O que a LGPD exige de uma clínica que atende crianças
Clínica de terapia infantil trabalha com a combinação mais delicada que a LGPD prevê: dado de saúde, que a lei classifica como sensível, pertencente a criança e adolescente, que recebe proteção adicional. Não é área cinzenta — são dois regimes mais rígidos incidindo sobre a mesma ficha.
Isso não exige transformar a clínica num cartório. Exige algumas coisas concretas.
Quem consente
Para criança, o tratamento de dados depende do consentimento de pelo menos um dos pais ou do responsável legal. Parece óbvio, e é onde mora o problema prático: guarda compartilhada, guarda unilateral, avós que levam às sessões, padrasto que busca na escola.
O que a clínica precisa saber responder, com registro: quem é o responsável legal, quem está autorizado a receber informação sobre a criança e quem pode retirá-la. Isso não é burocracia — é o que protege a clínica no dia em que um dos pais questiona por que o outro recebeu um relatório.
Finalidade e mínimo necessário
A lei pede que o dado seja coletado para uma finalidade específica e que se colete só o necessário para ela. Na prática, duas perguntas resolvem a maior parte dos casos:
- Esse campo da anamnese serve ao atendimento, ou está ali porque o formulário sempre teve?
- Esse profissional precisa ver o prontuário inteiro, ou só a parte da própria especialidade?
A segunda pergunta é a que mais aparece em clínica multidisciplinar. Recepção não precisa ler evolução clínica. Um terapeuta não precisa necessariamente ver a anamnese completa de um paciente que não atende.
Controle de acesso é medida de segurança, não conforto
A LGPD exige medidas técnicas e administrativas de proteção. Perfil de acesso por tela e por ação é uma dessas medidas — e é também a mais fácil de demonstrar em caso de questionamento, porque fica registrado.
Aqui vale um alerta sobre uma prática comum: login compartilhado. Uma conta usada por três pessoas destrói qualquer rastreabilidade. Se algo vazar, não há como dizer quem acessou o quê. Do ponto de vista da lei, é o oposto do que se espera.
Retenção: guardar quanto tempo?
Prontuário tem prazo próprio de guarda, definido pela normativa do conselho profissional, e ele prevalece sobre a ideia de "apagar quando o titular pedir". O direito à eliminação existe, mas não anula obrigação legal de retenção.
O erro comum é o oposto: guardar tudo para sempre, inclusive o que não é prontuário. Currículo de candidato de 2019, foto de evento, planilha antiga com nome e telefone de famílias que nunca fecharam. Isso é passivo, não patrimônio.
Incidente: o relógio começa a correr
Se houver vazamento com risco relevante, a clínica precisa comunicar a ANPD e os titulares em prazo razoável. Isso implica saber, antes de o problema acontecer, quem decide, quem comunica e onde estão os dados. Uma clínica que não sabe em quantos lugares o cadastro dos pacientes existe não consegue responder a nada disso.
O básico que já resolve muita coisa
- Termo de consentimento assinado pelo responsável, com finalidade clara
- Registro de quem é o responsável legal e de quem pode receber informação
- Login individual por profissional, com permissão por perfil
- Prontuário em sistema com backup, não em planilha no computador da recepção
- Política de retenção escrita, alinhada ao conselho da categoria
- Contrato com fornecedores que tratam dados em nome da clínica
Nada disso exige advogado para começar — exige decisão. E os itens 3 e 4, que são os mais citados em fiscalização, dependem menos de política e mais da ferramenta que a clínica usa.
O ClinicAba nasceu com perfil de acesso por tela e por ação, base separada por clínica e backup diário. Veja como funciona.
Este texto é informativo e não substitui orientação jurídica.