A Lei Geral de Proteção de Dados impõe ao médico uma responsabilidade que já está sendo cobrada nos tribunais — e que a maioria dos profissionais ainda subestima. Toda vez que um médico coleta, armazena, compartilha ou descarta informações de um paciente — diagnóstico, exame, prontuário médico, imagem clínica, histórico de saúde —, ele está tratando dados pessoais sensíveis na acepção técnica do artigo 5º, II da Lei nº 13.709/2018, os dados de saúde. O tratamento inadequado dessas informações gera duas frentes de exposição simultâneas: a administrativa, perante a ANPD, com multas que chegam a R$ 50 milhões por infração, e a civil, perante o Judiciário, onde o paciente que tem seus dados expostos tem fundamento concreto para ingressar com ação por danos morais. Em Portugal, um hospital foi condenado ao pagamento de €400 mil por não controlar quem acessava os prontuários de seus pacientes. Nos Estados Unidos, uma empresa médica da Pensilvânia pagou US$ 65 milhões por vazar registros e fotografias de 134 mil titulares. No Brasil, os precedentes estão sendo construídos agora.
A pergunta mais frequente — e mais equivocada — entre os médicos ainda é: preciso pedir consentimento LGPD para tudo? A resposta é não. O atendimento clínico, a manutenção do prontuário eletrônico e a continuidade do cuidado têm base legal própria na lei: a tutela da saúde, prevista no artigo 11, II, f, que autoriza o tratamento de dados sensíveis por profissionais e serviços de saúde sem exigir o consentimento expresso do paciente para esses fins. O consentimento se torna a base legal exigida quando os dados são utilizados além da assistência direta — marketing, publicação de casos clínicos, compartilhamento de dados com planos de saúde, laboratórios ou terceiros para fins que não sejam o cuidado do próprio paciente. Sem ele nessas situações, a conduta é ilícita, independentemente da boa intenção do profissional. A distinção entre LGPD e sigilo médico também é relevante: os dois instrumentos se complementam sem se substituir — uma conduta pode violar o sigilo profissional sem violar a lei, e vice-versa, embora o mais frequente seja que a mesma falha produza consequências em ambas as frentes simultaneamente.
Os erros mais comuns observados na prática médica não são falsificações ou omissões intencionais. São sistemas de prontuário eletrônico sem controle de acesso por perfil, envio de laudos e exames por WhatsApp sem protocolo de segurança, publicação de fotos de pacientes nas redes sociais sem autorização prévia expressa e documentada, e compartilhamento de informações clínicas com operadoras de planos de saúde sem transparência sobre o que está sendo transmitido e com qual finalidade. Nenhuma dessas condutas exige intenção para configurar violação. A LGPD trabalha com o conceito de responsabilização da organização controladora — e em um consultório ou clínica médica, esse controlador é o médico ou a pessoa jurídica que ele representa. Desde 2024, a Resolução CD/ANPD nº 15/2024 tornou obrigatória a nomeação de encarregado de dados (DPO), com identidade divulgada publicamente, inclusive em estruturas menores que tratem dados sensíveis — o que inclui praticamente qualquer consultório.
A adequação LGPD na clínica não é um projeto de TI nem uma tarefa que se resolve com a assinatura de um formulário genérico. É um processo que começa com o mapeamento real de quais dados são coletados, por quem são acessados, onde estão armazenados e com quem são compartilhados. Envolve revisão de contratos com fornecedores de sistemas, definição de protocolos de segurança, nomeação de encarregado de dados e construção de um modelo de resposta a incidentes. Uma observação importante sobre o prazo de guarda do prontuário: embora a LGPD, em princípio, recomende a eliminação dos dados ao fim da finalidade que os justificou, o prontuário médico tem disciplina própria — a Resolução CFM nº 1.638/2002 e a Lei nº 13.787/2018 estabelecem conservação mínima de 20 anos, o que é plenamente compatível com a lei de proteção de dados. Invocar a LGPD para descartar prontuários antes desse prazo é cometer infração ética e legal ao mesmo tempo.
A atuação em direito médico preventivo inclui exatamente esse diagnóstico: identificar onde o consultório, a clínica ou o hospital está exposto à responsabilidade civil médica por falhas na proteção de dados antes que a exposição se torne um processo — no CRM, na ANPD ou no Poder Judiciário.
