LGPD no consultório: base legal certa para dados do paciente 2026

A Lei 15.352/2026 transformou a ANPD em agência reguladora em fevereiro de 2026. Não é só mudança de nome: autonomia administrativa, orçamento próprio e poder de fiscalização que antes dependia de autorização da Casa Civil. A agência publicou meta de 10 ações de fiscalização em 2026 com foco explícito em dados de saúde, biometria e dados financeiros.

Médico solo com consultório próprio está nessa mira. E o erro mais frequente não é não ter política de privacidade escrita — é usar a base legal errada para justificar o tratamento dos dados do paciente.

Se você já passou pelo checklist mínimo de LGPD para médico solo, sabe o básico. Esse post vai um nível acima: qual base legal usar, por que depender só do “consentimento” pode virar cilada, e o que a ANPD vai checar quando bater na porta.

O que mudou em 2026: ANPD tem dentes agora

Antes da Lei 15.352/2026, a ANPD funcionava subordinada à Casa Civil — sem corpo técnico permanente, sem orçamento garantido, sem autonomia real para fiscalizar. Aplicou a primeira multa em 2023. Foi um sinal, não uma virada.

A virada foi fevereiro de 2026.

A lei criou 200 cargos de Especialista em Regulação e Fiscalização de Proteção de Dados, previstos por concurso público e com carreira estruturada. ANPD agora é agência reguladora como Anatel, Aneel e ANVISA. Mesmo modelo. Mesma lógica de atuação.

A meta publicada é 10 ações de fiscalização temática até o fim de 2026, com saúde como eixo prioritário. Para o biênio 2026-2027, o Mapa prevê mais de 75 atividades. Hospitais, clínicas, plataformas de saúde digital e consultórios médicos estão explicitamente no escopo.

E a ANPD deixou claro que vai avaliar efetividade real — não só se existe papel formal de política de privacidade.

Por que dado de saúde é sensível — e o que isso muda na prática

O Art. 5º, II da Lei 13.709/2018 classifica dado de saúde como dado pessoal sensível. Categoria com proteção mais pesada do que CPF ou e-mail comum. Diagnóstico, anamnese, resultado de exame, prescrição, atestado — tudo sensível. Inclui o prontuário físico em pasta, o PDF mandado pelo WhatsApp, o histórico no Google Drive.

Dado sensível tem regime jurídico próprio. O Art. 11 da LGPD define as hipóteses em que você pode tratar esses dados — e a lista é mais curta e mais específica do que a do Art. 7 (dados comuns).

O problema: muita gente coloca “consentimento” como base legal padrão pra tudo. Parece certo, parece seguro. Mas o consentimento para dados sensíveis de saúde tem que ser específico, em destaque e sem caráter genérico — conforme Art. 11, I. Na prática, isso exige termo separado por finalidade, e o paciente pode revogar a qualquer momento.

Se o paciente revogar, você tem que parar de tratar os dados.

Mas você tem obrigação de guardar o prontuário por 20 anos. Como fica?

Aí a coisa desanda. Consentimento não é a base certa pra prontuário e atendimento clínico.

A base legal que o médico deveria usar: Art. 11, II, f

O Art. 11, II, f da LGPD permite o tratamento de dados sensíveis de saúde sem consentimento quando for indispensável para a tutela da saúde, exclusivamente em procedimentos realizados por profissional de saúde, serviço de saúde ou autoridade sanitária.

Traduzindo: você pode tratar o dado clínico do paciente para prestar atendimento a ele. Prontuário, anamnese, resultado de exame, prescrição — cobertos pela tutela da saúde. Sem precisar de consentimento adicional para essas finalidades.

E — detalhe importante — como essa base legal não depende do consentimento do paciente, ela não pode ser revogada por ele. O prontuário fica nos 20 anos determinados pelo CFM mesmo que o paciente queira que você apague tudo.

A cartilha do CFM sobre LGPD confirma: manutenção do prontuário é obrigação legal e se encaixa no Art. 11, II, a (obrigação legal ou regulatória) — o que reforça que consentimento não é a base certa aqui.

Mas a tutela da saúde tem limite claro. Ela cobre o que é indispensável para o atendimento. Não cobre:

• Compartilhar dado do paciente com laboratório parceiro sem contrato de operador formalizado;
• Usar prontuário pra análise estatística interna sem anonimização prévia;
• Enviar dado para sistema de terceiro (Google Drive, WhatsApp Business) sem avaliar segurança do canal e documentar a justificativa.

