Prontuário eletrônico e LGPD: quais dados o médico pode compartilhar com apps de gestão de clínica?

O aplicativo de gestão de clínica virou parte da rotina: agenda, prontuário eletrônico, faturamento de convênio, lembrete de retorno por WhatsApp. Em algum momento, os dados do paciente saem do seu controle direto e passam a viver no servidor de uma empresa de tecnologia. A pergunta que poucos médicos param para fazer é: o que exatamente essa empresa pode ter acesso, com que base legal, e o que acontece se ela vazar ou sumir do mercado.

Que dados realmente entram no app de gestão

Três camadas costumam se misturar num mesmo sistema, e elas não têm o mesmo peso jurídico: a administrativa (nome, telefone, data da consulta), a financeira (forma de pagamento, dados de convênio) e a clínica (anamnese, evolução, exame, diagnóstico, prescrição). Essa última é dado pessoal sensível pela LGPD (Lei nº 13.709/2018, art. 5º, II). Quanto mais o sistema centraliza as três num único cadastro, maior a exposição em caso de falha de segurança — o que não significa evitar a integração, mas tratar a camada clínica com um cuidado contratual que a agenda sozinha não exige.

Por que a empresa é operadora, não dona dos dados

O erro mais comum é tratar o fornecedor de software como se ele "cuidasse" dos dados por conta própria. Na LGPD, quem decide as finalidades do tratamento é o controlador — na prática, o médico ou a clínica —, e quem executa seguindo instruções é o operador: "o operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador" (art. 39). Na prática, o contrato precisa dizer, por escrito, que a empresa trata os dados como operadora, para as finalidades que você definiu, não para as dela.

Essa divisão de papéis não é burocracia. A mesma lógica de responsabilidade dividida já vale para quem terceiriza arquivamento de prontuário na telemedicina, como mostra a guarda do prontuário na telemedicina: quem responde, por quanto tempo e o que fazer se os dados vazarem. O guardião do prontuário, pelo Código de Ética Médica, continua sendo o médico ou a instituição que assiste o paciente — o app é ferramenta, não substituto dessa responsabilidade.

A base legal que libera o compartilhamento clínico — e onde ela para

Dado de saúde é sensível, e a regra geral da LGPD para dado sensível é exigir consentimento específico do titular (art. 11, I). Mas existe uma hipótese que dispensa esse consentimento: quando o tratamento é indispensável para "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária" (art. 11, II, "f", com redação dada pela Lei nº 13.853/2019). É essa hipótese que sustenta o uso do prontuário eletrônico no dia a dia da consulta, sem colher autorização assinada para cada exame lançado no sistema.

O ponto que a maioria ignora é o limite: a hipótese vale para procedimento de saúde, não para qualquer uso que a clínica queira dar aos dados depois. Se a mesma base de pacientes é exportada para uma ferramenta de CRM ou automação de marketing, que dispara mensagem de aniversário, promoção de check-up ou campanha de reativação, a finalidade deixou de ser assistencial. Nesse caso, o art. 11, II, "f" não cobre mais o tratamento, e a clínica precisa de consentimento específico e destacado do paciente para esse uso comercial (art. 11, I) — separado do que ele já deu ao ser atendido.

Antes de assinar o contrato do software, exija isso

1. Cláusula de operador declarando expressamente que a empresa trata os dados nos termos do art. 39, sem usá-los para finalidade própria, como treinar outros produtos ou vender a terceiros.
2. Localização do servidor. Se o processamento ocorre fora do Brasil, a transferência só é permitida nas hipóteses do art. 33 da LGPD — país com proteção adequada ou cláusulas-padrão, exigidas pelo Regulamento de Transferência Internacional de Dados Pessoais (Resolução CD/ANPD nº 19/2024).
3. Certificação do prontuário eletrônico. Para eliminar o papel com segurança jurídica, o sistema precisa do Nível de Garantia de Segurança 2 (NGS2), com certificação SBIS-CFM (Resolução CFM nº 1.821/2007, art. 7º).
4. Exportação garantida ao fim do contrato. Sem essa previsão, trocar de sistema pode significar perder acesso ao histórico clínico dos pacientes.
5. Prazo de resposta a incidente, para que a empresa avise a clínica a tempo de cumprir o dever de comunicação à ANPD.

Essa mesma disciplina vale para outra ferramenta que virou rotina: a assinatura eletrônica de receita e atestado também depende de o fornecedor cumprir requisitos técnicos específicos, não só ser prático de usar.

O que diz a lei

Lei nº 13.709/2018 (LGPD): art. 5º, II (dado pessoal sensível inclui dado sobre saúde); art. 11, I (consentimento específico e destacado para dado sensível) e II, "f", com redação da Lei nº 13.853/2019 (dispensa de consentimento para tutela da saúde em procedimento realizado por profissional ou serviço de saúde); art. 33 (hipóteses de transferência internacional de dados); art. 39 (operador segue instruções do controlador); art. 48 (dever de comunicar incidente de segurança à ANPD e aos titulares). Resolução CD/ANPD nº 19/2024 (Regulamento de Transferência Internacional de Dados Pessoais). Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança). Resolução CFM nº 1.821/2007, art. 7º (guarda eletrônica do prontuário com Nível de Garantia de Segurança 2). Código de Ética Médica (Resolução CFM nº 2.217/2018): art. 73 (sigilo profissional) e art. 85 (veda que pessoas não obrigadas ao sigilo manuseiem prontuários sob responsabilidade do médico).

Erros mais comuns

• Aceitar o termo de uso padrão do fornecedor sem verificar se ele menciona expressamente o papel de operador da LGPD.
• Autorizar a equipe administrativa a exportar planilhas de pacientes para ferramentas de marketing sem checar se há base legal e consentimento específico para essa finalidade.
• Não perguntar onde os servidores estão localizados, especialmente em apps estrangeiros ou com suporte em nuvem internacional.
• Migrar prontuário em papel para o eletrônico usando sistema sem certificação NGS2, o que compromete a validade jurídica da eliminação do papel.
• Assinar contrato sem cláusula de exportação, ficando refém do fornecedor se decidir trocar de sistema.
• Achar que o consentimento na ficha de cadastro resolve qualquer uso futuro dos dados, inclusive os que ainda nem existiam quando o paciente assinou.

Perguntas frequentes