LGPD no Consultório Médico Solo: Checklist Mínimo

Você abre o consultório, atende bem, tem prontuário preenchidinho. O que não percebe: toda aquela pasta com nome de paciente, diagnóstico, CPF e resultado de exame é dado sensível pela Lei nº 13.709/2018 — a LGPD. E isso já está sendo fiscalizado.

Vou te contar uma coisa: quando li o relatório da ANPD em 2024 às 23h num domingo, percebi que o produto que eu mantinha batia num muro legal que eu achava que não existia. Reescrevi tudo em três meses. Se dev que vive de saúde digital erra nisso, médico que só quer atender paciente tem ainda menos chance de saber o que precisa fazer.

Não vou te vender consultoria nem te assustar com multa de R$ 50 milhões. Mas tem um checklist mínimo que todo médico solo precisa conhecer antes que a ANPD bata na porta — e algumas ciladas do consultório que ninguém explica direito.

Por que dados de paciente são “dados sensíveis” — e o que muda nisso

O Art. 5º, II da LGPD classifica dado de saúde como dado pessoal sensível — categoria com proteção mais pesada do que CPF ou e-mail comum.

Qualquer informação que identifique o estado de saúde de alguém entra nessa categoria: diagnóstico, exame, anamnese, prescrição, atestado. Inclui o prontuário físico em pasta, o PDF de exame que o paciente mandou no WhatsApp, o histórico no Google Drive da clínica.

O Art. 11 da LGPD define as hipóteses em que você pode tratar esses dados. Para o médico, a mais importante é o Art. 11, II, f: tutela da saúde, exclusivamente, em procedimento realizado por profissional de saúde. Traduzindo: você pode tratar dado clínico do paciente para prestar atendimento a ele, sem precisar de consentimento adicional. Esse é o guarda-chuva legal da consulta e do prontuário.

O problema começa quando você usa aqueles dados pra outra coisa — enviar oferta de serviço por WhatsApp, compartilhar com laboratório parceiro, ou incluir em pesquisa. Aí a base legal muda, e você precisa de consentimento explícito do paciente.

O CFM publicou uma cartilha específica orientando médicos nesse ponto: manter o prontuário é obrigação legal e não precisa de consentimento especial. Usar os dados do prontuário para marketing, sim.

O que a ANPD já multou — e o que o médico solo não precisa fazer

A primeira multa da ANPD saiu em julho de 2023. A empresa punida foi a Telekall Infoservice, uma microempresa de serviços de dados que processou lista de contatos de WhatsApp de eleitores sem base legal. Multa: R$ 14.400 — equivalente a 2% do faturamento, que é o teto do Art. 52.

Note: era microempresa. Tamanho não te protege. Zero.

Mas tem uma boa notícia que pouca gente sabe: a Resolução CD/ANPD nº 2/2022 criou regime diferenciado para agentes de tratamento de pequeno porte — empresas e profissionais autônomos com receita bruta anual abaixo de R$ 4,8 milhões ou com até 19 funcionários. Médico solo se enquadra aí na maioria dos casos.

O que essa resolução dispensa para pequeno porte:

Nomear Encarregado (DPO) formalmente
Manter Relatório de Impacto (RIPD) obrigatório
Algumas obrigações burocráticas pesadas de governança

O que não dispensa:

Ter base legal para tratar os dados
Garantir segurança mínima no armazenamento
Responder quando paciente pedir acesso ou exclusão dos dados dele
Notificar a ANPD em caso de incidente de segurança (vazamento)

Resumindo: você não precisa contratar DPO nem montar comitê de privacidade. Mas você tem que respeitar o básico — e o básico não é difícil de implementar. É aqui que 90% dos consultórios trava, po: acha que LGPD é coisa de empresa grande e ignora o piso mínimo que a lei exige de qualquer um que trate dado sensível.

Checklist mínimo de adequação para o médico solo

Esse é o piso razoável para não estar exposto em caso de reclamação de paciente ou fiscalização.

1. Base legal documentada para cada tipo de uso dos dados

Para tratamento clínico: Art. 11, II, f (tutela da saúde). Anote isso em algum lugar — numa política de privacidade simples ou num documento interno. Para envio de comunicações por WhatsApp (lembretes, promoções): consentimento explícito, por escrito ou equivalente digital.

2. Aviso de privacidade visível ao paciente

Não precisa ser jurídico. Uma plaquinha na recepção ou texto na ficha de primeira consulta informando que dados serão coletados, para qual finalidade, e como o paciente pode pedir acesso já basta para a maioria dos casos. O importante é que o paciente saiba.

3. Prontuário com acesso restrito

Físico: pasta trancada, acesso só de quem precisa. Eletrônico: senha de sistema, backup regular, acesso auditado. O CFM recomenda sistema com certificação SBIS para garantir segurança mínima. A Resolução CFM nº 2.382/2024 já inclui conformidade com a LGPD como requisito explícito para emissão digital de atestados — o padrão vai se expandindo.

4. Contrato com terceiros que acessam dados

Secretária, laboratório, sistema de agendamento, serviço de cloud — todos são “operadores” pela LGPD. Você precisa de cláusula contratual obrigando o terceiro a tratar os dados só para a finalidade acordada. Não é documento de 30 páginas: duas linhas no contrato de prestação já documenta a relação.

5. Procedimento para responder pedido do titular

O paciente tem direito de pedir acesso, correção ou exclusão dos próprios dados (Art. 18, LGPD). Você precisa responder em prazo razoável — 15 dias é o benchmark. E-mail ou contato direto funcionam para consultório solo.

