LGPD e Software de Clínica: Penalidades para Quem Não se Adequar

Clínicas que tratam dados de pacientes em software sem conformidade com a Lei Geral de Proteção de Dados (LGPD) estão expostas a multas de até R$ 50 milhões por infração, suspensão das operações de tratamento de dados e publicização da infração. Dados de saúde são dados pessoais sensíveis pela lei e só podem ser tratados nas hipóteses do artigo 11.

LGPD e software de clínica não é um tema de TI. É uma responsabilidade jurídica da própria clínica como controladora dos dados dos pacientes. Isso significa que, quando um sistema armazena prontuários, agendamentos, pagamentos ou qualquer dado identificável de um paciente, a clínica responde pela conformidade, independentemente de quem desenvolveu o software. O fornecedor do software, como operador, também está sujeito às sanções da lei.

As sanções administrativas da LGPD valem desde 1º de agosto de 2021 (art. 65, I-A), e a Agência Nacional de Proteção de Dados (ANPD) aplicou a primeira multa por descumprimento da lei em julho de 2023. O setor de saúde trata dados sensíveis, e a ANPD inclui a utilização de dados pessoais sensíveis entre os critérios específicos de tratamento de alto risco (Resolução CD/ANPD nº 2/2022, art. 4º).

Quais são as penalidades da LGPD para clínicas?

A ANPD pode aplicar nove sanções administrativas, listadas no artigo 52 da LGPD (os incisos VII a IX foram vetados). As sanções são aplicadas de forma gradativa, isolada ou cumulativa, conforme o caso (art. 52, § 1º). A suspensão e a proibição dos incisos X a XII só vêm depois de aplicada ao menos uma das sanções dos incisos II a VI no mesmo caso (art. 52, § 6º).

Para clínicas, a suspensão ou a proibição do tratamento de dados é a pena mais grave na prática: significa não poder acessar prontuários, agendamentos e histórico de pacientes enquanto a infração não for resolvida. Uma clínica com 500 atendimentos mensais pode ficar operacionalmente paralisada.

Por que dados de saúde têm proteção especial na LGPD?

O dado de saúde é definido como dado pessoal sensível pelo artigo 5º, inciso II da LGPD, junto aos dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, vida sexual e dados genéticos ou biométricos. O artigo 11 só permite tratar dados sensíveis com consentimento do titular, de forma específica e destacada, para finalidades específicas (inciso I), ou, sem consentimento, quando o tratamento for indispensável para: cumprimento de obrigação legal ou regulatória pelo controlador; execução de políticas públicas pela administração pública; estudos por órgão de pesquisa; exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; proteção da vida ou da incolumidade física do titular ou de terceiro; tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou prevenção à fraude e segurança do titular na identificação e autenticação de cadastro em sistemas eletrônicos (inciso II).

Na prática, isso significa que uma clínica não pode simplesmente guardar prontuários "porque sempre fez assim". Cada tratamento precisa se apoiar em uma dessas hipóteses, e documentar qual é ela ajuda a demonstrar a conformidade: qual é a base? Se for o consentimento, onde ele está registrado? Quanto tempo esse dado será mantido? Quem tem acesso?

O Guia orientativo de segurança da informação para agentes de tratamento de pequeno porte, da ANPD, cita serviços de saúde como exemplo de negócio que trata dados sensíveis. Ele sugere controle de acesso com níveis de permissão conforme a necessidade de cada usuário, com autenticação, autorização e auditoria do que cada um faz, e, para quem armazena dados sensíveis, técnicas como a criptografia.

Quais erros de software mais geram infrações em clínicas?

A maioria das infrações em clínicas não acontece por negligência intencional. Acontece porque o software em uso não foi projetado com a LGPD em mente — e a clínica não sabia o que exigir do fornecedor. Os cinco problemas mais comuns:

1. Ausência de controle de acesso por função: recepcionista vê prontuário clínico completo; médico acessa dados financeiros. Sem segregação de acesso, qualquer funcionário pode visualizar mais dados do que precisa, contra o princípio da necessidade da LGPD (art. 6º, III).

2. Dados sem criptografia em repouso: banco de dados de prontuários armazenado sem criptografia. Se houver invasão ou vazamento, o dano é imediato e documentado.

3. Sem registro de atividades de tratamento (ROPA): a LGPD exige que controlador e operador mantenham registro das operações de tratamento de dados pessoais que realizarem (art. 37). Software sem esse relatório dificulta a conformidade documental.

