LGPD para clínicas de fisioterapia: checklist prático para o gestor

Toda clínica de fisioterapia guarda dados de saúde, como avaliações, exames e evoluções de cada paciente. Pela LGPD, são dados sensíveis. Este guia de LGPD para clínicas ajuda o gestor sem jurídico interno a organizar o básico, mas não substitui a orientação de um advogado.

Por que dados de saúde são sensíveis

A LGPD (Lei 13.709/2018), no art. 5º, II, classifica dados referentes à saúde como dados pessoais sensíveis. Esses dados seguem as regras mais rígidas do art. 11. Na fisioterapia, isso inclui avaliação, diagnóstico fisioterapêutico, exames e evolução das sessões. Por isso, a LGPD na saúde trata os dados sensíveis de pacientes com mais rigor do que um cadastro comum.

Bases legais na clínica de fisioterapia

Aplicar a LGPD em clínica de fisioterapia começa por saber qual base legal justifica cada uso dos dados.

Tutela da saúde

O art. 11, II, "f", permite tratar dados sensíveis para tutela da saúde, em procedimento feito por profissionais de saúde. É a base mais usada no atendimento.

Obrigação legal (prontuário)

O art. 11, II, "a", permite o tratamento para cumprir obrigação legal ou regulatória. O registro em prontuário é obrigatório pela Resolução COFFITO 414/2012, que também exige guarda por no mínimo cinco anos após o último registro.

Quando pedir consentimento

Para usos fora do atendimento, como marketing, fotos para redes sociais ou depoimentos, o consentimento específico costuma ser o caminho.

Clínica de fisioterapia precisa de consentimento para atender?

Em geral, não para o atendimento em si. A LGPD permite tratar dados de saúde para tutela da saúde e para cumprir obrigação legal, como o prontuário exigido pelo COFFITO. O consentimento entra em usos extras, como marketing ou fotos do paciente. Confirme o caso da sua clínica com um advogado.

Clínica pequena precisa de DPO?

A LGPD prevê a figura do encarregado, também chamado DPO. A ANPD tem regulamentação própria para agentes de pequeno porte, que pode simplificar essa exigência, mas há exceções ligadas a dados sensíveis. Mesmo dispensada, a clínica deve ter um canal de contato para os titulares. Confirme com um advogado.

Na prática, a dúvida "encarregado DPO clínica" costuma ter a mesma resposta: mesmo sem DPO formal, defina quem na equipe recebe e responde os pedidos dos pacientes.

Checklist de LGPD para clínicas em 10 itens

1. Liste quais dados a clínica coleta e por quê.
2. Defina a base legal de cada uso.
3. Dê login individual a cada pessoa da equipe.
4. Limite o acesso ao prontuário aos fisioterapeutas.
5. Proteja celular e computador da recepção com senha.
6. Não deixe fichas de papel à vista no balcão.
7. Publique um aviso de privacidade simples.
8. Tenha um canal para pedidos dos pacientes.
9. Leia o contrato de cada fornecedor que acessa dados.
10. Monte um plano de resposta a incidentes.

O guia de segurança da ANPD para pequeno porte e a cartilha da OAB-SP para consultórios aprofundam esses pontos.

Posso mandar mensagem de marketing para pacientes?

Com cuidado. Lembrete de sessão agendada faz parte do atendimento. Promoções, campanhas e novidades são outra coisa e, em geral, pedem consentimento ou outra base legal bem justificada. Ofereça sempre a opção de parar de receber e nunca use dados de saúde para segmentar sem orientação jurídica.

WhatsApp, marketing e LGPD

• Lembretes de sessão não devem citar diagnóstico ou região tratada.
• Separe a lista de lembretes da lista de marketing.
• Fotos de antes e depois exigem autorização específica e por escrito.
• Veja conceitos no FAQ da ANPD.

O que fazer em vazamento de dados?

Contenha o problema, como trocar senhas e bloquear acessos. Registre o que aconteceu, quais dados e quantos pacientes. Avalie o risco. Se houver risco ou dano relevante, a LGPD exige comunicar a ANPD e os titulares. Confira o prazo e o formulário na resolução vigente da ANPD e busque um advogado.

Não citamos prazo de comunicação aqui de propósito. Ele está em regulamento da ANPD e deve ser conferido no site oficial da ANPD no momento do incidente.

Como o sistema ajuda

Nenhum sistema, sozinho, deixa a clínica em conformidade com a LGPD. Isso depende de processos e de pessoas. O sistema ajuda em três frentes:

• Permissões por usuário, para a recepção não ver evoluções.
• Prontuário eletrônico com login individual.
• Exportação de dados para atender pedidos de acesso.

Leia a política de privacidade da Cliniy e conheça a empresa.

Perguntas frequentes

Pequeno porte tem regras diferentes? Sim, há regulamento da ANPD, com exceções.

Quem responde se o sistema vazar dados? Depende do caso e do contrato. Consulte um advogado.

O paciente pode pedir cópia dos dados? Sim, pela LGPD e pela Resolução COFFITO 414/2012.

Conheça como a Cliniy organiza permissões por usuário e exportação de dados.