicas: o guia definitivo (2026)

LGPD para clínicas: saiba o que é dado sensível, quais são as 6 obrigações práticas, as penalidades da ANPD e como adequar sua clínica agora.

Cadeado digital protegendo dados de saúde de clínica — LGPD para clínicas

A pergunta mudou. Não é mais "a minha clínica precisa se adequar à LGPD?". É "o que acontece com a minha clínica quando a ANPD bater à porta?"

Ataques de ransomware ao setor de saúde cresceram 146% no Brasil em 2024. Dados de saúde já são prioridade expressa na agenda de fiscalização da ANPD para 2026-2027. A era da orientação acabou.

Este guia responde ao que importa agora: o que você precisa ter em ordem, e por quê.

Os ataques confirmam a urgência. Segundo a Kaspersky, as tentativas de ransomware contra o setor de saúde no Brasil saltaram de 6.500 em 2023 para 16.000 em 2024, um crescimento de 146% em um único ano. O setor, que ocupava a 7ª posição entre os mais atacados, subiu para a 3ª. E, segundo a Check Point Research, os estabelecimentos de saúde brasileiros sofreram, em média, quase 3.000 ataques cibernéticos por semana no segundo semestre de 2024.

Por que clínicas estão no centro das atenções da ANPD

A LGPD (Lei 13.709/2018) separa os dados em duas categorias: comuns e sensíveis. Os dados de saúde ficam na segunda, a que recebe proteção mais rígida.

Isso significa que praticamente tudo que passa pelo seu consultório ou clínica é dado sensível pela lei: diagnósticos, prescrições, prontuários, histórico de atendimento, resultados de exames, registros de internação. Tudo.

Segundo a Pesquisa TIC Saúde 2024 (CETIC.br/NIC.br), 93% dos estabelecimentos privados de saúde já possuem sistemas eletrônicos para registro de informações dos pacientes. O problema está na outra ponta: apenas 45% mantêm um plano de resposta a incidentes e somente 43% nomearam um Encarregado de Dados (DPO), justamente as medidas que a LGPD exige.

A ANPD sabe disso. Em dezembro de 2024, publicou a Resolução CD/ANPD nº 23/2024, a Agenda Regulatória 2025-2026, que coloca os dados sensíveis de saúde entre os temas prioritários de regulamentação. Um ano depois, em dezembro de 2025, o Mapa de Temas Prioritários 2026-2027 foi além: definiu 10 ações de fiscalização mirando especificamente dados biométricos, de saúde e financeiros. O setor está formalmente na mira.

O que a LGPD chama de dado sensível (e por que a sua clínica está cheia deles)

O Art. 11 da LGPD define dados sensíveis como aqueles relacionados a: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde ou vida sexual, dado genético ou biométrico.

Dados de saúde estão no topo desta lista.

Na prática clínica, isso abrange:

Diagnósticos e hipóteses diagnósticas
Prescrições e laudos médicos
Prontuários eletrônicos e físicos
Fotos clínicas de evolução
Resultados de exames laboratoriais e de imagem
Dados de anamnese e histórico familiar
Registros financeiros vinculados a procedimentos de saúde

O impacto regulatório é direto. Para tratar dados sensíveis, a base legal é mais restrita: não basta “legítimo interesse”. É preciso consentimento específico e destacado, ou o enquadramento em uma das hipóteses do Art. 11, §2º (proteção da saúde pelo profissional habilitado, obrigação legal, entre outras).

Isso muda o jogo para qualquer clínica que ainda trata dados de saúde como se fossem simples informações cadastrais.

As 6 obrigações práticas que sua clínica precisa cumprir agora

Adequação à LGPD não é um projeto de TI. É uma reorganização de processos. Veja o que precisa estar em ordem.

Mapear quais dados você coleta, e para quê

O ponto de partida é o mapeamento de dados, também chamado de ROPA (Record of Processing Activities). Para cada dado coletado, você precisa saber:

Qual dado é esse (nome, CPF, diagnóstico, foto, etc.)
Por que você coleta (finalidade)
Com base em que você pode coletar (base legal)
Quem tem acesso internamente
Por quanto tempo fica armazenado

Sem esse mapeamento, é impossível demonstrar conformidade em uma fiscalização da ANPD.

Definir a base legal para cada tratamento de dado

A LGPD exige que todo tratamento de dado tenha uma base legal válida. Para dados de saúde, o Art. 11 estabelece duas categorias:

Com consentimento (inciso I): o titular ou responsável legal consente de forma específica e destacada, para finalidades específicas.