6. Plano mínimo para incidente de segurança

Notebook com prontuários sumiu? Sistema de agendamento vazou dados? WhatsApp hackeado? Você tem que notificar a ANPD em até 72 horas (Resolução CD/ANPD nº 15/2024). Uma nota simples com “o que fazer se isso acontecer” já te coloca à frente de 90% dos consultórios.

7. Não usar WhatsApp pessoal como repositório clínico

Esse é o ponto que mais gera problema. Exame mandado pelo WhatsApp pessoal do médico fica em servidor do Meta, sem contrato de processamento de dados para finalidade médica, sem base legal adequada, e sem controle de quem mais acessa aquele número. Se a relação cair, você também perde acesso.

Rolou que atendi um médico clínico geral de Minas que mandava PDF de exame pro próprio WhatsApp como “backup rápido”. Tipo, arquivava no próprio número. Em servidor do Meta, sem E2E pra PDF, sem contrato de dado médico. Não cola.

WhatsApp pode entrar como canal de comunicação com o paciente — lembrete, confirmação — desde que com consentimento e sem conteúdo clínico sensível. Para dados clínicos, prontuário eletrônico com segurança mínima. Se quiser usar WhatsApp de forma LGPD-compatível para automação (monitorar grupos de plantão, por exemplo), o modelo de Evolution self-hosted com instância própria do médico é o que fecha a questão de consentimento e não exige acesso ao WhatsApp de terceiros.

As duas ciladas mais comuns no consultório solo

Cilada 1: compartilhar dados com laboratório “porque sempre foi assim”

Você encaminha o paciente e manda os dados clínicos pro lab sem contrato, sem base legal documentada, sem limite de uso. Se algo der errado — vazamento, uso indevido — você é corresponsável como controlador dos dados originais. Deu ruim pro lab, deu ruim pra você. A solução não é parar de encaminhar: é ter um contrato simples de processamento com o lab, estipulando que os dados são usados só para realizar o exame solicitado.

Cilada 2: lista de WhatsApp do consultório sem consentimento

Lista de transmissão com todos os pacientes para enviar “promoção de check-up” ou “feliz aniversário” — sem consentimento explícito para comunicação de marketing — é exatamente o tipo de uso que gerou a primeira multa da ANPD. A Telekall fez algo análogo com dados de eleitores. O setor não importa: sem base legal, é infração.

Se você quer usar WhatsApp para comunicação regular com paciente, a solução está em ferramentas de automação com consentimento documentado — onde o paciente opt-in para receber lembretes quando agenda a consulta.

Minha opinião: lista de transmissão de consultório sem opt-in explícito vai ser o próximo alvo da ANPD no setor de saúde. O padrão de fiscalização segue o que aconteceu em telemarketing e setor financeiro: escala + dado sensível + ausência de base legal = multa. Consultório que ainda usa lista genérica de WhatsApp pra mandar “feliz Natal” pra toda a base está com risco descoberto.

FAQ

Médico solo precisa contratar DPO (Encarregado de Proteção de Dados)?

Não, se se enquadrar em agente de tratamento de pequeno porte pela Resolução CD/ANPD nº 2/2022 (receita anual abaixo de R$ 4,8 milhões ou até 19 funcionários). DPO obrigatório é para operações de alto risco ou grande escala de dados sensíveis. Documente que seu consultório se enquadra na categoria pequeno porte.

Posso enviar resultado de exame pelo WhatsApp?

A ANPD não proíbe expressamente, mas o dado sai do seu controle e vai para servidor do Meta sem contrato de processamento médico. O recomendado é sistema com transferência criptografada e acesso autenticado. Se usar WhatsApp, documente a conveniência e obtenha consentimento explícito do paciente para esse canal.

Qual a penalidade máxima para médico autônomo?

O Art. 52 prevê multa de até 2% da receita bruta anual, limitada a R$ 50 milhões por infração. Para médico solo na prática, é proporcional ao faturamento — como o caso Telekall (R$ 14.400 para microempresa). Há também advertência, bloqueio de dados e publicização da infração, que pode ser mais danosa que a multa para a reputação.

Precisei demitir funcionário que tinha acesso ao sistema. O que fazer?

Revogar acesso no dia do desligamento, mudar senhas de todos os sistemas, e registrar que fez isso (data + o quê). Isso protege você se ocorrer incidente posterior que alguém tente atribuir ao ex-funcionário.

Este post é educacional e informativo. Não constitui consultoria jurídica ou orientação legal específica. Para adequação formal à LGPD, consulte advogado especializado em proteção de dados.

Por que escrevemos sobre isso

Construí dois sistemas de saúde digital — carteira de exames e app de telemedicina — e em ambos encarei a LGPD de frente. O que me marcou não foi a lei: foi perceber que os médicos que atendi não faziam ideia que dado de paciente era categoria especial de dado sensível. Achavam que era igual a cadastro de cliente em loja.

Em 2024, ao ler o relatório da ANPD sobre o modelo original do Plantão Agent — onde eu processava mensagens de grupos de WhatsApp sem que os outros médicos do grupo tivessem dado consentimento — tive que parar tudo e reescrever a arquitetura inteira. Três meses pra corrigir uma premissa errada que eu mesmo tinha.

Esse blog nasceu depois desse pivot. Se dev que vive de saúde digital erra nisso, imagina o consultório solo que abriu há seis meses e guarda prontuário em pasta física com nome na etiqueta. O checklist aqui não resolve tudo — mas tira você do nível zero, que é onde a maioria está.