Muitas clínicas acreditam estar adequadas à proteção de dados porque usam um sistema em nuvem com senha. O sistema conta, claro, mas a lei exige outra coisa: provas de que a clínica sabe o que faz com as informações dos pacientes.
Essas provas constituem a documentação da clínica. A seguir, estão os registros que sustentam a relação entre prontuário eletrônico e LGPD no dia a dia do gestor, sem juridiquês e dentro de uma rotina possível.
Por que dados de saúde pedem cuidado dobrado
A Lei Geral de Proteção de Dados (LGPD) classifica dados de saúde como sensíveis, exigindo regras de tratamento mais rígidas e prevendo punições mais pesadas quando algo dá errado. E o prontuário concentra exatamente esse tipo de informação: diagnósticos, exames, prescrições e histórico familiar.
A própria LGPD autoriza o tratamento desses dados para tutela da saúde, quando feito por profissionais e serviços de saúde. Registrar uma consulta no prontuário não depende de consentimento. O que a lei cobra é responsabilidade.
A clínica precisa demonstrar que protege os dados, sabe quem os acessa e tem um plano se algo vazar. A Lei 13.787/2018, que trata do prontuário digital, soma a isso a guarda mínima de 20 anos a partir do último registro.
Pacientes também têm direitos claros pela LGPD, como saber quais dados a clínica guarda e pedir cópia do que está registrado. Um aviso de privacidade simples, na recepção e no site, explica isso sem complicação.
Prontuário eletrônico e LGPD, portanto, não é assunto só de TI. É gestão, e quem responde é o gestor.
Registro das operações de tratamento
O primeiro documento é o registro das operações de tratamento, previsto no artigo 37 da LGPD. Ele descreve quais dados a clínica coleta, para quê, onde guarda, por quanto tempo e com quem compartilha. Na prática, é uma tabela por processo: agendamento, atendimento, faturamento de convênio, envio de exames e telemedicina viram linhas separadas. Em cada linha entra a base legal usada; tutela da saúde, obrigação legal e execução de contrato são as mais comuns em uma clínica. Esse exercício costuma revelar dados de saúde fora do sistema principal.
Planilha da recepção, grupos de mensagem, e-mails com laudos anexados acabam expostos. Quando a documentação da clínica chega a esse nível de detalhe, aparece aquele arquivo esquecido na pasta compartilhada, que muitas vezes é o ponto mais frágil.
O registro precisa acompanhar as mudanças: uma nova especialidade ou um novo parceiro de exames já pedem atualização.
Controle de acesso e trilha de auditoria
O segundo bloco é a política de acesso: quem pode ver o quê dentro do prontuário, de acordo com a função.
A recepção precisa da agenda e dos dados cadastrais, não do conteúdo clínico. O médico acessa o prontuário completo dos pacientes que atende. Essa separação depende de perfis de usuário no sistema. No prontuário eletrônico do MDMED, cada pessoa tem login próprio, o que acaba com o hábito perigoso de dividir senha.
A trilha de auditoria completa o controle. Ela registra quem acessou, quando e o que mudou, e vira prova se um paciente questionar algo.
O Conselho Federal de Medicina, na Resolução 1.821/2007, já trata de requisitos de segurança para sistemas de prontuário, como autenticação e registro de acessos. A LGPD estendeu essa lógica para todo o tratamento de dados. Um documento curto, revisado a cada semestre, lista os perfis e quem ocupa cada um.
Colaborador saiu? O acesso sai no mesmo dia, e essa baixa também entra na documentação da clínica.
Contrato com o fornecedor do sistema
O software que guarda o prontuário atua como operador de dados. Trata as informações em nome da clínica, seguindo as instruções dela. Essa relação precisa estar no papel. O contrato deve abordar confidencialidade, segurança, local de armazenamento e devolução dos dados quando a parceria terminar.
A portabilidade merece atenção especial. Se um dia a clínica trocar de sistema, os prontuários precisam sair completos e em formato utilizável.
Onde ficam os servidores e como funciona o backup também são perguntas legítimas. Um sistema estável e com cópias frequentes reduz o risco de perda, tema do nosso texto sobre o software médico que não cai.
Laboratórios parceiros, serviços de telemedicina e contabilidade que recebem dados de pacientes entram na mesma lógica, com cláusulas de proteção. Manter todos esses contratos em uma única pasta poupam trabalho em uma fiscalização.
Plano de resposta a incidentes
Nenhum sistema está imune a falhas, e a LGPD parte desse pressuposto. Incidentes com risco relevante precisam ser comunicados à autoridade e também aos titulares afetados. A Agência Nacional de Proteção de Dados regulamentou o processo em 2024: o prazo é de três dias úteis a partir do conhecimento do fato. Três dias passam voando quando ninguém sabe o que fazer.
O plano define quem avalia o incidente, quem decide pela comunicação e quem fala com os pacientes. Também prevê o registro do caso, mesmo quando a comunicação não é obrigatória, porque a ANPD pode pedir esse histórico.
Notebook furtado, exame enviado para o paciente errado, senha vazada. Cada situação pede uma resposta diferente, e com um plano ninguém improvisa. Um treinamento anual com a equipe, acompanhado de lista de presença, fecha esse bloco da documentação da clínica.
Na recepção, o treinamento costuma focar em situações bem concretas: como confirmar a identidade de quem pede um exame por telefone, o que pode ou não ser enviado por mensagem, como descartar papéis com dados de pacientes.
Prontuário eletrônico e LGPD com o MDMED
O MDMED põe em prática o que a documentação descreve. O prontuário fica na nuvem, com acesso individual por usuário e registros organizados. Agenda, prontuário e financeiro ficam no mesmo sistema. Isso significa menos planilhas soltas e menos mensagens com dados de saúde circulando pela clínica.
Receitas, exames e atestados podem ser enviados automaticamente, sem anexos perdidos em e-mails. O plano Completo inclui ainda a assinatura digital de documentos.
São mais de 25 anos desenvolvendo softwares para a saúde, com suporte humanizado e acompanhamento na migração dos dados do sistema anterior. Dá para testar gratuitamente e sem cartão de crédito, seja pela página de contato ou falando com um especialista pelo WhatsApp.
Tecnologia e documentação andando juntas: é assim que a LGPD sai do papel na clínica.
