Entenda tudo sobre a Cartilha LGPD voltada para a área médica

Se você atende pacientes, armazena prontuários, usa WhatsApp para contato ou trabalha com telemedicina, a Lei Geral de Proteção de Dados (LGPD) faz parte do seu dia a dia. Para apoiar médicos e demais profissionais da saúde, o Conselho Federal de Medicina (CFM) lançou uma cartilha específica sobre LGPD na área médica, com orientações práticas para a rotina.

Neste guia do bip insights, você entende o que é a Cartilha LGPD voltada para a área médica, quais são os conceitos essenciais da lei e como aplicar os principais pontos na realidade de consultórios, clínicas, hospitais e serviços de diagnóstico.

1. O que é a LGPD e por que ela impacta a Medicina

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) é a norma brasileira que regula o tratamento de dados pessoais em ambientes físicos ou digitais. Ela se aplica a qualquer pessoa física ou jurídica que colete, armazene ou utilize dados de indivíduos localizados no Brasil, o que inclui diretamente consultórios, clínicas, hospitais, laboratórios e plataformas de saúde digital.

Na área da saúde, a atenção deve ser ainda maior. Dados referentes ao estado de saúde, histórico clínico, exames, laudos ou informações genéticas são considerados dados pessoais sensíveis, com proteção reforçada pela lei.

1.1. O que são dados pessoais e dados sensíveis

De forma simplificada, a LGPD define:

• Dados pessoais: qualquer informação que identifique ou permita identificar uma pessoa, como nome, CPF, telefone, endereço, e-mail.
• Dados pessoais sensíveis: informações sobre saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, dado genético ou biométrico vinculado a uma pessoa natural.

A prática médica lida com esses dois tipos de dados ao mesmo tempo, desde a ficha cadastral até o prontuário eletrônico, o que coloca o profissional em posição central na proteção dessas informações.

1.2. LGPD e sigilo médico caminham juntos

Antes da LGPD, o sigilo médico já era um pilar ético e legal. O que a lei faz é reforçar e detalhar como esse sigilo deve ser tratado dentro do contexto de segurança da informação, tecnologia e compartilhamento de dados com outros serviços de saúde, operadoras, laboratórios e plataformas digitais.

2. O que é a Cartilha LGPD voltada para a área médica

Para facilitar a aplicação da LGPD na prática, o Conselho Federal de Medicina (CFM) elaborou uma cartilha específica sobre a Lei Geral de Proteção de Dados e a atuação do profissional da Medicina. O material apresenta os principais conceitos da lei e traduz os impactos para a rotina de atendimento, prontuários, registros e sistemas de informação em saúde.

Na página de transparência do CFM, é possível acessar as publicações oficiais sobre LGPD para a classe médica, incluindo a cartilha “A Lei Geral de Proteção de Dados Pessoais e a atuação do profissional da medicina”.

2.1. Objetivo principal da Cartilha LGPD

A cartilha busca:

• apresentar, em linguagem acessível, os fundamentos da LGPD;
• explicar como a lei se conecta com o sigilo médico e o Código de Ética Médica;
• orientar sobre boas práticas em consultórios, clínicas, hospitais e serviços de diagnóstico;
• mostrar riscos, sanções e responsabilidades envolvendo o tratamento de dados de pacientes.

2.2. Para quem a cartilha é indicada

Embora o foco principal seja o médico, o conteúdo também é útil para:

• gestores de clínicas e hospitais;
• equipes de enfermagem, fisioterapia e outras especialidades;
• times administrativos que lidam com agendamento, faturamento e prontuário;
• profissionais de TI e compliance em saúde.

3. Conceitos básicos da LGPD aplicados à saúde

A cartilha e a própria lei usam alguns termos-chave que ajudam a entender responsabilidades dentro do fluxo de dados de saúde.

3.1. Titular, controlador e operador

• Titular: é o paciente, ou seja, a pessoa a quem os dados dizem respeito.
• Controlador: quem decide como e por que os dados serão tratados. Em saúde, pode ser o médico, a clínica, o hospital ou a operadora.
• Operador: quem realiza o tratamento dos dados em nome do controlador. Por exemplo: empresa de software de prontuário, laboratório terceirizado, empresa de cobrança.

