Checklist LGPD: 20 pontos para auditar a clínica

Para que serve esse checklist

Este checklist não substitui uma auditoria jurídica formal, mas resolve o que a maioria das clínicas realmente precisa: um jeito rápido de identificar os pontos mais comuns de exposição em relação à LGPD, sem depender de conhecimento técnico avançado. Reserve uma tarde, percorra os 20 pontos com quem administra a clínica no dia a dia, e marque honestamente o que já está resolvido e o que ainda precisa de atenção.

Acesso e controle de dados (pontos 1 a 5)

1. Só quem precisa tem acesso ao prontuário completo? Recepção geralmente não precisa ver diagnóstico e histórico clínico inteiro — acesso deveria ser proporcional à função de cada pessoa na equipe.

2. Existe senha individual para cada pessoa que acessa o sistema da clínica? Login compartilhado entre a equipe dificulta saber quem acessou o quê e quando, o que enfraquece qualquer investigação em caso de incidente.

3. Ex-funcionários perdem acesso a sistemas e grupos no mesmo dia do desligamento? Acesso residual depois do desligamento é uma das formas mais comuns e mais evitáveis de exposição de dado.

4. A tela de recepção e o computador de atendimento ficam fora da visão de outros pacientes? Prontuário ou agenda aberta na tela, visível para quem passa, expõe dado sensível sem nenhuma invasão técnica.

5. Documento impresso com dado de paciente é descartado de forma segura, não jogado no lixo comum? Papel com dado sensível jogado fora sem fragmentação é uma falha simples, mas real.

Consentimento e uso de imagem (pontos 6 a 10)

6. Existe termo específico para uso de foto do paciente em divulgação, separado do prontuário? Foto para prontuário e foto para rede social têm bases legais diferentes — confundir os dois é um erro comum.

7. O paciente sabe que pode retirar o consentimento de uso de imagem a qualquer momento? Essa informação deveria estar explícita no próprio termo assinado.

8. Fotos usadas em divulgação têm autorização registrada e guardada? Não basta ter pedido verbalmente — o registro é o que protege a clínica numa eventual disputa.

9. Menores de idade só aparecem em material de divulgação com autorização clara do responsável legal? Esse ponto merece padrão mais rigoroso do que o aplicado a pacientes adultos.

10. A clínica sabe listar, se perguntada, para que finalidades usa os dados que coleta? Se a resposta não é clara internamente, também não vai ser clara para o paciente que perguntar.

Comunicação e canais digitais (pontos 11 a 15)

11. Existe orientação clara sobre o que pode e não pode ser discutido em grupo de WhatsApp da equipe? Sem essa orientação, cada pessoa decide sozinha o que é "aceitável" compartilhar.

12. Dado sensível de paciente é evitado em grupos com muitos integrantes? Quanto maior o grupo, maior a superfície de exposição em caso de vazamento ou print indevido.

13. O número de WhatsApp da clínica está configurado como perfil comercial, separado de uso pessoal? Separar os dois reduz o risco de mistura acidental de conteúdo e de contato.

14. A clínica usa apenas ferramentas homologadas para automação de mensagens? Ferramenta de automação não oficial pode expor dado de contato a terceiros fora do controle da clínica.

15. Existe algum registro (mesmo simples) de quando e para quem um orçamento foi enviado? Isso ajuda tanto em disputa comercial quanto em questões relacionadas à LGPD sobre rastreabilidade do tratamento de dados.

Documentação e prazos (pontos 16 a 20)

16. A clínica sabe qual é o prazo de guarda exigido para o prontuário pela norma vigente do CFO? Sem saber o prazo, não dá para saber se está descartando cedo demais ou guardando sem necessidade.

17. Documentos fiscais e contratuais têm prazo de guarda definido e seguido? Prazo indefinido tende a virar "guardar tudo para sempre", o que também não é a prática recomendada pela LGPD.

18. A clínica sabe, ainda que de forma simples, quais sistemas e planilhas guardam dado de paciente? Sem esse mapeamento básico, é difícil garantir controle de acesso consistente em todos os lugares onde o dado existe.

19. Existe um responsável definido para lidar com um eventual pedido do paciente sobre seus dados? Mesmo sem estrutura de encarregado formal, alguém precisa saber o que fazer quando um paciente perguntar sobre isso.

20. A clínica já parou para pensar no que faria no primeiro dia de um incidente de vazamento de dado? Não precisa de um plano complexo, mas saber os primeiros passos — conter o problema, avaliar o que vazou, decidir se e como comunicar — evita improviso no pior momento possível.

Como usar o resultado

Marcar "não" em vários pontos não é motivo de pânico — é o ponto de partida real da maioria das clínicas que nunca passaram por essa revisão. O caminho mais eficiente é atacar primeiro os pontos de acesso e controle (1 a 5), porque costumam ser os mais simples de corrigir e os que reduzem risco mais rápido, e depois avançar para consentimento e documentação.

Perguntas frequentes

Esse checklist é suficiente para a clínica se considerar 100% adequada à LGPD? Não — é um ponto de partida prático para os riscos mais comuns; adequação completa costuma exigir também avaliação jurídica formal, principalmente para clínicas maiores ou com estrutura mais complexa.

Preciso refazer esse checklist com que frequência? Uma revisão anual, ou sempre que a clínica mudar de sistema, ferramenta de comunicação ou processo relevante, é uma cadência razoável.

Clínica pequena, com poucos funcionários, também precisa se preocupar com todos esses pontos? Precisa — o volume de pacientes pode ser menor, mas o tipo de dado tratado (sensível, de saúde) é o mesmo independentemente do tamanho da clínica.

Algum desses pontos exige contratar um advogado imediatamente? Não necessariamente para resolver — a maioria são ajustes operacionais simples; vale buscar orientação jurídica quando a clínica identificar uma exposição significativa e não souber como corrigir.

Esse checklist substitui a necessidade de um encarregado de dados (DPO)? Não — são coisas diferentes; o checklist ajuda a organizar a rotina, mas a necessidade ou não de um encarregado formal depende de outros fatores específicos da clínica.

Este tema se conecta com LGPD para clínicas odontológicas: guia completo e com dados de saúde são dados sensíveis: o que muda na prática.

Este conteúdo tem caráter informativo e reflete a norma vigente no momento da publicação — não substitui orientação jurídica específica para o caso da sua clínica.