Clínicas que tratam dados de pacientes em software sem conformidade com a Lei Geral de Proteção de Dados (LGPD) estão expostas a multas de até R$ 50 milhões por infração, suspensão das operações de tratamento de dados e publicização da infração. Dados de saúde são dados pessoais sensíveis pela lei e só podem ser tratados nas hipóteses do artigo 11.

LGPD e software de clínica não é um tema de TI. É uma responsabilidade jurídica da própria clínica como controladora dos dados dos pacientes. Isso significa que, quando um sistema armazena prontuários, agendamentos, pagamentos ou qualquer dado identificável de um paciente, a clínica responde pela conformidade, independentemente de quem desenvolveu o software. O fornecedor do software, como operador, também está sujeito às sanções da lei.

As sanções administrativas da LGPD valem desde 1º de agosto de 2021 (art. 65, I-A), e a Agência Nacional de Proteção de Dados (ANPD) aplicou a primeira multa por descumprimento da lei em julho de 2023. O setor de saúde trata dados sensíveis, e a ANPD inclui a utilização de dados pessoais sensíveis entre os critérios específicos de tratamento de alto risco (Resolução CD/ANPD nº 2/2022, art. 4º).

Médica revisando conformidade LGPD em software de gestão clínica em consultório moderno

## Quais são as penalidades da LGPD para clínicas?

A ANPD pode aplicar nove sanções administrativas, listadas no artigo 52 da LGPD (os incisos VII a IX foram vetados). As sanções são aplicadas de forma gradativa, isolada ou cumulativa, conforme o caso (art. 52, § 1º). A suspensão e a proibição dos incisos X a XII só vêm depois de aplicada ao menos uma das sanções dos incisos II a VI no mesmo caso (art. 52, § 6º).

Sanção	O que significa na prática	Gravidade
Advertência (inciso I)	Com indicação de prazo para adoção de medidas corretivas.	Baixa
Multa simples (inciso II)	Até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.	Alta
Multa diária (inciso III)	Aplicada para garantir o cumprimento, em prazo certo, de uma sanção não pecuniária ou de uma determinação da ANPD; acumulada até o limite total de R$ 50 milhões por infração (Resolução CD/ANPD nº 4/2023, art. 16).	Alta
Publicização da infração (inciso IV)	Divulgação da infração depois de apurada e confirmada. Impacto direto na reputação com pacientes.	Muito alta
Bloqueio dos dados (inciso V)	Bloqueio dos dados pessoais a que se refere a infração até a sua regularização.	Muito alta
Eliminação dos dados (inciso VI)	Eliminação dos dados pessoais a que se refere a infração.	Muito alta
Suspensão parcial do banco de dados (inciso X)	Suspensão parcial do funcionamento do banco de dados a que se refere a infração por até 6 meses, prorrogáveis por igual período, até a regularização.	Crítica
Suspensão da atividade de tratamento (inciso XI)	Suspensão do exercício da atividade de tratamento dos dados a que se refere a infração por até 6 meses, prorrogáveis por igual período.	Crítica
Proibição de tratamento (inciso XII)	Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.	Crítica

Para clínicas, a suspensão ou a proibição do tratamento de dados é a pena mais grave na prática: significa não poder acessar prontuários, agendamentos e histórico de pacientes enquanto a infração não for resolvida. Uma clínica com 500 atendimentos mensais pode ficar operacionalmente paralisada.

## Por que dados de saúde têm proteção especial na LGPD?

O dado de saúde é definido como dado pessoal sensível pelo artigo 5º, inciso II da LGPD, junto aos dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, vida sexual e dados genéticos ou biométricos. O artigo 11 só permite tratar dados sensíveis com consentimento do titular, de forma específica e destacada, para finalidades específicas (inciso I), ou, sem consentimento, quando o tratamento for indispensável para: cumprimento de obrigação legal ou regulatória pelo controlador; execução de políticas públicas pela administração pública; estudos por órgão de pesquisa; exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; proteção da vida ou da incolumidade física do titular ou de terceiro; tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou prevenção à fraude e segurança do titular na identificação e autenticação de cadastro em sistemas eletrônicos (inciso II).

