Checklist LGPD para clínicas — o que a ANPD fiscaliza

Aviso: guia operacional baseado na prática do setor, não consultoria jurídica. Para situações específicas, autuações em curso ou interpretação de resoluções da ANPD, consulte um advogado especializado em LGPD + normas do CFM/CFO aplicáveis.

A ANPD (Autoridade Nacional de Proteção de Dados) vem intensificando a fiscalização sobre clínicas privadas desde 2023 — com frequência maior em estabelecimentos com mais de 500 pacientes ativos, e praticamente certa quando um titular protocola denúncia formal. As sanções vão de advertência simples a multa de R$ 50 milhões ou 2% do faturamento por infração, com bloqueio dos dados em violações graves.

O checklist abaixo cobre os 11 pontos que um fiscal da ANPD confere numa visita padrão. Se a sua clínica cumpre os 11, a fiscalização se encerra com auto positivo. Se três ou mais falharem, há sanção — independentemente do porte.

1. Termo de consentimento informado para procedimentos, assinado e arquivado

O que: Para qualquer procedimento invasivo (pequena cirurgia, depilação a laser, mesoterapia, peeling, toxina botulínica, etc.), o paciente precisa ter assinado o termo ANTES da primeira sessão. O documento descreve princípio ativo, efeitos esperados, possíveis efeitos colaterais e alternativas — alinhado com a Resolução CFM nº 2.217/2018.

Como verificar: abra a ficha de 3 a 5 pacientes com procedimentos invasivos nos últimos 6 meses. Em cada prontuário precisa existir o PDF assinado com data, hora e trilha de auditoria.

Falha típica: o termo está numa pasta física separada do prontuário, ou nunca chegou a ser assinado (a recepcionista entregou em papel, o paciente nunca devolveu).

2. Consentimento LGPD para tratamento de dados sensíveis de saúde

O que: Diferente do termo do procedimento médico. Este é o consentimento previsto no art. 11 da LGPD para a clínica tratar dados pessoais sensíveis — categoria na qual entram todos os dados de saúde. É obrigatório, destacado das demais cláusulas, e assinado no primeiro contato.

Como verificar: abra a ficha de 3 a 5 pacientes novos do último mês. Em cada uma precisa existir o PDF assinado com data anterior à primeira consulta.

Falha típica: ser confundido com o termo do procedimento. São dois documentos distintos, com bases legais diferentes (art. 7º vs. art. 11 da LGPD).

3. Consentimento separado para marketing e comunicação promocional

O que: Para lembretes operacionais (consulta agendada, vencimento de vacina, retorno pós-procedimento), a base legal é legítimo interesse + execução de contrato — e não exige consentimento prévio. Já para mensagens promocionais (campanhas, ofertas via WhatsApp ou e-mail), a LGPD exige consentimento explícito, registrado por escrito, em separado do geral. Um “aceito tudo” no cadastro não vale.

Como verificar: abra a ficha dos pacientes que recebem promoções. Em cada uma precisa constar um consentimento de marketing distinto do operacional, com data e hora.

Falha típica: todos recebem campanha porque “assinaram no cadastro” — só que aquela assinatura era do consentimento geral, não do marketing. Multa quase certa se um titular reclamar à ANPD ou ao Procon.

4. Contrato com operadores (art. 39 da LGPD) para cada fornecedor

O que: Qualquer serviço externo que toca dados dos pacientes — software de gestão, e-mail, WhatsApp, hospedagem, contabilidade — precisa de um contrato de operador assinado pelas duas partes. O contrato especifica quais dados, com que finalidade, sob quais medidas de segurança, e atribui responsabilidades conforme o art. 39 da LGPD.

Como verificar: liste os fornecedores que acessam dados de pacientes. Para cada um precisa haver contrato assinado e arquivado.

Falha típica: a clínica usa Calendly + Mailchimp + Google Workspace + Zoom — e nenhum deles tem contrato de operador formalizado. A ANPD cobra a comprovação na fiscalização.