E o Art. 11, §4 da LGPD é explícito: é proibido compartilhar dados sensíveis de saúde entre controladores com objetivo de obter vantagem econômica. As exceções são pontuais — portabilidade solicitada pelo titular, transações financeiras decorrentes do serviço prestado. Vender ou ceder base de dados de pacientes para plano de saúde, laboratório ou qualquer terceiro viola diretamente esse dispositivo — e constitui infração ética pelo CEM.

Para fluxos como gravação de consulta e teleconsulta, a lógica é parecida: o atendimento em si está coberto pela tutela da saúde, mas a gravação (dado além do necessário para o atendimento imediato) precisa de consentimento específico e informado.

O que a ANPD vai cobrar na fiscalização

Quando a fiscalização bate, o que ela quer ver:

Registro das operações de tratamento (Art. 37). Você precisa documentar o que trata, para qual finalidade, com base em qual dispositivo da LGPD, quem tem acesso e como os dados são protegidos. Não precisa ser sistema caro — planilha serve. Mas tem que existir e tem que estar atualizada.

RIPD (Relatório de Impacto à Proteção de Dados Pessoais) para operações de alto risco. A ANPD define que qualquer operação com risco às liberdades civis precisa de RIPD — e pode exigi-lo diretamente do controlador. Consultório que usa prontuário eletrônico integrado com terceiros, grava consultas ou usa IA para apoio diagnóstico está em operação de maior risco.

Canal do titular funcionando. Paciente tem direito de saber quais dados você tem sobre ele, pedir correção, pedir portabilidade. Você precisa de canal para isso — e-mail específico, formulário no site, processo documentado. Tem que funcionar de verdade, não só existir no papel.

Prazo de notificação de incidente: 3 dias úteis. Se houver vazamento de dado de paciente — prontuário roubado, sistema hackeado, HD extraviado — você tem 3 dias úteis para notificar a ANPD. Não é prazo para resolver o problema. É prazo para notificar. Deu ruim em segurança e você não tem plano de resposta documentado: vai perder o prazo tentando entender o que aconteceu.

Quando construí o produto que mantinha dados de grupos de WhatsApp de hospitais, vi direto onde o modelo batia no muro da LGPD: eu processava mensagens de terceiros sem base legal clara. Não era má-fé — era não saber. Reescrevi a arquitetura inteira em três meses pra deixar cada médico com a própria instância, lendo os próprios dados. Custo de não saber a base legal certa é alto.

Não precisa ser médico construindo produto de tech pra cair no mesmo buraco. Consultório que usa Google Drive com dados de paciente sem avaliar transferência internacional, que manda resultado de exame por WhatsApp pessoal sem política documentada — está exposto. A ANPD agora tem estrutura pra achar.

FAQ

Posso usar o consentimento como base legal padrão para dados do consultório?

Funciona para finalidades não essenciais — newsletter, comunicações de marketing. Mas é a escolha errada para prontuário e atendimento clínico: o consentimento pode ser revogado pelo paciente e você não pode parar de guardar o prontuário por 20 anos só porque ele pediu. Use Art. 11, II, f (tutela da saúde) para o atendimento clínico e guarda de prontuário.

Médico solo precisa fazer RIPD?

Não é obrigação automática para todos. Mas se você usa prontuário eletrônico integrado com terceiros, grava consultas ou usa IA para apoio diagnóstico, está em operação de maior risco — e o RIPD é recomendado. A ANPD pode exigi-lo diretamente. Fazer um RIPD simples agora é menos trabalhoso do que fazer às pressas depois de uma notificação.

O contrato com o paciente substitui a política de privacidade?

São instrumentos diferentes. O contrato pode incluir cláusulas de consentimento específico, mas a política de privacidade explica ao paciente como você trata os dados, quais são os direitos dele e como exercê-los. Os dois precisam existir. Para saber o que incluir no contrato, veja o que não pode faltar num contrato médico-paciente.

O que fazer se a ANPD notificar o consultório?

Responda dentro do prazo — normalmente 15 dias. Apresente o registro das operações de tratamento, a base legal usada para cada fluxo clínico e as medidas de segurança implementadas. Quem tem documentação em ordem leva advertência ou fica sem sanção. Quem não tem documentação nenhuma tem situação muito mais difícil de defender.

---

Este post é educacional e informativo. Não constitui consultoria jurídica ou orientação legal específica. Para adequação formal à LGPD, consulte advogado especializado em proteção de dados.