Na prática, isso significa que uma clínica não pode simplesmente guardar prontuários "porque sempre fez assim". Cada tratamento precisa se apoiar em uma dessas hipóteses, e documentar qual é ela ajuda a demonstrar a conformidade: qual é a base? Se for o consentimento, onde ele está registrado? Quanto tempo esse dado será mantido? Quem tem acesso?

O Guia orientativo de segurança da informação para agentes de tratamento de pequeno porte, da ANPD, cita serviços de saúde como exemplo de negócio que trata dados sensíveis. Ele sugere controle de acesso com níveis de permissão conforme a necessidade de cada usuário, com autenticação, autorização e auditoria do que cada um faz, e, para quem armazena dados sensíveis, técnicas como a criptografia.

Tela de software de clínica mostrando controle de acesso e logs de auditoria para conformidade LGPD

## Quais erros de software mais geram infrações em clínicas?

A maioria das infrações em clínicas não acontece por negligência intencional. Acontece porque o software em uso não foi projetado com a LGPD em mente — e a clínica não sabia o que exigir do fornecedor. Os cinco problemas mais comuns:

Ausência de controle de acesso por função: recepcionista vê prontuário clínico completo; médico acessa dados financeiros. Sem segregação de acesso, qualquer funcionário pode visualizar mais dados do que precisa, contra o princípio da necessidade da LGPD (art. 6º, III).
Dados sem criptografia em repouso: banco de dados de prontuários armazenado sem criptografia. Se houver invasão ou vazamento, o dano é imediato e documentado.
Sem registro de atividades de tratamento (ROPA): a LGPD exige que controlador e operador mantenham registro das operações de tratamento de dados pessoais que realizarem (art. 37). Software sem esse relatório dificulta a conformidade documental.
Sem processo para solicitações de titulares (DSAR): paciente tem direito a acessar, corrigir ou solicitar exclusão de seus dados. A LGPD dá 15 dias, contados do requerimento, para a declaração completa sobre os dados do titular (art. 19, II).
Compartilhamento de dados sem DPA assinado: integrar o software a plataformas de telemedicina, prescrição digital ou marketplaces de saúde sem um Acordo de Processamento de Dados (DPA) deixa a clínica sem registro das instruções que deu a cada fornecedor. Pela LGPD, o operador trata os dados segundo as instruções do controlador, que verifica se elas são cumpridas (art. 39).

O checklist de conformidade LGPD para software de clínica detalha como verificar cada um desses pontos com seu fornecedor atual.

## Como a ANPD investiga uma clínica?

Pelo Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2021), o processo sancionador pode ser instaurado de ofício, em decorrência do monitoramento, que reúne requerimentos e comunicações de incidentes, ou diante de um requerimento, como a denúncia ou a petição de um paciente (arts. 4º e 37). O artigo 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular o incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais (arts. 6º e 9º). O prazo conta em dobro para agentes de pequeno porte que não realizem tratamento de alto risco (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º; Resolução CD/ANPD nº 2/2022, arts. 3º e 14). Um incidente com dados sensíveis entra nesse dever quando puder afetar significativamente interesses e direitos fundamentais dos titulares (art. 5º).

Numa fiscalização, a ANPD pode pedir documentos. Ter estes registros organizados ajuda na defesa:

Registro de atividades de tratamento (mapeamento de dados)
Bases legais documentadas para cada tratamento
Política de privacidade publicada e atualizada
Evidências de medidas de segurança técnica (logs, criptografia, controle de acesso)
Evidências de DPA com fornecedores de software e integrações
Registros de treinamento da equipe em privacidade
Identificação do encarregado (DPO) ou, para o agente de pequeno porte dispensado de indicá-lo por não realizar tratamento de alto risco, o canal de comunicação com o titular

Segundo o Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD (Resolução CD/ANPD nº 4/2023), a multa simples é reduzida por circunstâncias atenuantes: cessação da infração, política de boas práticas e de governança, medidas que revertam ou mitiguem os efeitos da infração sobre os titulares e cooperação ou boa-fé do infrator (art. 13). Estar documentado ajuda — mesmo quando há falha.

