A Lei 13.709/2018 classifica dado de saúde como dado pessoal sensível (art. 5º, II, e art. 11). Isso eleva o nível de cuidado exigido de qualquer clínica, independentemente do tamanho.
As obrigações que mais aparecem em fiscalização
- Finalidade definida: cada dado coletado precisa ter razão de existir no cadastro.
- Necessidade de acesso: recepção não acessa conteúdo clínico; profissional acessa o paciente que atende.
- Registro de operações: quem abriu, alterou ou exportou prontuário, e quando.
- Segurança técnica: controle de acesso no banco de dados, transporte cifrado, backup.
- Comunicação de incidente à ANPD e aos titulares quando houver risco relevante.
Consentimento não é o único caminho
Para o próprio cuidado em saúde, a lei admite tratamento sem consentimento específico (art. 11, II, 'f'). Já para divulgação, marketing e envio de comunicação promocional, o consentimento é necessário, específico e revogável.
Direitos do paciente
Ele pode pedir acesso ao próprio prontuário, cópia e correção de dado incorreto. Acesso ao prontuário não pode ser negado por pendência financeira: é obrigação de guarda e direito do titular, não instrumento de cobrança.
Onde as clínicas erram mais
Planilha de pacientes no computador da recepção, grupo de WhatsApp com nome de paciente e senha compartilhada entre a equipe. Os três são incidentes esperando data.