5. Indicação formal do Encarregado pelo Tratamento de Dados (DPO)

O que: O art. 41 da LGPD exige que clínicas que tratam dados sensíveis em escala designem um Encarregado pelo Tratamento de Dados Pessoais (DPO). Nome, e-mail e telefone do encarregado precisam estar publicados no site e comunicados à ANPD. Não dá para “o dono também faz” sem ato formal de nomeação.

Como verificar: o site precisa exibir o contato do encarregado de forma acessível (rodapé ou política de privacidade). E precisa existir um ato de nomeação interno datado e assinado.

Falha típica: nenhum encarregado nomeado, ou o nome aparece na política sem e-mail funcional. Item recorrente nas primeiras autuações da ANPD.

6. Política de privacidade publicada, acessível e específica

O que: O site precisa ter política de privacidade acessível em todas as páginas (o padrão é no rodapé), explicando: quais dados são coletados, quais tratamentos, quais operadores, prazo de conservação, direitos do titular e como exercê-los. A ANPD publicou em 2023 um guia orientativo específico para dados de saúde — a política precisa estar alinhada com ele.

Como verificar: acesse o site público. A política precisa estar no rodapé de cada página, acessível sem login, e mencionar os pontos acima.

Falha típica: política copiada de um modelo genérico, que não cita os operadores reais (item 4) nem o encarregado real (item 5).

7. Procedimento documentado para responder a direitos do titular

O que: Os titulares têm direitos previstos no art. 18 da LGPD — confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação do consentimento. Quando o paciente pede “quero saber quais dados vocês têm sobre mim”, a clínica precisa responder em até 15 dias.

Como verificar: existe procedimento escrito? Há um e-mail único para receber as solicitações (em geral encarregado@clinica.com.br)? Existe registro das solicitações e das respostas?

Falha típica: ninguém sabe qual é o procedimento; a solicitação cai no e-mail geral; a resposta demora 30 dias ou simplesmente não sai.

8. Criptografia em trânsito e em repouso para dados de saúde

O que: Dados de saúde são pessoais sensíveis nos termos do art. 5º, II da LGPD. Precisam estar criptografados em trânsito (HTTPS obrigatório no acesso ao prontuário) e em repouso (banco criptografado, com chave sob controle da clínica ou de um operador qualificado). O CFM, via Resolução nº 1.821/2007, também exige o Selo SBIS-CFM para prontuários eletrônicos com nível de garantia adequado.

Como verificar: o site público serve HTTPS? E o prontuário eletrônico interno? Se é SaaS, o operador declara criptografia em repouso no contrato?

Falha típica: o site público é HTTPS, mas a ferramenta interna roda em HTTP, com dados em claro. Ou o banco não está criptografado e um roubo de servidor expõe todos os registros de uma vez.

9. Controle de acesso por perfil (nem todo mundo vê tudo)

O que: A recepcionista não precisa ver o histórico clínico completo. O médico, sim. O gerente costuma precisar de números agregados, não de detalhes. Os acessos precisam estar segmentados por perfil — princípio da necessidade, no art. 6º, III da LGPD.

Como verificar: ao abrir o sistema com o usuário da recepcionista, dá para ver “histórico clínico”? Se sim, falta segmentação.

Falha típica: todo mundo tem acesso a tudo. Aceitável em consultório de uma pessoa só, problemático a partir de 5 pessoas na equipe.

10. Registro das operações de tratamento (art. 37 da LGPD)

O que: Documento interno exigido pelo art. 37 da LGPD. Lista cada operação de tratamento: nome, finalidade, base legal, categorias de dados, prazo de conservação, medidas de segurança, eventual transferência internacional. Numa clínica típica, dá de 8 a 12 operações distintas.