## O que um software de clínica deve ter para ser LGPD-compliant?

A conformidade não depende de um único recurso. É uma combinação de funcionalidades técnicas no software e processos administrativos na clínica. Antes de contratar ou renovar um sistema, avalie os seguintes itens com o fornecedor:

Requisito	O que verificar no software	Impacto em caso de ausência
Controle de acesso por perfil	Cada usuário acessa somente o que sua função exige	Contraria o princípio da necessidade (art. 6º, III)
Criptografia em repouso e em trânsito	Banco de dados e comunicações protegidos por TLS/AES-256 ou equivalente	Risco crítico em caso de vazamento
Logs de auditoria	Rastreabilidade de quem acessou, modificou ou exportou dados	Impossibilidade de provar conformidade em investigação
DPA disponível para assinar	Contrato de operador LGPD com cláusulas de subcontratação, incidente e exclusão	Sem registro das instruções dadas ao operador (art. 39)
Exportação/exclusão de dados do titular	Funcionalidade para atender DSAR: exportar ou anonimizar dados de um paciente específico	Impossibilidade de cumprir direitos do titular em prazo
Relatório de atividades de tratamento	Mapeamento de quais dados são tratados, com quais finalidades	Documentação insuficiente para defesa em processo ANPD

Para clínicas que já usam um sistema e querem saber onde estão, o post sobre como verificar a conformidade LGPD do software da sua clínica traz um roteiro prático com perguntas para enviar ao fornecedor.

Profissional de saúde verificando checklist de conformidade LGPD em tablet em ambiente clínico

## A clínica é responsável mesmo usando software de terceiro?

Sim — e esse é o ponto que mais surpreende gestores de clínicas. A LGPD distingue dois papéis: o controlador, a quem competem as decisões referentes ao tratamento de dados pessoais (art. 5º, VI), e o operador, que realiza o tratamento em nome do controlador (art. 5º, VII). A clínica é a controladora. O fornecedor do software é o operador.

Se o operador, o fornecedor do sistema, sofre um incidente, a clínica continua responsável como controladora: é dela o dever de comunicar o incidente à ANPD e aos titulares (art. 48). O artigo 46 exige que os agentes de tratamento, controlador e operador, adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados, e, pelo artigo 39, cabe ao controlador verificar se o operador segue as suas instruções. O operador também responde: quando descumpre a lei ou as instruções lícitas do controlador, responde solidariamente pelos danos, equiparado ao controlador (art. 42, § 1º, I).

Isso tem consequência prática: não basta que o software diga que é "conforme a LGPD" no site. A clínica precisa de documentação que comprove isso — o DPA assinado, a política de privacidade do fornecedor, evidências de certificações de segurança (ISO 27001, SOC 2) e cláusulas contratuais de notificação em caso de incidente.

No prontuário eletrônico do ByDoctor, que atua como operador dos dados das clínicas, o DPA está disponível para clínicas que o solicitam por dpo@bydoctor.com.br, os dados ficam cifrados em repouso (AES-256) e a trilha de auditoria registra autor, data e conteúdo de cada alteração, como descrevem as páginas de LGPD e de compliance. São recursos que ajudam a responder a uma fiscalização da ANPD com documentação pronta.

## Perguntas frequentes sobre LGPD e software de clínica ### Qual é a multa máxima da LGPD para clínicas médicas?

A multa simples vai até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II, da LGPD). Na aplicação das sanções, a ANPD considera a gravidade e a natureza das infrações e dos direitos pessoais afetados (art. 52, § 1º, I), e a lei prevê também a publicização da infração e a suspensão do tratamento de dados.