4. Sem processo para solicitações de titulares (DSAR): paciente tem direito a acessar, corrigir ou solicitar exclusão de seus dados. A LGPD dá 15 dias, contados do requerimento, para a declaração completa sobre os dados do titular (art. 19, II).

5. Compartilhamento de dados sem DPA assinado: integrar o software a plataformas de telemedicina, prescrição digital ou marketplaces de saúde sem um Acordo de Processamento de Dados (DPA) deixa a clínica sem registro das instruções que deu a cada fornecedor. Pela LGPD, o operador trata os dados segundo as instruções do controlador, que verifica se elas são cumpridas (art. 39).

O checklist de conformidade LGPD para software de clínica detalha como verificar cada um desses pontos com seu fornecedor atual.

Como a ANPD investiga uma clínica?

Pelo Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2021), o processo sancionador pode ser instaurado de ofício, em decorrência do monitoramento, que reúne requerimentos e comunicações de incidentes, ou diante de um requerimento, como a denúncia ou a petição de um paciente (arts. 4º e 37). O artigo 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular o incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais (arts. 6º e 9º). O prazo conta em dobro para agentes de pequeno porte que não realizem tratamento de alto risco (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º; Resolução CD/ANPD nº 2/2022, arts. 3º e 14). Um incidente com dados sensíveis entra nesse dever quando puder afetar significativamente interesses e direitos fundamentais dos titulares (art. 5º).

Numa fiscalização, a ANPD pode pedir documentos. Ter estes registros organizados ajuda na defesa:

• Registro de atividades de tratamento (mapeamento de dados)
• Bases legais documentadas para cada tratamento
• Política de privacidade publicada e atualizada
• Evidências de medidas de segurança técnica (logs, criptografia, controle de acesso)
• Evidências de DPA com fornecedores de software e integrações
• Registros de treinamento da equipe em privacidade
• Identificação do encarregado (DPO) ou, para o agente de pequeno porte dispensado de indicá-lo por não realizar tratamento de alto risco, o canal de comunicação com o titular

Segundo o Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD (Resolução CD/ANPD nº 4/2023), a multa simples é reduzida por circunstâncias atenuantes: cessação da infração, política de boas práticas e de governança, medidas que revertam ou mitiguem os efeitos da infração sobre os titulares e cooperação ou boa-fé do infrator (art. 13). Estar documentado ajuda — mesmo quando há falha.

O que um software de clínica deve ter para ser LGPD-compliant?

A conformidade não depende de um único recurso. É uma combinação de funcionalidades técnicas no software e processos administrativos na clínica. Antes de contratar ou renovar um sistema, avalie os seguintes itens com o fornecedor:

Para clínicas que já usam um sistema e querem saber onde estão, o post sobre como verificar a conformidade LGPD do software da sua clínica traz um roteiro prático com perguntas para enviar ao fornecedor.

A clínica é responsável mesmo usando software de terceiro?

Sim — e esse é o ponto que mais surpreende gestores de clínicas. A LGPD distingue dois papéis: o controlador, a quem competem as decisões referentes ao tratamento de dados pessoais (art. 5º, VI), e o operador, que realiza o tratamento em nome do controlador (art. 5º, VII). A clínica é a controladora. O fornecedor do software é o operador.

Se o operador, o fornecedor do sistema, sofre um incidente, a clínica continua responsável como controladora: é dela o dever de comunicar o incidente à ANPD e aos titulares (art. 48). O artigo 46 exige que os agentes de tratamento, controlador e operador, adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados, e, pelo artigo 39, cabe ao controlador verificar se o operador segue as suas instruções. O operador também responde: quando descumpre a lei ou as instruções lícitas do controlador, responde solidariamente pelos danos, equiparado ao controlador (art. 42, § 1º, I).

Isso tem consequência prática: não basta que o software diga que é "conforme a LGPD" no site. A clínica precisa de documentação que comprove isso — o DPA assinado, a política de privacidade do fornecedor, evidências de certificações de segurança (ISO 27001, SOC 2) e cláusulas contratuais de notificação em caso de incidente.

