LGPD em clínicas: o que precisa estar estruturado antes de uma fiscalização da ANPD

Uma clínica médica, odontológica, de diagnóstico por imagem ou um laboratório de análises não é apenas um prestador de serviços de saúde. É uma organização que coleta, armazena, processa e compartilha dados pessoais de saúde de forma contínua, de cada paciente atendido, de cada exame realizado, de cada prontuário criado.

Dados de saúde são, na classificação da Lei Geral de Proteção de Dados, dados pessoais sensíveis. Essa classificação não é apenas terminológica, ela tem consequências jurídicas diretas: a lei exige proteção reforçada, bases legais específicas para o tratamento e responsabilidade agravada em caso de violação.

A Autoridade Nacional de Proteção de Dados tem ampliado sua capacidade de fiscalização e o setor de saúde está entre suas prioridades regulatórias declaradas. Uma fiscalização pode ser iniciada por denúncia de paciente, por monitoramento setorial ou por procedimento administrativo de ofício, sem necessidade de aviso prévio.

O ambiente operacional de uma clínica concentra características que, combinadas, criam exposição regulatória significativa:

A lei não trata clínicas de forma genérica, o tratamento de dados de saúde tem requisitos específicos que vão além das obrigações gerais aplicáveis a qualquer organização:

Para dados de saúde, a LGPD exige bases legais específicas, diferentes das bases gerais aplicáveis a dados comuns. As principais bases aplicáveis ao contexto clínico são: tutela da saúde, exclusivamente em procedimentos realizados por profissionais de saúde ou por entidades sanitárias; e obrigação legal ou regulatória, quando o tratamento decorre de exigência normativa.

O consentimento, base legal mais conhecida, é apenas uma das possibilidades, e em muitos contextos clínicos não é a base correta. Usar a base legal inadequada é uma não-conformidade, mesmo que o tratamento em si seja legítimo.

A LGPD exige que as organizações adotem medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.

Para clínicas, isso se traduz em controle de acessos por função, autenticação adequada nos sistemas, gestão de dispositivos que acessam dados de pacientes e procedimentos de descarte seguro de informações.

Organizações que realizam tratamento de dados pessoais em larga escala ou que tratam dados sensíveis devem manter registro das operações de tratamento.

Esse registro, também chamado de ROPA, documenta quais dados são tratados, para qual finalidade, com qual base legal, por quanto tempo e com quem são compartilhados.

A LGPD exige a designação de um Encarregado de Dados, o DPO, quando a organização realiza tratamento de dados sensíveis em larga escala.

Para clínicas de médio e grande porte, essa exigência é direta. O DPO é o ponto de contato com a ANPD e com os titulares de dados..

Em caso de incidente de segurança com risco relevante para os titulares, a ANPD deve ser comunicada em prazo razoável, que a autoridade tem interpretado como 72 horas.

Clínicas sem procedimento de resposta a incidentes estruturado não conseguem cumprir esse prazo.

Uma fiscalização não avalia apenas documentos, avalia coerência entre documentos e práticas reais. Com base nos procedimentos já instaurados pela ANPD e nas orientações publicadas pelo órgão, uma fiscalização em clínica pode incluir:

• Verificação da existência e adequação da política de privacidade
• Análise da base legal utilizada para tratamento de dados de saúde
• Verificação da existência e atribuições do Encarregado de Dados
• Análise do registro de operações de tratamento
• Verificação de contratos com fornecedores e operadores de dados
• Avaliação dos controles de acesso aos sistemas que contêm dados de pacientes
• Verificação de como solicitações de titulares foram tratadas anteriormente
• Análise de incidentes anteriores e como foram gerenciados
• Avaliação do programa de treinamento das equipes

Cada um desses pontos é um elemento que a adequação precisa cobrir, não apenas no papel, mas na operação real da clínica.

Uma fiscalização da ANPD não é uma revisão documental. É uma auditoria de conformidade operacional.

Com base na experiência de adequação em ambientes de saúde, alguns pontos de não-conformidade aparecem com frequência, mesmo em clínicas que acreditam estar adequadas:

A adequação à LGPD em clínicas não precisa ser feita de uma vez, mas precisa ser feita antes de uma fiscalização, não durante. Os elementos prioritários, em ordem de urgência:

• Diagnóstico real do ambiente: mapeamento de quais dados são tratados, por quem, em quais sistemas e com quem são compartilhados
• Definição das bases legais corretas: para cada tipo de tratamento de dados de saúde
• Contratação ou designação de Encarregado de Dados: com atribuições reais
• Revisão de contratos: com todos os fornecedores que acessam dados de pacientes
• Estruturação do registro de operações de tratamento
• Implementação de controles de acesso: por função nos sistemas
• Elaboração de procedimento de resposta a incidentes
• Treinamento das equipes: sobre práticas de privacidade no atendimento
• Estruturação do canal de atendimento a solicitações de titulares

Esses elementos formam a base de uma adequação que funciona quando testada, seja por uma fiscalização da ANPD, por uma solicitação de paciente ou por um incidente de segurança.

Para clínicas, as consequências de uma inadequação à LGPD vão além das sanções administrativas da ANPD, que podem chegar a 2% do faturamento do último exercíco, limitadas a R$ 50 milhões por infração.

O impacto mais relevante para o ambiente clínico é reputacional. Um vazamento de dados de saúde de pacientes, diagnósticos, históricos, resultados de exames,  tem potencial de dano irreversível à relação de confiança que é o fundamento de qualquer serviço de saúde.

Pacientes não voltam a clínicas que expuseram seus dados. E em mercados locais e regionais, onde a reputação circula por indicação, o impacto se multiplica.

Existe ainda a responsabilidade civil direta perante os pacientes afetados,  independente das sanções administrativas da ANPD. Um paciente que teve dados de saúde expostos tem direito a reparação pelos danos sofridos.

Para clínicas, proteção de dados não é uma obrigação regulatória abstrata. É uma condição para manter a confiança que sustenta o negócio.

Sua clínica está preparada para uma fiscalização da ANPD?

Clínicas e laboratórios estão entre os ambientes com maior exposição regulatória sob a LGPD, porque tratam dados sensíveis de saúde, que têm proteção reforçada na lei.

Uma fiscalização pode chegar sem aviso prévio, e o que ela encontra determina as consequências.

Um diagnóstico jurídico de conformidade à LGPD para clínicas identifica onde está a exposição real, o que precisa ser estruturado e qual o caminho para uma adequação que funcione quando testada.