Como verificar: o documento existe? Foi atualizado no último ano? A diretoria consegue apresentá-lo em menos de 5 minutos quando a ANPD pedir?

Falha típica: nunca foi feito. Uma das falhas mais frequentes nas primeiras fiscalizações — muitas clínicas só descobrem a obrigação quando recebem a notificação.

11. Plano de resposta a incidentes de segurança

O que: Se o sistema for invadido, ou um pendrive com dados de pacientes sumir, a clínica precisa comunicar a ANPD e os titulares afetados em prazo razoável (a Resolução CD/ANPD nº 15/2024 fixa até 3 dias úteis). O procedimento precisa estar definido antes — não dá para improvisar no dia.

Como verificar: existe plano escrito? Quem comunica (em geral o encarregado/DPO)? Há modelo de notificação pronto para enviar pelo formulário oficial da ANPD?

Falha típica: ninguém pensou nisso até o incidente acontecer. A comunicação acaba saindo 10 dias depois, o que agrava a sanção.

Como o Zellbox cumpre os 11 pontos por padrão

O Zellbox foi pensado, desde o primeiro dia, para atender LGPD + ANPD em clínicas brasileiras. O que ele entrega de forma nativa:

• Consentimentos assinados (itens 1, 2, 3) — enviados pela ficha do paciente, assinados com o dedo no celular, armazenados como PDF no prontuário com trilha de auditoria. Distinção clara entre consentimento operacional e de marketing, como documentos separados.
• Contratos de operador (item 4) — o Zellbox assina contrato de operador com a sua clínica no cadastro; os nossos suboperadores (AWS, Meta, Google, Stripe) têm contratos publicados.
• Encarregado/DPO (item 5) — o painel guarda os dados do encarregado e os publica automaticamente na política de privacidade gerada pelo Zellbox.
• Política de privacidade (item 6) — modelo personalizável com os seus dados legais e os suboperadores específicos.
• Atendimento a direitos do titular (item 7) — endpoint integrado no painel; cada pedido e cada resposta ficam registrados com data, hora e responsável.
• Criptografia em trânsito e em repouso (item 8) — HTTPS obrigatório, chaves KMS dedicadas por cliente, banco criptografado em repouso.
• Acesso por perfil (item 9) — papéis admin/membro com permissões diferenciadas.
• Registro de operações de tratamento (item 10) — modelo pré-preenchido com as operações típicas de uma clínica brasileira.
• Plano de incidentes (item 11) — procedimento integrado de comunicação à ANPD pelo encarregado registrado na conta.

→ Comece grátis com o Zellbox (plano gratuito, sem cartão) → Calculadora de impacto de no-show → Política de privacidade do Zellbox — modelo de referência → Comparativos: Callbell vs Zellbox, AgendaPro vs Zellbox, Doctolib vs Zellbox

O resumo sem rodeios

A ANPD não fiscaliza “por azar” — ela fiscaliza por (a) denúncia formal de um titular, (b) base de pacientes acima de um certo porte, ou (c) amostragem setorial do programa anual. As duas primeiras dá para evitar com higiene operacional; a terceira é probabilidade pura.

Se os 11 pontos estiverem cobertos antes de o fiscal aparecer, a fiscalização se encerra com auto positivo. Se três ou mais falharem, há sanção independentemente do porte — e a multa-teto de R$ 50 milhões ou 2% do faturamento por infração não é só teoria: a ANPD já aplicou sanções a operadoras de saúde e clínicas desde o início do ciclo fiscalizatório, em 2023.

A diferença entre conformidade real e aparente está em saber se os consentimentos estão assinados e arquivados no prontuário (real) ou guardados numa pasta de papel, sem digitalizar (aparente — e falha na primeira fiscalização).

→ Leia também: Callbell vs Zellbox para clínicas.

Sobre o autor: Nacho Coll é fundador do Zellbox. Escreve sobre automação de WhatsApp Business para pequenas e médias empresas com agenda por hora marcada.