Como Verificar se o Software da Sua Clínica está em Conformidade com LGPD
Para verificar se o software da sua clínica está em conformidade com a LGPD, você precisa fazer quatro coisas: solicitar o Acordo de Processamento de Dados (DPA) ao fornecedor, confirmar os controles técnicos de segurança, testar o fluxo de consentimento de pacientes e simular uma solicitação de direitos do titular. A ausência de qualquer um desses elementos já configura risco legal para a clínica.
Conformidade LGPD em software clínica é o conjunto de medidas técnicas, contratuais e organizacionais que garantem que o tratamento de dados pessoais de pacientes — armazenados no sistema de gestão — está alinhado com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). Para clínicas, o nível de exigência é maior: dados de saúde são classificados como sensíveis pelo art. 11 da LGPD e exigem base legal reforçada.
Segundo a Autoridade Nacional de Proteção de Dados (ANPD), qualquer estabelecimento que processe dados de saúde — inclusive consultórios individuais — está sujeito às sanções previstas, que chegam a R$ 50 milhões por infração. O problema prático é que muitas clínicas delegam a conformidade ao fornecedor sem verificar de forma ativa. Este guia mostra como fazer essa verificação em cinco passos.
Passo 1: Confirme o contrato com o fornecedor (DPA)
O primeiro ponto de verificação é documental, não técnico. A LGPD diferencia o controlador — a clínica, que decide a finalidade do tratamento dos dados — do operador — o fornecedor do software, que processa os dados por conta da clínica. O art. 39 exige que o operador trate dados apenas conforme as instruções do controlador, e essa relação precisa estar formalizada em contrato.
Peça ao fornecedor o DPA (Data Processing Agreement) ou Acordo de Processamento de Dados. Esse documento deve conter:
- A identificação clara da clínica como controladora e do fornecedor como operador
- Quais dados são tratados e para quais finalidades
- Prazo de guarda e protocolo de eliminação após o fim do contrato
- Obrigação de notificação em caso de incidente de segurança
- Proibição de subcontratação de operadores sem anuência prévia da clínica
Se o fornecedor não souber o que é um DPA ou disser que o contrato padrão "já cobre tudo", considere isso um sinal de alerta. Sem DPA, você está juridicamente desprotegido na eventualidade de um incidente causado pelo software. Para entender melhor o que a LGPD exige especificamente de softwares médicos, o post sobre LGPD em clínicas médicas: o que é e como afeta seu software detalha as obrigações legais de base.
Passo 2: Avalie os controles técnicos de segurança
Conformidade LGPD não se prova apenas com documentos. Existem requisitos técnicos que o software precisa implementar de forma verificável. O art. 46 da LGPD exige medidas de segurança "aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas".
Solicite ao fornecedor respostas escritas para estas perguntas:
| Controle técnico | O que verificar | Risco se ausente |
|---|---|---|
| Criptografia em trânsito | TLS 1.2 ou superior em todas as conexões (confirme no certificado do domínio) | Interceptação de dados em redes públicas ou Wi-Fi da recepção |
| Criptografia em repouso | Banco de dados e backups criptografados (AES-256 ou equivalente) | Acesso direto a dados em caso de invasão ao servidor |
| Logs de acesso | Registro individual por usuário: quem acessou qual prontuário e quando | Impossibilidade de rastrear vazamento interno |
| Autenticação multifator (MFA) | MFA disponível — idealmente obrigatório para administradores | Vulnerabilidade a invasões por senha fraca ou reutilizada |
| Controle de permissões por perfil | Recepcionista não acessa prontuário completo; médico não acessa financeiro de outros | Acesso desnecessário a dados sensíveis por funcionários sem necessidade profissional |
| Localização dos servidores | Dados armazenados no Brasil ou em país com nível de proteção equivalente | Transferência internacional sem respaldo legal nos termos do art. 33 da LGPD |
Peça documentação ou laudo técnico para cada item — não apenas afirmações verbais. Fornecedores sérios têm essas informações no Política de Segurança da Informação ou no próprio DPA. Você também pode usar o guia de segurança da ANPD como base de referência para avaliar as respostas.
Como testar o fluxo de consentimento na prática?
O consentimento para dados de saúde precisa ser explícito, registrado e revogável. Não basta ter uma cláusula no contrato de prestação de serviços: a LGPD exige que o paciente consinta especificamente para o tratamento de dados sensíveis e que a clínica consiga provar isso caso a ANPD solicite.
Faça este teste com um cadastro fictício de paciente no sistema:
- Cadastro inicial: o sistema apresenta aviso de privacidade antes de coletar dados? O texto informa a finalidade do tratamento, o prazo de guarda e os direitos do titular?
- Registro de consentimento: ao finalizar o cadastro, o sistema gera um registro com data, hora e o texto que o paciente aceitou? Esse registro fica auditável?
- Revogação: existe um caminho no sistema para registrar que o paciente revogou o consentimento? A revogação impede novos acessos ou novos usos dos dados?
- Atualização de dados: o paciente consegue corrigir seus dados por algum canal documentado (portal, formulário, atendimento registrado)?
Se o sistema não tiver nenhum desses fluxos nativos, a clínica precisa implementar controles paralelos — formulários impressos assinados, e-mails com confirmação explícita — e mantê-los arquivados. O checklist completo de conformidade LGPD para software de clínica lista 32 itens que podem complementar essa verificação interna.
