LGPD no site do consultório: o que é obrigatório e o que é mito

Poucos temas geram tanta confusão entre médicos quanto a LGPD. De um lado, há quem trate a lei como uma formalidade distante, algo que só grandes hospitais precisam levar a sério. Do outro, circula a ideia oposta, de que qualquer consultório pequeno precisa contratar um encarregado de dados e montar uma estrutura jurídica complexa só para ter um site. Nenhuma das duas versões é precisa. A Lei Geral de Proteção de Dados trata dado de saúde como dado pessoal sensível, o que exige cuidado real, mas as obrigações práticas para um consultório são mais específicas, e mais administráveis, do que costuma parecer.

Por que dado de saúde recebe tratamento diferenciado

A LGPD classifica dados sobre saúde, junto com dados genéticos e biométricos, na categoria de dados pessoais sensíveis. Isso significa que o tratamento dessas informações, seja um formulário de agendamento no site, um histórico enviado por WhatsApp ou um prontuário digital, precisa estar apoiado em uma base legal específica e seguir princípios de finalidade, transparência e necessidade. Na prática, isso quer dizer que a clínica só deve coletar o dado que de fato precisa para o atendimento, deve informar ao paciente por que está coletando aquilo, e não pode usar essa informação para uma finalidade diferente da que foi comunicada.

O risco de descumprimento não é apenas teórico. A Autoridade Nacional de Proteção de Dados pode aplicar sanções administrativas, incluindo multa de até 2% do faturamento da pessoa jurídica, limitada a 50 milhões de reais por infração, segundo a própria legislação.

O mito do encarregado de dados obrigatório

Aqui está o ponto que mais gera dúvida e mais mitos. A LGPD prevê a figura do encarregado de dados, também chamado de DPO, responsável por atuar como canal entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados. Muitos consultórios assumem que essa nomeação é obrigatória para qualquer negócio que trate dado sensível, mas a própria autoridade criou uma exceção relevante para negócios de menor porte.

A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, estabelece um regime simplificado para os chamados agentes de tratamento de pequeno porte, categoria que inclui microempresas, pequenas empresas, startups, pessoas jurídicas de direito privado de menor porte e profissionais liberais. Para esse grupo, a nomeação formal de um encarregado deixa de ser obrigatória e passa a ser tratada como boa prática de governança. A condição é que a clínica ofereça, no lugar disso, um canal de comunicação simples para que o paciente possa fazer reclamações, pedir esclarecimentos e exercer seus direitos sobre os próprios dados.

Ou seja, o mito de que toda clínica pequena precisa contratar um DPO não se sustenta. O que a lei realmente exige, mesmo dos pequenos consultórios, é transparência sobre como os dados são usados e um caminho claro para o paciente entrar em contato quando quiser saber, corrigir ou pedir a exclusão de suas informações. É importante notar que essa flexibilização vale apenas para a exigência do encarregado formal, os demais princípios da LGPD, como bases legais, finalidade e segurança da informação, continuam valendo integralmente, independentemente do porte da clínica.

O que realmente precisa estar no site

Na prática, um site de consultório em conformidade costuma precisar de três elementos concretos. Primeiro, uma política de privacidade acessível e escrita em linguagem clara, explicando quais dados são coletados, nome, telefone, e-mail, eventualmente informações de saúde preenchidas em formulários, para que servem e por quanto tempo ficam armazenados. Segundo, uma base legal identificável para cada tipo de coleta, sendo que, na área da saúde, o consentimento é apenas uma das opções previstas pela lei, o tratamento necessário para a tutela da saúde do paciente, quando conduzido por profissional de saúde, também é uma base legal válida por si só. Terceiro, um canal de contato funcional para que o paciente exerça seus direitos, incluindo o direito à portabilidade dos dados, ou seja, a possibilidade de solicitar que suas informações sejam transferidas para outro serviço ou profissional.

Conformidade como rotina, não como projeto único

Talvez o maior mito de todos seja o de que adequação à LGPD é algo que se resolve de uma vez e depois pode ser esquecido. Formulários de contato mudam, novas ferramentas de agendamento são adotadas, campanhas de marketing passam a coletar dados de forma diferente. Cada uma dessas mudanças pode alterar o que precisa constar na política de privacidade do site. Manter esse texto atualizado e coerente com o que de fato acontece na prática é menos sobre burocracia e mais sobre proteger tanto o paciente quanto o próprio consultório de um problema evitável. É um dos cuidados que costuma integrar o trabalho da MedSuccess Digital ao estruturar sites para profissionais de saúde.