3.2. Encarregado de dados (DPO)

Muitos serviços de saúde precisam indicar um encarregado pelo tratamento de dados pessoais, também conhecido como DPO (Data Protection Officer). Essa pessoa é o ponto de contato com a Autoridade Nacional de Proteção de Dados (ANPD) e com os titulares de dados, além de apoiar na implementação das boas práticas exigidas pela LGPD.

3.3. Bases legais na área de saúde

A LGPD não se baseia só em consentimento. Ela lista diferentes bases legais, que autorizam o tratamento de dados em contextos específicos. Na área da saúde, além do consentimento em situações pontuais, ganham destaque:

• Tutela da saúde: permite o tratamento de dados para procedimentos realizados por profissionais, serviços e autoridades da área da saúde.
• Cumprimento de obrigação legal ou regulatória: guarda de prontuários, envio de informações a órgãos públicos e conselhos de classe.
• Execução de contrato: relação entre paciente e serviço de saúde, plano ou laboratório.

4. Principais orientações da Cartilha LGPD para a rotina médica

A Cartilha LGPD voltada para a área médica organiza a aplicação da lei em situações típicas da prática assistencial. Veja alguns pontos que merecem atenção especial.

4.1. Cadastro de pacientes e fichas de atendimento

• coletar apenas dados necessários para a finalidade do atendimento;
• evitar perguntas irrelevantes para o cuidado de saúde;
• informar ao paciente de forma clara como os dados serão usados;
• manter formulários físicos guardados em local seguro, com acesso restrito.

4.2. Prontuário médico físico e eletrônico

O prontuário é documento legal, sigiloso e científico. A cartilha reforça que o acesso deve ser restrito à equipe envolvida no cuidado, com registro de quem acessou, por qual meio e com qual finalidade.

• defina perfis de acesso em sistemas eletrônicos;
• use senhas fortes e individuais, nunca compartilhadas;
• mantenha backups seguros, preferencialmente criptografados;
• controle impressão e descarte de documentos contendo dados sensíveis.

4.3. Exames, laudos e compartilhamento de informações

O envio de laudos para outros médicos, operadoras ou serviços deve seguir o princípio da necessidade: compartilhar apenas o que é indispensável para a finalidade assistencial, sempre com cuidado com o canal utilizado e com quem terá acesso.

4.4. Telemedicina, WhatsApp e outros canais digitais

A cartilha trata de temas que se tornaram rotina, como uso de aplicativos de mensagem, e-mail e plataformas de telemedicina:

• evite expor dados sensíveis em grupos de WhatsApp, mesmo com profissionais da área;
• prefira plataformas que ofereçam nível adequado de segurança e registro;
• ao enviar exames ou prescrições, confira o contato do paciente antes de compartilhar;
• explique ao paciente os riscos de determinados canais e registre o consentimento quando necessário.

4.5. Consentimento informado e transparência

Em diversos contextos, especialmente quando o uso dos dados vai além do cuidado direto (pesquisa, marketing, ensino), o consentimento livre, informado e inequívoco do paciente ganha protagonismo. A cartilha reforça a importância de:

• explicar finalidades com linguagem simples;
• registrar a manifestação do paciente de forma verificável;
• permitir revogação do consentimento a qualquer momento, sempre que aplicável.

5. Direitos dos pacientes em relação aos dados de saúde

A LGPD garante ao titular (paciente) uma série de direitos sobre seus dados pessoais, que também se aplicam aos dados de saúde.

• Confirmação de tratamento: saber se o serviço de saúde trata ou não seus dados.
• Acesso: obter cópia dos dados pessoais em formato claro.
• Correção: solicitar atualização de informações incompletas, inexatas ou desatualizadas.
• Anonimização, bloqueio ou eliminação: em casos específicos previstos em lei.
• Informação sobre compartilhamento: saber com quem os dados são compartilhados.
• Revogação de consentimento: quando a base legal for consentimento.

A cartilha orienta que médicos e serviços de saúde criem fluxos para responder a essas solicitações com organização e prazos razoáveis.

6. Obrigações de médicos, clínicas e hospitais

A LGPD não exige apenas boas intenções. Ela traz obrigações concretas, que a cartilha detalha para a realidade da Medicina.

