Durante seis anos, muita clínica tratou a LGPD como uma pasta esquecida na gaveta. Em 2026, porém, essa conta chegou. A Agência Nacional de Proteção de Dados virou agência reguladora, ganhou orçamento próprio e colocou dados de saúde no topo da lista de fiscalização. Ou seja: a LGPD em clínicas deixou de ser teoria jurídica e virou risco operacional concreto.
O número que resume a virada é simples. Só em junho de 2026, a ANPD abriu 19 processos administrativos sancionadores — a maior leva da sua história. Além disso, a agência já instaurou mais processos neste ano do que em todo o período de 2020 a 2025 somado.
Neste artigo, explicamos o que mudou, onde as clínicas mais escorregam e, por fim, um checklist prático para você começar a adequação ainda esta semana.
O que mudou: a ANPD agora é agência reguladora
Em 25 de fevereiro de 2026, o governo sancionou a Lei nº 15.352/2026, que transformou a ANPD em autarquia de natureza especial. Na prática, a agência ganhou autonomia técnica, administrativa e financeira, além de uma carreira pública própria para regulação e fiscalização, conforme detalha o portal da ANPD.
Por que isso importa para quem gere uma clínica? Porque autonomia significa estrutura, e estrutura significa fiscalização de verdade. Antes, a ANPD dependia de recursos limitados e atuava sobretudo por orientação. Agora, ela fiscaliza em escala — como analisa o Migalhas, a nova ANPD exige adequação real das empresas, não mais promessas de adequação.
Por que a LGPD em clínicas entrou na mira
As Resoluções CD/ANPD 30 e 31/2025 criaram um Mapa de Temas Prioritários para 2026–2027. Nele, três categorias de dados aparecem em destaque: saúde, biometria e dados financeiros. A agência também fixou a meta de realizar pelo menos dez ações de fiscalização até o fim de 2026 nesses temas.
A lógica é direta. Dados de saúde são dados pessoais sensíveis pela própria LGPD, portanto recebem proteção reforçada. Além disso, uma clínica concentra justamente o material mais delicado: diagnósticos, exames, histórico familiar, medicações em uso e, muitas vezes, biometria na recepção.
Um caso recente ilustra o tamanho do risco. A ANPD investigou uma organização de saúde por falhas na proteção de dados de 500 mil pacientes. Segundo análise publicada na Medicina S/A, a proteção de dados na saúde deixou de ser compliance defensivo e passou a ser elemento estruturante da governança assistencial.
Vale lembrar ainda que essa fiscalização não chega sozinha. A Resolução CFM 2.454/2026, que regulamenta o uso de IA na medicina, exige conformidade com a LGPD como condição para adotar qualquer sistema inteligente. Em outras palavras, as duas normas se reforçam.
Onde as clínicas mais escorregam
Na prática do dia a dia, os problemas raramente surgem de má-fé. Eles nascem de processos informais que ninguém revisou. Veja os mais comuns:
- Acesso irrestrito ao prontuário. Toda a equipe enxerga tudo, sem perfis de permissão. Assim, não há como provar quem acessou qual informação.
- WhatsApp pessoal com dados de paciente. Resultados de exame circulam no celular particular da recepcionista, fora de qualquer ambiente controlado.
- Planilhas paralelas. Listas de pacientes em Excel no desktop, sem criptografia nem backup.
- Ex-funcionários com login ativo. Ninguém revogou o acesso após o desligamento.
- Ausência de registro de consentimento. A clínica coleta dados, mas não documenta a finalidade nem a autorização do titular.
- Nenhum encarregado (DPO) designado. A LGPD exige esse ponto de contato, mesmo em operações pequenas.
Quanto custa errar
As sanções da LGPD vão da advertência à multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. No entanto, para a maioria das clínicas o prejuízo maior nem é a multa. É a exposição pública: vazamento de dados de pacientes destrói em uma semana a confiança construída em anos.
Existe também o custo silencioso. Um incidente obriga a clínica a notificar titulares e a própria ANPD, contratar assessoria jurídica, refazer processos às pressas e, enquanto isso, parar de atender bem. Portanto, prevenir sai muito mais barato do que remediar.
Checklist: 7 passos para adequar a LGPD em clínicas
- Mapeie os dados. Em primeiro lugar, liste onde cada informação de paciente vive hoje: sistema, planilhas, papéis, aplicativos de mensagem, e-mail.
- Designe um encarregado (DPO). Pode ser alguém da própria equipe, desde que a clínica formalize a função e divulgue o contato aos pacientes.
- Feche os acessos. Defina perfis por função — recepção, enfermagem, médico, financeiro — e revogue logins de quem saiu.
- Ative a trilha de auditoria. O sistema precisa registrar quem acessou, alterou ou exportou cada prontuário. Sem log, não há defesa.
- Tire dados sensíveis do WhatsApp pessoal. Em seguida, migre a comunicação com o paciente para canais oficiais e rastreáveis.
- Atualize consentimentos e a política de privacidade. Informe finalidade, prazo de guarda e direitos do titular, em linguagem que o paciente entenda.
- Documente tudo. Afinal, na fiscalização vale o que a clínica consegue comprovar — não o que ela afirma fazer.
Como o BossMed sustenta a conformidade da sua clínica
A maior parte desse checklist depende menos de advogado e mais de sistema. Quando os dados vivem espalhados, nenhuma política de privacidade se sustenta. Por isso, o BossMed foi construído em conformidade com a LGPD e a Resolução CFM 2.299:
- Controle de acesso por perfil. Cada profissional enxerga apenas o que a função exige, e a gestão ajusta permissões sem depender de TI.
- Rastreabilidade das informações clínicas. O prontuário eletrônico mantém histórico das ações, o que dá à clínica a trilha de auditoria que a ANPD espera encontrar.
- Comunicação centralizada com o paciente. Confirmações, resultados e mensagens saem pelo ambiente do sistema e pelo app do paciente — não do celular pessoal de quem está na recepção.
- Modelos de documentos personalizáveis. Assim, atualizar termos de consentimento e política de privacidade vira uma tarefa de minutos, não um projeto.
Em resumo: centralizar a operação num único ambiente resolve, de uma vez, o problema técnico e o problema probatório.
Conclusão: LGPD em clínicas deixou de ser papel
A virada de 2026 é clara. A ANPD tem agora estrutura, prioridade definida e histórico de sanções. Consequentemente, a pergunta para o gestor mudou: não é mais “se” a fiscalização chega ao setor de saúde, e sim se a clínica terá o que mostrar quando ela chegar.
Quer um sistema que já nasce com controle de acesso, rastreabilidade e comunicação segura com o paciente? Fale com a equipe da BossMed e agende uma demonstração. Enquanto isso, confira também outros artigos de gestão no blog da BossMed.
Fontes: ANPD; Lei nº 15.352/2026; Resoluções CD/ANPD 30 e 31/2025; Migalhas; Medicina S/A.