No prontuário eletrônico do ByDoctor, que atua como operador dos dados das clínicas, o DPA está disponível para clínicas que o solicitam por [email protected], os dados ficam cifrados em repouso (AES-256) e a trilha de auditoria registra autor, data e conteúdo de cada alteração, como descrevem as páginas de LGPD e de compliance. São recursos que ajudam a responder a uma fiscalização da ANPD com documentação pronta.

Perguntas frequentes sobre LGPD e software de clínica

Qual é a multa máxima da LGPD para clínicas médicas?

A multa simples vai até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II, da LGPD). Na aplicação das sanções, a ANPD considera a gravidade e a natureza das infrações e dos direitos pessoais afetados (art. 52, § 1º, I), e a lei prevê também a publicização da infração e a suspensão do tratamento de dados.

Dados de saúde do paciente exigem tratamento especial pela LGPD?

Sim. O artigo 5º, II da LGPD classifica dados de saúde como dados pessoais sensíveis. O artigo 11 só permite tratá-los com consentimento específico e destacado do titular, para finalidades específicas, ou sem consentimento quando o tratamento for indispensável para uma das hipóteses do inciso II, entre elas o cumprimento de obrigação legal ou regulatória e a tutela da saúde em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Tratar dado de saúde fora dessas hipóteses contraria a lei.

Um software de clínica precisa ter DPO (Encarregado)?

A LGPD manda o controlador indicar um encarregado (DPO) e divulgar publicamente a identidade e o contato dele, preferencialmente no site (art. 41). A clínica é a controladora dos dados dos seus pacientes; para o fornecedor do software, que é operador, a indicação é facultativa (Resolução CD/ANPD nº 18/2024, art. 6º). Agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e pessoas naturais com receita bruta dentro do limite da Lei Complementar nº 123/2006 e fora de grupo econômico que o ultrapasse, não são obrigados a indicar encarregado, mas precisam manter um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, arts. 2º, 3º e 11). A dispensa não vale para quem realiza tratamento de alto risco (art. 3º, I): é de alto risco o tratamento que atende a pelo menos um critério geral, como larga escala ou a possibilidade de afetar significativamente interesses e direitos fundamentais dos titulares, e a um critério específico, como o uso de dados pessoais sensíveis (art. 4º). Dado de saúde é dado sensível; a clínica que também atende a um critério geral não tem a dispensa. A ANPD pode ainda exigir as obrigações dispensadas conforme os riscos para os titulares (art. 16). O encarregado pode ser um funcionário, uma pessoa externa ou uma empresa (Resolução CD/ANPD nº 18/2024, art. 12).

O que a ANPD verifica primeiro ao investigar uma clínica?

Seja qual for a ordem da fiscalização, os registros que a LGPD exige e que a clínica deve ter prontos são: a base legal de cada tratamento (arts. 7º e 11), o registro das operações de tratamento, ou ROPA (art. 37), o atendimento às solicitações dos titulares, ou DSAR (arts. 18 e 19), e as medidas de segurança adotadas no software utilizado (art. 46).

Minha clínica pode ser punida por falha do software contratado?

Sim. A clínica é a controladora dos dados e responde pela conformidade, mesmo quando usa software de terceiros: é dela, por exemplo, o dever de comunicar incidentes à ANPD e aos titulares (art. 48). O fornecedor, como operador, também é agente de tratamento sujeito às sanções (art. 52) e responde solidariamente pelos danos quando descumpre a lei ou as instruções lícitas da clínica (art. 42, § 1º, I). Por isso, contrate fornecedores com DPA assinado, que registre essas instruções, e com evidências de segurança.

Resumo

Em resumo: clínicas que operam com software sem conformidade LGPD estão expostas a multas de até R$ 50 milhões por infração, suspensão do tratamento de dados e publicização da infração. A clínica responde como controladora, mesmo usando software de terceiro, e o fornecedor responde como operador. Dados de saúde pedem uma das bases legais do artigo 11, controle de acesso, criptografia, logs de auditoria e DPA assinado com o software contratado.

O primeiro passo prático é revisar o contrato com o seu fornecedor de software e solicitar o DPA. Se ele não existir ou o fornecedor não souber o que é, isso já é um sinal de alerta. O ByDoctor oferece prontuário eletrônico, agendamento e gestão financeira com a conformidade LGPD documentada nas páginas de LGPD e de compliance: DPA para clínicas que o solicitam por [email protected], criptografia em repouso e em trânsito e, em todos os planos, controle de acesso por perfil e registro de auditoria.