LGPD na prática para clínicas e prestadores de serviço

Toda agenda de clientes é um banco de dados pessoais. Nome, telefone, histórico de atendimento e, em muitos casos, informação de saúde — tudo isso está sob a Lei Geral de Proteção de Dados (Lei 13.709/2018), que vale para negócios de qualquer porte, inclusive o profissional autônomo.

Quem é quem na lei

• Titular — a pessoa a quem os dados se referem: o seu cliente.
• Controlador — quem decide como e por que os dados são tratados: o seu negócio.
• Operador — quem trata os dados em nome do controlador, como o sistema de agendamento que você contrata.

A responsabilidade principal perante o cliente é do controlador — ou seja, sua. Contratar um sistema não transfere a obrigação; ele responde pelo que faz sob sua orientação.

Base legal: por que você pode guardar aquele dado

Todo tratamento precisa de uma base legal. Na rotina de um negócio de serviço, as mais comuns são:

• Execução de contrato — os dados necessários para prestar o serviço contratado, como nome, telefone e o próprio agendamento.
• Obrigação legal — o que a lei ou o conselho profissional mandam guardar, como prontuário.
• Consentimento — necessário para o que não é essencial ao serviço: envio de promoção, uso de foto do resultado, mensagens de marketing.

Consentimento precisa ser livre, informado e específico, e o cliente pode retirá-lo a qualquer momento. "Aceitou ser atendido" não é o mesmo que "aceitou receber promoção".

Dado sensível exige mais cuidado

Informação sobre saúde é dado pessoal sensível e tem regime mais rigoroso. Quem registra condição clínica, alergia, medicação, restrição ou histórico de tratamento precisa de cuidado redobrado com acesso, armazenamento e compartilhamento — e deve evitar trafegar esse tipo de informação por canais abertos de conversa.

Minimização: guarde menos

Colete apenas o que o serviço exige. Cada campo a mais é um risco a mais e uma obrigação a mais. Antes de criar um campo no cadastro, pergunte para que ele será usado — se não houver resposta objetiva, ele não deveria existir.

Prazo de guarda

Dado não se guarda para sempre "por via das dúvidas". Defina, por escrito, quanto tempo cada informação fica armazenada e o que acontece depois. Há prazos definidos por lei e por normas profissionais — especialmente para prontuário — que precisam ser confirmados na sua área de atuação e respeitados acima de qualquer política interna.

Os direitos que o cliente pode exercer

Tenha um canal claro para esses pedidos — pode ser um e-mail ou o WhatsApp comercial — e um responsável definido para respondê-los.

Segurança que cabe em um negócio pequeno

1. Senha individual por pessoa da equipe; nada de login compartilhado.
2. Acesso proporcional à função — recepção não precisa ver tudo o que o profissional vê.
3. Sistema em conexão segura (HTTPS) e backup regular.
4. Retirada imediata do acesso de quem sai da equipe.
5. Cuidado com planilha exportada e print: cópia solta em celular pessoal é o vazamento mais comum que existe.

Aviso de privacidade

Publique, na página de agendamento, um texto curto e honesto: quais dados você coleta, para que servem, por quanto tempo ficam guardados, com quem são compartilhados e como o cliente exerce os direitos dele. Linguagem simples cumpre a lei melhor do que juridiquês copiado de outro site.

Se acontecer um incidente

Vazamento ou acesso indevido precisa ser tratado com rapidez: conter o problema, registrar o que aconteceu, avaliar o risco para as pessoas afetadas e comunicar quem precisa saber, inclusive a autoridade competente e os titulares quando houver risco relevante. Ter um plano escrito antes vale mais do que improvisar no dia.