Checklist LGPD para consultório pequeno: passo a passo prático
Consultório pequeno também trata dado sensível — e dado de saúde é o tipo mais protegido pela LGPD. Não existe "porte pequeno demais para se preocupar": a norma reconhece flexibilizações para agentes de tratamento de pequeno porte (Resolução ANPD nº 2/2022), mas mantém as obrigações essenciais quando o tratamento pode afetar direitos fundamentais do titular — exatamente o caso de uma clínica. Este checklist traduz isso em ações concretas para quem cuida do consultório sem departamento jurídico.
Por que o consultório entra na LGPD
Diagnóstico, histórico clínico, resultado de exame e dado biométrico são dados pessoais sensíveis (art. 11 da LGPD). O tratamento desses dados em saúde tem base legal própria: pode ocorrer para a tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde. Ou seja, você não depende de "consentimento para tudo" — atender o paciente já tem respaldo. O consentimento entra para usos que fogem do cuidado direto, como marketing, envio de conteúdo ou compartilhamento não essencial.
Isso muda a pergunta certa: não é "posso guardar o prontuário?", e sim "cada uso que faço desse dado tem finalidade e base legal claras, e o acesso está protegido?".
Checklist LGPD para consultório pequeno
Copie, cole no seu documento interno e marque o que já está feito:
CHECKLIST LGPD — CONSULTÓRIO
Responsável: [NOME] Revisão em: [DD/MM/AAAA]
[ 1 ] MAPEAMENTO
[ ] Listei quais dados coleto (cadastro, prontuário, exames, financeiro)
[ ] Sei onde cada um fica (papel, prontuário eletrônico, e-mail, WhatsApp)
[ ] Identifiquei quem tem acesso (médico, secretaria, contador)
[ 2 ] BASE LEGAL E FINALIDADE
[ ] Uso dados clínicos para tutela da saúde (não dependo de consentimento p/ atender)
[ ] Coleto só o necessário para a finalidade (minimização)
[ ] Uso separado exige consentimento (marketing, pesquisa, divulgação de caso)
[ 3 ] SIGILO E ACESSO
[ ] Acesso ao prontuário restrito a quem precisa
[ ] Senhas individuais (nada de login compartilhado)
[ ] Tela/prontuário não ficam visíveis a terceiros na recepção
[ ] Equipe orientada e ciente do dever de sigilo
[ 4 ] SEGURANÇA
[ ] Backup regular dos registros
[ ] Dispositivos com senha e, quando possível, criptografia
[ ] Antivírus/atualizações em dia
[ ] Papel guardado em local trancado; descarte por fragmentação
[ 5 ] GUARDA E DESCARTE
[ ] Prontuário guardado pelo prazo mínimo exigido
[ ] Política de descarte seguro ao fim do prazo
[ 6 ] DIREITOS DO TITULAR
[ ] Sei responder pedido de acesso do paciente ao próprio prontuário
[ ] Canal simples para dúvidas/solicitações sobre dados
[ ] Aviso de privacidade disponível ao paciente
[ 7 ] TERCEIROS
[ ] Fornecedores que tratam dados (prontuário em nuvem, contador) têm contrato
[ ] Verifiquei se o sistema em nuvem oferece segurança adequada
[ 8 ] INCIDENTES
[ ] Sei o que fazer em caso de vazamento (conter, avaliar, comunicar)
[ ] Registro de quem acessou o quê, quando possível
Onde consultórios pequenos mais escorregam
- Login compartilhado. "Todo mundo usa a mesma senha" derruba a rastreabilidade e o sigilo de uma vez.
- WhatsApp e e-mail comuns. Enviar exame por canal pessoal, sem cuidado, expõe dado sensível. Combine canal e limite o conteúdo.
- Consentimento onde não precisa e ausência onde precisa. Pedir consentimento para atender é desnecessário; usar a foto ou o caso do paciente para divulgação sem autorização é o problema real.
- Nuvem sem contrato. Se o prontuário eletrônico é de terceiro, a responsabilidade pelo dado continua sua — exija segurança e formalize.
Sobre pequeno porte: a Resolução ANPD nº 2/2022 dá tratamento diferenciado (prazos e formalidades mais simples), mas não isenta clínicas das medidas de segurança e das bases legais quando o tratamento é de alto risco — e dado de saúde tende a ser.
Como o dia a dia ajuda (ou atrapalha) a conformidade
Boa parte da exposição vem de rotina, não de intenção: prontuário aberto na tela, papel na mesa, áudio de consulta perdido no celular. Ferramentas de documentação que já nascem com controle de acesso e trilha de registro reduzem esse risco. Um escriba clínico por IA como a Solara mantém o registro estruturado dentro de um ambiente controlado, em vez de espalhado em anotações soltas — o que facilita cumprir o checklist acima. A responsabilidade pela conformidade, claro, continua sendo do consultório.
Perguntas frequentes
Consultório pequeno precisa cumprir a LGPD?
Sim. A LGPD se aplica ao tratamento de dados pessoais independentemente do porte. Agentes de pequeno porte têm flexibilizações previstas na Resolução ANPD nº 2/2022, mas as obrigações essenciais de base legal e segurança permanecem, sobretudo com dados de saúde.
Preciso do consentimento do paciente para guardar o prontuário?
Não para o cuidado em si. O tratamento de dados de saúde para a tutela da saúde, por profissionais ou serviços de saúde, tem base legal própria na LGPD. O consentimento é exigido para usos fora do cuidado direto, como marketing, pesquisa ou divulgação de casos.
Preciso ter um encarregado (DPO) no consultório?
Depende da estrutura e do volume de tratamento. A LGPD prevê a figura do encarregado, e a ANPD trouxe flexibilizações para agentes de pequeno porte. Avalie com apoio jurídico se o seu caso exige a indicação formal, mas mantenha um responsável interno pela conformidade de qualquer forma.