6.1. Segurança da informação

• adoção de medidas técnicas (senhas, criptografia, backups);
• medidas administrativas (treinamento de equipe, políticas internas);
• planos de resposta a incidentes (vazamentos, acessos indevidos, perda de dados).

6.2. Registro das operações de tratamento

Sempre que possível, o serviço deve documentar:

• quais dados são coletados;
• para quais finalidades;
• com quem são compartilhados;
• por quanto tempo são armazenados;
• quais medidas de segurança foram adotadas.

6.3. Contratos com terceiros

Softwares de prontuário, plataformas de agendamento, empresas de cobrança, laboratórios e outros fornecedores que tratam dados de pacientes devem ter cláusulas contratuais específicas sobre proteção de dados, responsabilidades e segurança.

7. Riscos, penalidades e órgãos fiscalizadores

Incidentes de segurança envolvendo dados de saúde podem gerar:

• sanções administrativas, como advertências e multas aplicadas pela ANPD;
• responsabilização ética perante conselhos de Medicina;
• ações judiciais movidas por pacientes;
• dano reputacional à clínica, hospital ou profissional.

A cartilha lembra que não existe oposição entre LGPD e normas éticas da Medicina. Elas se complementam e podem gerar responsabilização tanto na esfera de proteção de dados quanto na esfera profissional.

8. Passo a passo para usar a Cartilha LGPD na adequação do seu serviço

Para quem deseja estruturar a adequação à LGPD na área médica, a cartilha funciona como um guia prático. Um caminho possível:

1. Ler a cartilha na íntegra: comece pelo material oficial do CFM para entender a visão do Conselho sobre a lei.
2. Mapear fluxos de dados: identifique onde os dados nascem, circulam e são armazenados no seu consultório ou serviço.
3. Revisar formulários e contratos: atualize termos de consentimento, fichas cadastrais e contratos com terceiros.
4. Definir responsáveis: indique quem cuidará da implementação e, se necessário, um encarregado de dados.
5. Treinar a equipe: todos que lidam com dados de pacientes precisam entender o básico da LGPD.
6. Estabelecer políticas internas: políticas de segurança da informação, uso de e-mail, WhatsApp, acesso ao prontuário e descarte de documentos.
7. Criar um plano de resposta a incidentes: defina como agir em caso de vazamento ou perda de dados.

A cada etapa, use a cartilha como referência para conferir se as práticas adotadas estão em linha com os princípios da LGPD e com o Código de Ética Médica.

9. Dúvidas frequentes sobre LGPD na área médica

Posso usar WhatsApp para falar com meus pacientes?

A cartilha não proíbe o uso de aplicativos de mensagem, porém reforça que o profissional deve adotar cuidados. Sempre que possível, limite o compartilhamento de dados sensíveis, confira se fala com o destinatário correto, proteja o aparelho com senha e evite grupos que exponham informações em excesso.

O paciente pode pedir cópia do prontuário?

Sim. O paciente tem direito de acesso aos dados que lhe dizem respeito. O serviço de saúde deve entregar cópia em prazo razoável, preservando dados de terceiros e o sigilo de informações que não podem ser compartilhadas.

Por quanto tempo devo guardar o prontuário?

O tempo de guarda depende de regras específicas sobre prontuários, inclusive resoluções do CFM e normas locais. A LGPD não define prazos de arquivamento, porém exige segurança e controle enquanto durar o armazenamento.

Preciso de consentimento para toda coleta de dados?

Nem sempre. Muitas atividades em saúde se baseiam em outras bases legais, como tutela da saúde e cumprimento de obrigação legal. O consentimento é fundamental em usos adicionais, como pesquisas ou finalidades que não tenham relação direta com o cuidado assistencial.

Clínicas pequenas também precisam se adequar?

Sim. A LGPD se aplica a qualquer operação de tratamento de dados pessoais, independentemente do porte. Consultórios menores podem optar por soluções mais simples, porém devem respeitar os princípios da lei e as orientações da cartilha.

A Cartilha LGPD voltada para a área médica é um ponto de partida seguro para alinhar a prática assistencial com as exigências de proteção de dados. Ao combinar atenção à lei com tecnologia e organização de processos, seu consultório protege melhor os pacientes e fortalece a confiança na relação médico-paciente.