LGPD na clínica de fisioterapia: o que ajustar na rotina

A LGPD na clínica de fisioterapia não exige consentimento para atender o paciente, mas exige controle sobre quem acessa os dados, por onde eles circulam e o que você faz quando algo dá errado.

O ponto de partida está na Lei 13.709/2018: dado referente à saúde é dado pessoal sensível (art. 5º, II). Prontuário, exame e foto de postura entram nessa categoria quando ligados a uma pessoa.

O que a LGPD muda na clínica de fisioterapia?

Muda menos o atendimento e mais o que acontece em volta dele. Para atender, a base legal é o art. 11, II, "f": tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Ela não depende de consentimento.

Isso não elimina o dever de informar o paciente. A LGPD trata da base para o uso do dado. Já o Código de Ética da profissão, a Resolução COFFITO 424/2013, manda informar objetivos do tratamento, condutas e procedimentos (art. 14, V), e o termo clínico é uma forma de documentar isso.

Foto do paciente no Instagram precisa de consentimento?

Precisa, se a foto permitir identificar o paciente. Marketing não é tutela da saúde, então a alínea "f" não cobre esse uso. O legítimo interesse do art. 7º, IX, também não ajuda, porque não consta do rol do art. 11 para dados sensíveis.

O caminho é o consentimento do art. 11, I: específico, destacado e com finalidade definida. Uma linha genérica na ficha de cadastro não atende a isso. Use um documento à parte, que diga onde a imagem será publicada e para quê.

O Código de Ética soma outra camada. O art. 15, V, na redação da Resolução COFFITO 532/2021, proíbe usar em divulgação profissional informação que identifique o paciente, inclusive foto de antes e depois, salvo com autorização formal prévia dele ou do responsável legal.

Quem da recepção pode ver o quê?

A LGPD não traz uma lista por cargo. O critério é o princípio da necessidade (art. 6º, III): tratar o mínimo necessário para a finalidade. O Código de Ética (art. 13) pede que o prontuário fique fora do alcance de estranhos à equipe de saúde.

Uma divisão razoável para discutir com a equipe:

• Recepção: agenda, contato, convênio, pacote e pagamento. Sem evolução nem avaliação.
• Fisioterapeuta: o prontuário dos pacientes que atende, e outros quando houver razão assistencial, como cobertura de colega.
• Financeiro: o necessário para cobrar e emitir documento fiscal, sem conteúdo clínico.

Dois hábitos derrubam essa divisão: login compartilhado, que impede saber quem abriu o quê, e motivo clínico no título do agendamento, que leva o diagnóstico para a tela da recepção.

Pode receber foto de exame pelo WhatsApp?

A LGPD não proíbe um canal específico. O que ela cobra, no art. 46, são medidas de segurança técnicas e administrativas contra acesso não autorizado. O problema costuma ser a imagem ficar na galeria do celular pessoal, no backup e na conversa aberta na recepção.

Se o paciente mandar o exame por lá, combine um fluxo simples:

• Use o número da clínica e desative o salvamento automático na galeria.
• Transfira o arquivo para o prontuário e apague a cópia da conversa.
• Em grupo de colegas, discuta o caso sem nome, rosto ou detalhe que identifique o paciente.

O que é o registro das operações de tratamento?

O art. 37 obriga o controlador e o operador a manter registro das operações que realizam. Para cada processo, como agendamento, prontuário e cobrança, ele pode responder:

• Quais dados entram, para quê e com qual base legal?
• Quem acessa, e com quais terceiros são compartilhados?
• Por quanto tempo ficam guardados?

Agentes de pequeno porte fora das exclusões do art. 3º podem manter esse registro de forma simplificada, conforme o art. 9º da Resolução CD/ANPD 2/2022.

O que fazer em caso de incidente de segurança?

Pense no celular da recepção roubado ou na planilha de pacientes enviada ao grupo errado. O art. 48 da LGPD manda comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante.

A Resolução CD/ANPD 15/2024 (art. 5º) considera relevante o incidente que possa afetar significativamente interesses e direitos fundamentais dos titulares e envolva ao menos um critério, entre eles dados sensíveis ou protegidos por sigilo profissional. Em clínica, o segundo requisito tende a estar presente, e a análise se concentra no potencial de dano.

O prazo é de três dias úteis a partir de quando você sabe que o incidente afetou dados pessoais (arts. 6º e 9º), contados em dobro para agentes de pequeno porte que não caiam nas exclusões do art. 3º da Resolução CD/ANPD 2/2022, como o alto risco. Mesmo o incidente não comunicado precisa ser registrado, com guarda mínima de cinco anos (art. 10). Deixe definido antes quem decide e quem comunica.

Clínica pequena precisa de encarregado?

Depende. A Resolução CD/ANPD 2/2022 (art. 11) diz que o agente de pequeno porte não é obrigado a indicar encarregado, mas o tratamento diferenciado não alcança quem faz tratamento de alto risco (art. 3º). Quem não indicar precisa manter canal de comunicação com os titulares.

Pelo art. 4º, alto risco exige, ao mesmo tempo, um critério geral (larga escala ou possibilidade de afetar significativamente interesses e direitos fundamentais) e um específico, como o uso de dados sensíveis. Dado sensível sozinho não basta, e também não dá para concluir que toda clínica pequena está dispensada.

Avalie seu caso e deixe a conclusão por escrito. Se a resposta não for clara, consulte um advogado da área.

Como levar isso para o consultório e o prontuário?

Comece por um usuário para cada pessoa, acesso por perfil e prontuário fora de pastas soltas e conversas. Um sistema de gestão ajuda a dar um usuário a cada pessoa e a guardar data e autor de cada registro. Antes de confiar na divisão de acessos, teste o que cada perfil enxerga.

Isso apoia a conformidade, mas não a substitui. Bases legais, autorizações de imagem e resposta a incidentes continuam sob decisão da clínica.

Conclusão

A base legal do atendimento já existe e não depende de consentimento. O trabalho está em não estendê-la ao marketing, limitar acessos, tirar dado clínico de canais soltos e documentar o que a clínica faz.

Comece pelo mais simples: um login por pessoa, nada de diagnóstico no título da agenda e um fluxo para exames recebidos no WhatsApp. Depois, monte o registro das operações e decida por escrito sobre o encarregado.