Entenda a LGPD no consultório: dado de saúde, direitos e vazamento

A Lei Geral de Proteção de Dados Pessoais, a Lei 13.709/2018, vale para qualquer operação com dados pessoais feita por pessoa física ou jurídica, em papel ou no computador (art. 3º). O consultório odontológico entra nela pelo prontuário, pela ficha de anamnese, pela agenda e pelas mensagens com pacientes. O conceito de tratamento do art. 5º, X, inclui coleta, armazenamento, transmissão e comunicação, então mandar uma radiografia pelo WhatsApp também conta.

A lei separa quem decide sobre os dados, o controlador, de quem trata os dados em nome dele, o operador (art. 5º, VI e VII). No consultório, controlador é a clínica ou, para quem atende como autônomo, o próprio dentista. A fiscalização cabe à Agência Nacional de Proteção de Dados (ANPD), nome que o órgão recebeu com a Lei 15.352/2026.

Dado de saúde é dado sensível

O art. 5º, II, coloca o "dado referente à saúde" na lista de dados pessoais sensíveis, junto com dado genético e biométrico. Para esse grupo, as hipóteses de tratamento ficam no art. 11, mais restrito que o art. 7º, que cuida dos dados comuns.

O Manual do Prontuário do Paciente em Odontologia, publicado pelo CFO em 2026, faz a mesma leitura e estende o compromisso à equipe: técnicos e auxiliares em saúde bucal e em prótese dentária, e outros profissionais de saúde que tenham acesso aos dados do atendimento.

As bases legais que servem ao consultório

O art. 11 admite o consentimento do titular, dado de forma específica e destacada, ou o tratamento sem consentimento quando for indispensável para uma lista de hipóteses. Três delas aparecem na rotina da clínica: cumprir obrigação legal ou regulatória (alínea a), exercer direitos, inclusive em contrato e em processo (alínea d), e a "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária" (alínea f).

A alínea f fala em tutela da saúde "exclusivamente" em procedimento de profissional ou serviço de saúde. Para usar o mesmo dado em outra finalidade, como publicar a foto de um caso, o manual do CFO orienta registrar a ciência e obter a autorização do paciente, com a descrição detalhada dos fins, e lembra que ele pode revogá-la a qualquer tempo. As regras de publicação de imagem estão no explicador da Resolução CFO 196/2019.

O § 4º do art. 11 proíbe comunicar ou compartilhar dado de saúde entre controladores para obter vantagem econômica. As exceções ficam ligadas à prestação do serviço de saúde, como a portabilidade pedida pelo paciente e as transações financeiras e administrativas do próprio atendimento.

Os direitos do paciente

Pelo art. 18, o titular pode pedir confirmação de que há tratamento, acesso aos dados, correção, anonimização, bloqueio ou eliminação do que for desnecessário, portabilidade, a lista de com quem os dados foram compartilhados e a revogação do consentimento. O atendimento é gratuito (§ 5º). O art. 19 fixa dois formatos de resposta: simplificado, de imediato, ou uma declaração completa em até 15 dias. O manual do CFO acrescenta que o paciente deve saber, sempre que pedir, quem tem acesso aos dados do prontuário.

Quando o pedido é para apagar o prontuário, entra o art. 16, que autoriza conservar dados para cumprir obrigação legal ou regulatória. A Lei 13.787/2018, que regula a digitalização do prontuário junto com a LGPD, fixa em 20 anos, contados do último registro, o prazo mínimo para que ele possa ser eliminado (art. 6º).

Vazamento e o prazo de três dias úteis

O art. 48 obriga o controlador a comunicar à ANPD e ao titular o incidente de segurança que possa causar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 detalhou a regra. Pelo art. 5º, isso acontece quando o incidente puder afetar significativamente interesses e direitos dos titulares e envolver ao menos um critério de uma lista que abre com dados sensíveis e inclui dados protegidos por sigilo profissional. Dado de consultório costuma preencher o segundo requisito; o primeiro precisa ser avaliado caso a caso.

A comunicação à ANPD sai em três dias úteis contados de quando o controlador soube que o incidente afetou dados pessoais (art. 6º) e pode ser complementada em 20 dias úteis. O aviso aos pacientes tem o mesmo prazo de três dias úteis, em linguagem simples e individual quando possível (art. 9º). Todo incidente, comunicado ou não, precisa ficar registrado por pelo menos cinco anos (art. 10).

A página de incidentes da ANPD cita exemplos que cabem num consultório: envio de informações ao destinatário errado, sequestro de dados por ransomware e perda ou furto de documentos e aparelhos com dados protegidos por sigilo profissional. No roubo de um aparelho eletrônico, diz a agência, a avaliação depende também de os dados estarem ou não criptografados.

A regra do pequeno porte

A Resolução CD/ANPD nº 2/2022 criou um regime simplificado para agentes de tratamento de pequeno porte. A definição do art. 2º inclui microempresa, empresa de pequeno porte e MEI, e também pessoas naturais que tratam dados como controladoras.

Quem se enquadra fica dispensado de indicar encarregado, desde que mantenha um canal de comunicação com o titular (art. 11). Pode fazer o registro das operações de forma simplificada (art. 9º) e adotar uma política simplificada de segurança da informação (art. 13). Também ganha prazo em dobro para atender pedidos dos titulares e para comunicar incidentes (art. 14), regra repetida na Resolução 15/2024.

O benefício não vale para quem fatura acima de R$ 4,8 milhões por ano, teto da empresa de pequeno porte no art. 3º, II, da Lei Complementar 123/2006, nem para quem faz tratamento de alto risco (art. 3º). O art. 4º define alto risco como a soma de um critério geral, larga escala ou tratamento que possa afetar significativamente direitos dos titulares, com um critério específico, e o uso de dados sensíveis é um dos específicos. No consultório o critério específico está sempre presente, e a dúvida fica no geral. Mesmo dentro do regime, a ANPD pode exigir as obrigações dispensadas conforme a natureza, o volume e os riscos do tratamento (art. 16).

O que muda pra você

Para a LGPD, o atendimento se apoia na tutela da saúde do art. 11, II, f. O cuidado fica nos usos fora do atendimento: foto em rede social ou depoimento de paciente pedem autorização com a finalidade descrita. Responder uma avaliação negativa citando o tratamento de alguém expõe dado de saúde, assunto que apareceu na lista do Reddit dos dentistas.

Na rotina, o paciente precisa de um canal para pedir acesso ou correção, com resposta sem custo, e o prontuário precisa de medidas contra acesso não autorizado, que o art. 46 exige de todo agente de tratamento. Exame enviado ao contato errado está entre os exemplos de incidente acidental da ANPD, e o prazo de comunicação começa a correr quando a clínica sabe que dados pessoais foram afetados.

Considerações importantes

O resumo segue o texto das normas, com links para os originais, e não substitui orientação jurídica nem do CRO.

As sanções do art. 52 vão de advertência a multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados e suspensão do tratamento. Elas dependem de processo com ampla defesa e levam em conta boa-fé, cooperação e adoção de boas práticas. Quando um agente de pequeno porte indica encarregado mesmo sem ser obrigado, a Resolução 2/2022 conta isso como política de boas práticas para esse cálculo.

Mudanças nessas regras entram na newsletter da semana.