LGPD em clínicas: o que é decisão técnica e o que não é

Conversas sobre LGPD em clínicas costumam começar pelo documento e terminar na gaveta. Contrata-se uma consultoria jurídica, produz-se uma política de privacidade, publica-se no site — e a operação continua exatamente como estava.

Não é má-fé. É que boa parte do que a lei exige acontece na camada técnica, e essa camada raramente participa da conversa.

Por que saúde é diferente

Dado de saúde é classificado como sensível pela LGPD. Isso não é uma distinção acadêmica: significa exigência maior de justificativa para tratar, de cuidado ao compartilhar e de consequência quando vaza.

Uma clínica de imagem trata dado sensível em praticamente todo o fluxo — cadastro, agendamento, execução do exame, laudo, faturamento e o arquivo que fica guardado por anos. Não existe recorte pequeno.

As perguntas que a TI consegue responder

Antes de qualquer discussão sobre base legal, existe um conjunto de perguntas que dependem só de olhar o ambiente. Se elas não têm resposta, nenhum documento resolve:

• Quais sistemas guardam dado de paciente, incluindo os que ninguém lembra na primeira lista?
• Quem tem acesso a cada um, e esse acesso corresponde à função da pessoa hoje?
• O que acontece com os acessos quando alguém sai da empresa?
• É possível saber quem consultou o prontuário de um paciente específico no mês passado?
• Para onde o dado sai — laboratório de apoio, telerradiologia, contabilidade, plataforma de agendamento?
• Por quanto tempo o arquivo é mantido, e essa retenção foi decidida ou apenas aconteceu?

A quarta pergunta costuma ser a mais desconfortável. Sem trilha de auditoria, a clínica não consegue nem investigar internamente uma suspeita, nem demonstrar que o acesso foi legítimo quando questionada.

Onde o dado vaza sem ninguém notar

Incidente com dado de saúde raramente começa com invasão sofisticada. Os caminhos mais comuns são mundanos:

1. 01Exame enviado por aplicativo de mensagem porque era mais rápido que o portal.
2. 02Planilha de pacientes exportada para conferência e esquecida na área de trabalho.
3. 03Conta compartilhada entre turnos — o que torna qualquer trilha inútil.
4. 04Acesso de terceiro que terminou o contrato e nunca foi revogado.
5. 05Backup guardado sem cifragem, na mesma rede do ambiente principal.

Nenhum desses itens é resolvido com uma política publicada. Todos são resolvidos com processo e configuração — e essa é a parte que a TI pode assumir.

Privacidade que existe só no documento é declaração de intenção. Privacidade que existe no controle de acesso é o que se consegue demonstrar.

A fronteira entre os dois planos

Vale explicitar quem decide o quê, porque a confusão entre esses planos é o que costuma paralisar o assunto:

• Decisão jurídica: qual base legal sustenta cada tratamento, o que entra no contrato com fornecedores, como a clínica responde formalmente a um titular e quando comunicar a autoridade.
• Decisão técnica: quem acessa o quê, o que fica registrado, como o dado trafega, onde é guardado, por quanto tempo e como se recupera.
• Decisão conjunta: prazo de retenção, o que pode ser compartilhado com quem, e o que fazer nas primeiras horas de um incidente.

A terceira linha é onde os projetos travam. Ela exige as duas cadeiras na mesma reunião, e é comum que nenhuma das duas convoque a outra.

Por onde começar sem projeto grande

Três ações de baixo custo mudam a conversa mais do que um diagnóstico extenso:

1. 01Levante a lista de acessos aos sistemas com dado de paciente e compare com o quadro atual de funcionários. A diferença costuma surpreender.
2. 02Verifique se é possível gerar um relatório de quem acessou determinado prontuário. Se não for, essa é a primeira lacuna a fechar.
3. 03Mapeie para onde o dado sai. Todo destino externo é um ponto que precisa de justificativa, contrato e controle.

Nenhuma das três exige comprar ferramenta ou contratar escritório. Exigem tempo e disposição para registrar o que se encontrar — inclusive o que for incômodo.

A adequação real acontece quando essas respostas existem e se sustentam sozinhas. O documento vem depois, descrevendo o que de fato acontece, em vez de descrever o que deveria acontecer.