LGPD em clínicas e laboratórios: cuidados práticos no dia a dia

Comece pelo princípio: cada um vê o que precisa

O cuidado mais eficaz é simples: cada pessoa acessa o que precisa para fazer o próprio trabalho. Nem mais, nem menos.

• Recepção: cadastro, agenda e caixa. Não precisa ler a evolução do prontuário.
• Médico: prontuário e exames dos próprios pacientes.
• Laboratório: amostras, resultados e laudos.
• Financeiro: valores e faturas, sem detalhes clínicos.
• Unidade: quem trabalha numa unidade, em geral, vê só os dados dela.

Monte perfis de acesso por função e revise sempre que alguém muda de cargo ou sai da empresa. Esconder demais também é problema: se a equipe não acha a informação, ela passa a anotar em papel ou em grupo de mensagens, o que é muito pior.

Registre quem abriu o quê

Saber quem acessou um dado é tão importante quanto limitar o acesso. Um bom registro (auditoria) responde a perguntas como: quem abriu este prontuário? Quem exportou esta lista? Quem mudou esta permissão?

1. Registre abertura de prontuário e de ficha de paciente.
2. Registre exportações de listas e planilhas.
3. Registre mudanças de perfil e de permissão.
4. Registre ações financeiras e liberação de laudo.
5. Garanta que esses registros não possam ser apagados nem editados.

Só o fato de a equipe saber que os acessos ficam registrados já reduz a curiosidade indevida.

Mensagens ao paciente sem diagnóstico

WhatsApp e SMS podem ser lidos por outras pessoas no celular do paciente. Por isso, a regra prática é: nada de doença, CID ou resultado no texto da mensagem.

• Em vez de "seu exame de HIV está pronto", use "seu resultado está disponível no portal".
• Avisos de recoleta e de atraso falam da amostra e da data, não do exame.
• O resultado é visto num ambiente com usuário e senha, não colado na conversa.
• Respeite o paciente que pediu para não receber resultado pela internet.

Cuidados simples que fazem diferença

Nem tudo depende de sistema. Hábitos da equipe protegem muito:

• Senha pessoal: cada um com o seu login. Nada de usuário compartilhado na recepção.
• Sair ao levantar: tela aberta no balcão é convite. Configure saída automática por inatividade.
• Papel na mesa: pedidos e laudos impressos não ficam à vista de outros pacientes.
• Fotos e prints: ninguém fotografa tela, pedido ou exame para mandar em grupo.
• Senhas de integração guardadas num cofre do sistema, não em planilha ou e-mail.
• Dados cifrados no banco, principalmente prontuário e documentos pessoais.

Quando falar com o advogado

Alguns temas precisam de orientação jurídica específica para a sua realidade:

1. Base legal para cada uso dos dados (atendimento, cobrança, campanhas).
2. Termos de consentimento e avisos de privacidade.
3. Contratos com fornecedores que tratam dados (sistema, laboratório de apoio, contabilidade).
4. Prazo de guarda de prontuários e documentos.
5. O que fazer se houver vazamento ou acesso indevido.

Leve ao advogado a lista dos dados que a clínica coleta, onde eles ficam e quem tem acesso. Com esse mapa em mãos, a conversa fica mais objetiva e as orientações saem mais próximas da sua realidade. Revise esse mapa sempre que entrar um sistema, serviço ou fornecedor novo.

O sistema ajuda a cumprir as regras, mas quem define as regras da sua empresa é a gestão, com apoio jurídico.

Checklist mensal de privacidade

Privacidade não se resolve num projeto único. Uma revisão curta, todo mês, mantém a casa em ordem. Sugestão de lista:

1. Pessoas que saíram: os logins foram desativados no mesmo dia?
2. Mudanças de função: o perfil de acesso acompanhou a nova função?
3. Acessos fora do padrão: alguém abriu muitos prontuários ou fichas sem relação com o próprio trabalho?
4. Exportações: quem exportou listas de pacientes, e para quê?
5. Mensagens automáticas: os textos de confirmação, recoleta, atraso e campanha continuam sem diagnóstico?
6. Papéis: pedidos e laudos impressos estão sendo guardados ou descartados do jeito combinado?
7. Fornecedores: algum sistema ou serviço novo passou a receber dados de pacientes?
8. Treinamento: os novatos do mês receberam a orientação sobre dados de pacientes?

Guarde o resultado de cada revisão, com o que foi encontrado e o que foi corrigido. Esse registro mostra, se um dia for preciso, que a clínica cuida dos dados de forma contínua.

Defina também quem é o responsável por essas revisões e por responder pedidos de pacientes sobre os próprios dados. Ter uma pessoa ou um canal definido evita que o pedido se perca entre setores. Confirme com o seu advogado os prazos e a forma de resposta.

Dúvidas frequentes