### Dados de saúde do paciente exigem tratamento especial pela LGPD?

Sim. O artigo 5º, II da LGPD classifica dados de saúde como dados pessoais sensíveis. O artigo 11 só permite tratá-los com consentimento específico e destacado do titular, para finalidades específicas, ou sem consentimento quando o tratamento for indispensável para uma das hipóteses do inciso II, entre elas o cumprimento de obrigação legal ou regulatória e a tutela da saúde em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Tratar dado de saúde fora dessas hipóteses contraria a lei.

### Um software de clínica precisa ter DPO (Encarregado)?

A LGPD manda o controlador indicar um encarregado (DPO) e divulgar publicamente a identidade e o contato dele, preferencialmente no site (art. 41). A clínica é a controladora dos dados dos seus pacientes; para o fornecedor do software, que é operador, a indicação é facultativa (Resolução CD/ANPD nº 18/2024, art. 6º). Agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e pessoas naturais com receita bruta dentro do limite da Lei Complementar nº 123/2006 e fora de grupo econômico que o ultrapasse, não são obrigados a indicar encarregado, mas precisam manter um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, arts. 2º, 3º e 11). A dispensa não vale para quem realiza tratamento de alto risco (art. 3º, I): é de alto risco o tratamento que atende a pelo menos um critério geral, como larga escala ou a possibilidade de afetar significativamente interesses e direitos fundamentais dos titulares, e a um critério específico, como o uso de dados pessoais sensíveis (art. 4º). Dado de saúde é dado sensível; a clínica que também atende a um critério geral não tem a dispensa. A ANPD pode ainda exigir as obrigações dispensadas conforme os riscos para os titulares (art. 16). O encarregado pode ser um funcionário, uma pessoa externa ou uma empresa (Resolução CD/ANPD nº 18/2024, art. 12).

### O que a ANPD verifica primeiro ao investigar uma clínica?

Seja qual for a ordem da fiscalização, os registros que a LGPD exige e que a clínica deve ter prontos são: a base legal de cada tratamento (arts. 7º e 11), o registro das operações de tratamento, ou ROPA (art. 37), o atendimento às solicitações dos titulares, ou DSAR (arts. 18 e 19), e as medidas de segurança adotadas no software utilizado (art. 46).

### Minha clínica pode ser punida por falha do software contratado?

Sim. A clínica é a controladora dos dados e responde pela conformidade, mesmo quando usa software de terceiros: é dela, por exemplo, o dever de comunicar incidentes à ANPD e aos titulares (art. 48). O fornecedor, como operador, também é agente de tratamento sujeito às sanções (art. 52) e responde solidariamente pelos danos quando descumpre a lei ou as instruções lícitas da clínica (art. 42, § 1º, I). Por isso, contrate fornecedores com DPA assinado, que registre essas instruções, e com evidências de segurança.

## Resumo

Em resumo: clínicas que operam com software sem conformidade LGPD estão expostas a multas de até R$ 50 milhões por infração, suspensão do tratamento de dados e publicização da infração. A clínica responde como controladora, mesmo usando software de terceiro, e o fornecedor responde como operador. Dados de saúde pedem uma das bases legais do artigo 11, controle de acesso, criptografia, logs de auditoria e DPA assinado com o software contratado.

O primeiro passo prático é revisar o contrato com o seu fornecedor de software e solicitar o DPA. Se ele não existir ou o fornecedor não souber o que é, isso já é um sinal de alerta. O ByDoctor oferece prontuário eletrônico, agendamento e gestão financeira com a conformidade LGPD documentada nas páginas de LGPD e de compliance: DPA para clínicas que o solicitam por dpo@bydoctor.com.br, criptografia em repouso e em trânsito e, em todos os planos, controle de acesso por perfil e registro de auditoria.