Sem consentimento (inciso II, §2º), quando indispensável para:

Cumprimento de obrigação legal ou regulatória (ex.: notificação compulsória, retenção de prontuários)
Tratamento compartilhado para políticas públicas pela administração pública
Estudos por órgão de pesquisa, com anonimização quando possível
Exercício regular de direitos, inclusive em processos judiciais, administrativos e arbitrais
Proteção da vida ou da incolumidade física do titular ou de terceiro
Tutela da saúde, exclusivamente em procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridades sanitárias
Prevenção à fraude e segurança do titular em processos de identificação e autenticação eletrônica

💡

Atenção: 'Legítimo interesse' NÃO se aplica a dados sensíveis

O Guia da ANPD sobre Interesse Legítimo confirma expressamente: a base legal do Art. 7º, IX (legítimo interesse) não é admissível para dados sensíveis. A autoridade usou o exemplo específico de uma clínica médica para ilustrar esse ponto. Para clínicas, as bases legais mais relevantes na prática são: tutela da saúde (base principal para o ato clínico), obrigação legal (retenção de prontuários), proteção da vida (emergências) e consentimento (finalidades secundárias como comunicações de marketing).

Nomear um Encarregado de Dados (DPO)

O Encarregado, também chamado de DPO (Data Protection Officer), é quem responde pela proteção de dados dentro da organização. A regra geral do Art. 41 obriga todo controlador a indicar um. A Resolução CD/ANPD nº 2/2022 criou um regime simplificado para agentes de pequeno porte, mas com uma exceção importante.

Agentes de tratamento de alto risco não podem usar o regime simplificado. O alto risco aparece quando um critério geral (tratamento em larga escala ou que afete de forma significativa direitos fundamentais) se soma a um critério específico, como o tratamento de dados sensíveis. Como toda clínica processa dados de saúde por definição, a leitura dominante é que elas se enquadram nesse alto risco.

💡

Recomendação prática: nomeie um DPO independentemente do porte

Mesmo que uma clínica pequena argumentasse isenção, a nomeação do encarregado é fator atenuante de sanções (Art. 52, §1º, IX da LGPD) e a ANPD pode exigir cumprimento integral a qualquer momento (Art. 16, Resolução nº 2). O risco de não nomear supera em muito o custo de fazê-lo. O DPO pode ser interno ou externo — para clínicas de pequeno e médio porte, é comum contratar um serviço terceirizado.

A nomeação e o contato do Encarregado precisam ser públicos, normalmente na Política de Privacidade. É ele o canal oficial entre a sua clínica, os titulares dos dados e a ANPD.

Criar e publicar a Política de Privacidade

Todo controlador de dados precisa ter uma Política de Privacidade acessível, clara e atualizada. Para clínicas, ela deve conter:

Quais dados são coletados e por quê
Como são armazenados e por quanto tempo
Com quem são compartilhados (laboratórios, convênios, plataformas)
Como o paciente pode exercer seus direitos (acesso, correção, exclusão, portabilidade)
Contato do Encarregado de Dados

Ter tudo isso disponível em local visível no site e no portal do paciente não é um diferencial. É obrigação.

Implementar controles de acesso por perfil

O princípio da necessidade da LGPD é claro: só quem precisa de um dado para desempenhar sua função pode ter acesso a ele.

Na prática: sua recepcionista precisa ver o prontuário completo do paciente? Provavelmente não. O financeiro precisa ver os dados clínicos? Não. O médico substituto precisa ver o histórico de todos os pacientes da clínica? Definitivamente não.

Controle de acesso por perfil (o tal RBAC, sigla de Role-Based Access Control) não é um recurso premium do sistema. É exigência de conformidade legal.

Ter um plano de resposta a incidentes

Quando ocorrer um vazamento de dados (repare bem: quando, não se), a Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Art. 6º), determina que a ANPD seja notificada em até 3 dias úteis depois que o controlador toma ciência do incidente. Os titulares afetados têm o mesmo prazo (Art. 9º). Dá para complementar as informações em até 20 dias úteis. Para agentes de pequeno porte, o prazo é de 6 dias úteis.

⚠️ Atenção: a confusão com “72 horas” vem do GDPR europeu. No Brasil, a contagem é em dias úteis, então fins de semana e feriados não entram na conta.

Sem um plano documentado, a resposta a um incidente vira improviso. E a falta de procedimento pesa bastante contra a clínica na hora de a ANPD calcular a sanção.