Passo 4: Simule o exercício dos direitos dos titulares
A LGPD dá aos pacientes o direito de acessar, corrigir, portabilizar, anonimizar e excluir seus dados. A clínica tem 15 dias para responder a essas solicitações. Mas quem executa a operação tecnicamente é o fornecedor do software. Se ele não conseguir fazer isso de forma rastreável, você está com um passivo real.
Simule o processo completo de exclusão de dados para um paciente fictício:
- Solicite ao fornecedor a remoção dos dados de um cadastro de teste
- Peça confirmação escrita de que os dados foram excluídos dos servidores de produção e dos backups
- Verifique se os logs de acesso anterior ao cadastro excluído também foram removidos (ou anonimizados, dependendo da base legal)
- Confirme o prazo: sistemas bem estruturados executam isso em até 5 dias úteis
Muitos fornecedores executam a exclusão no banco principal mas esquecem os backups ou as tabelas de auditoria. Isso não configura exclusão completa nos termos da LGPD. Se o fornecedor não conseguir demonstrar o processo com evidência, exija um SLA escrito para esse tipo de demanda.
Passo 5: Confirme o plano de resposta a incidentes
O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares afetados qualquer incidente que possa acarretar risco ou dano relevante. O prazo: 2 dias úteis após a confirmação do incidente. O fornecedor precisa ter um protocolo escrito para isso — não uma promessa verbal de que "vão avisar caso aconteça algo".
Peça ao fornecedor os seguintes documentos:
- Política de Resposta a Incidentes (Incident Response Policy): descreve as etapas de contenção, investigação e comunicação
- Histórico de incidentes reportados (últimos 24 meses): transparência aqui é sinal positivo — fornecedores que nunca tiveram um incidente reportado, em qualquer categoria, são raros e essa afirmação merece questionamento
- Contato direto do DPO ou responsável pela privacidade: para acionar em caso de emergência fora do horário comercial
Alguns fornecedores de software médico operam sem Encarregado de Dados (DPO) nomeado. A ANPD não exige DPO para empresas de pequeno porte nos termos da Resolução CD/ANPD nº 2/2022, mas a ausência de um ponto de contato interno para privacidade complica o atendimento das suas obrigações como clínica controladora.
Perguntas frequentes sobre conformidade LGPD em software de clínica
O que é um DPA e por que toda clínica precisa ter um com o fornecedor do software?
DPA (Data Processing Agreement) é o contrato formal que define as responsabilidades de cada parte no tratamento dos dados dos pacientes. A LGPD exige esse documento no art. 39. Sem o DPA assinado, a clínica responde sozinha por eventuais irregularidades no tratamento de dados feito pelo software — mesmo que a falha seja do fornecedor.
Minha clínica pode ser multada mesmo sem ter sofrido um vazamento de dados?
Sim. A ANPD pode autuar por descumprimento de obrigação preventiva — ausência de política de privacidade publicada, falta de consentimento documentado ou não atendimento de solicitação de titular dentro do prazo. As multas chegam a 2% do faturamento anual, limitadas a R$ 50 milhões por infração, independentemente de incidente.
Com que frequência devo fazer a auditoria LGPD do software da minha clínica?
Pelo menos uma vez por ano. Refaça também sempre que o fornecedor atualizar a plataforma, mudar a infraestrutura de servidores ou alterar a Política de Privacidade. Atualizações de versão podem introduzir novos fluxos de dados não mapeados — e com eles novos riscos de conformidade que você não cobriu na auditoria anterior.
Dados de saúde exigem cuidados extras além da LGPD padrão?
Sim. O art. 11 da LGPD classifica dados de saúde como dados sensíveis. O tratamento exige consentimento explícito ou base legal específica (como tutela da saúde por profissional habilitado). O software deve registrar qual base legal foi aplicada em cada tratamento — e o médico ou gestor precisa saber apontar isso em caso de fiscalização.
O que fazer se o fornecedor não conseguir responder às perguntas de conformidade?
Documente as perguntas e a ausência de resposta por escrito (e-mail com leitura confirmada serve). Isso limita a responsabilidade da clínica em caso de autuação futura. Em seguida, avalie a migração para um software que ofereça DPA, documentação técnica e ponto de contato de privacidade. A responsabilidade legal permanece sua, mas o risco operacional aumenta quando o fornecedor não coopera.
Resumo
Verificar a conformidade LGPD do software da sua clínica exige cinco verificações práticas: DPA assinado com o fornecedor, confirmação de controles técnicos documentados (criptografia, logs, MFA), teste do fluxo de consentimento de pacientes, simulação do exercício de direitos dos titulares e análise do plano de resposta a incidentes. Nenhuma dessas etapas depende de conhecimento jurídico avançado — mas todas precisam ser feitas de forma ativa, não assumidas.
O ByDoctor foi desenvolvido com conformidade LGPD desde a arquitetura: criptografia em repouso e em trânsito, controle de permissões por perfil, registro de consentimento de pacientes e DPA disponível para todos os clientes. Para saber como o software pode ajudar sua clínica a operar dentro da lei enquanto simplifica a gestão, conheça as funcionalidades ou acesse diretamente a demonstração gratuita.