🔒 Checklist rápido: sua clínica está adequada?
93% das clínicas privadas já têm sistemas eletrônicos. Mas menos da metade cumpre as obrigações de governança da LGPD:

☐ Mapeamento de dados realizado e documentado
☐ Base legal definida para cada finalidade de tratamento
☐ Encarregado de Dados (DPO) nomeado e publicado
☐ Política de Privacidade acessível e atualizada
☐ Consentimento específico coletado para dados sensíveis
☐ Controle de acesso por perfil implementado no sistema
☐ Contratos com fornecedores incluem cláusulas de proteção de dados
☐ Plano de resposta a incidentes documentado
☐ Equipe treinada em boas práticas de privacidade
☐ Sistema de gestão armazena dados em ambiente seguro e isolado

O que a ANPD pode aplicar como sanção

A ANPD tem poderes amplos de fiscalização e punição. As sanções administrativas previstas na LGPD incluem:

Sanção	Descrição
Advertência	Com prazo determinado para adoção de medidas corretivas
Multa simples	Até 2% do faturamento ou R$ 50 milhões por infração — o que for menor
Multa diária	Pelo mesmo limite, enquanto a irregularidade persistir
Publicização da infração	O nome da clínica se torna público nos canais da ANPD
Bloqueio dos dados	Suspensão do tratamento dos dados pessoais irregulares
Eliminação dos dados	Exclusão dos dados tratados em desconformidade
Suspensão parcial	Suspensão do banco de dados por até 6 meses, prorrogável

Até meados de 2026, a ANPD tinha aplicado uma única multa em dinheiro a uma empresa privada: a Telekall Infoservice, uma microempresa de telemarketing (R$ 14.400 no total, em julho de 2023). Nenhuma clínica ou hospital privado foi multado até agora.

As sanções ao setor de saúde ficaram, até aqui, na advertência, e todas contra órgãos públicos: o IAMSPE e a Secretaria de Saúde de Santa Catarina (2023, depois do vazamento de 1,2 milhão de registros do SUS) e o Ministério da Saúde (2024). Órgãos públicos são isentos de multa em dinheiro pelo Art. 52, §3º da LGPD, e é por isso que as primeiras respostas ao setor foram apenas advertências.

O sinal para o setor privado é claro: dados de saúde já estão na agenda de fiscalização. A Resolução CD/ANPD nº 30/2025 (Mapa de Temas Prioritários 2026-2027) prevê 10 ações de fiscalização específicas para dados de saúde, biométricos e financeiros. Clínicas privadas entrarão no escopo. A diferença entre advertência e multa de até R$ 50 milhões será o nível de adequação demonstrado.

O que acontece quando há um vazamento, e como a resposta certa faz diferença

Um incidente de segurança com dados de pacientes pode ter três origens: ataque externo (ransomware, invasão), erro humano (envio de arquivo para destinatário errado, mensagem de WhatsApp com dado de saúde) ou falha no sistema.

A LGPD não pune o incidente em si. Ela pune a falta de medidas de proteção adequadas e uma resposta ruim depois que o incidente acontece.

Clínicas que mantêm documentação de suas medidas de segurança, notificam a ANPD dentro do prazo e tomam ações corretivas demonstráveis têm avaliação significativamente mais favorável nos processos sancionatórios. As que não têm nada documentado enfrentam presunção de negligência.

Por onde começar se sua clínica ainda não está adequada

A adequação completa é um processo, não um evento. Mas há uma ordem lógica:

Faça o mapeamento de dados primeiro: sem saber o que você tem, não dá para proteger
Contrate ou nomeie um Encarregado que vai conduzir o processo de adequação
Revise os contratos com fornecedores: sistemas de gestão, laboratórios e plataformas de telemedicina precisam ter cláusulas de proteção de dados adequadas
Implemente controle de acesso por perfil no sistema de gestão
Publique a Política de Privacidade atualizada no site e no portal do paciente
Treine sua equipe: segundo o IBM Cost of a Data Breach 2024, o custo médio de um vazamento no setor de saúde é de US$ 9,77 milhões (o mais alto entre todos os setores, pelo 14º ano consecutivo) e a maioria dos incidentes tem origem em erro humano

Vale um comentário sobre o passo 3. Quando a sua clínica usa um sistema de gestão em nuvem compartilhada, você terceiriza não só a tecnologia, mas parte do controle sobre os dados dos seus pacientes. O contrato com esse fornecedor precisa deixar claras as responsabilidades de cada lado. E, numa fiscalização, você tem que conseguir mostrar exatamente onde e como esses dados estão guardados.

Lembre: a publicização da infração costuma ser mais danosa do que a multa para clínicas, já que o negócio depende inteiramente de reputação e confiança do paciente. A ANPD publica os nomes dos infratores em seus canais oficiais.

A adequação que vale mais do que a multa

A LGPD não nasceu para punir. Nasceu para criar no Brasil uma cultura de proteção de dados. Mas a ANPD já deixou claro que acabou o tempo do “vou me adequar quando sobrar tempo”.

As clínicas que encaram a adequação como investimento em reputação, e não como mais uma burocracia, costumam colher coisas concretas: mais confiança dos pacientes, menos risco jurídico e processos mais organizados.

Por onde você vai começar?

Quer ver como a Fluxo Ideal protege os dados da sua clínica? Agende uma demonstração sem compromisso.

Agendar uma demonstração