Legal

LGPD para clínicas odontológicas: guia completo

Por Equipe Plano de Tratamento · Publicado em 23/08/2026

Este guia reúne o que uma clínica odontológica precisa saber sobre a LGPD: por que dado de saúde é sensível, qual base legal sustenta o prontuário sem exigir consentimento, quando o consentimento específico é obrigatório, prazos de guarda de documentos, necessidade de encarregado de dados e os primeiros passos diante de um incidente.

Por que a LGPD pega uma clínica odontológica em cheio

Clínica de odontologia lida, todos os dias, com o tipo de dado que a Lei Geral de Proteção de Dados trata com mais rigor: dado de saúde, classificado como dado pessoal sensível. Prontuário, radiografia, foto de caso, histórico de tratamento, até a informação de que determinada pessoa é paciente da clínica — tudo isso entra na categoria que exige cuidado redobrado. Não é uma lei pensada para hospital grande ou operadora de convênio; ela se aplica igual a um consultório de dois cadeiras e a uma rede de clínicas.

Os conceitos que sustentam tudo o resto

Antes de entrar nos processos práticos, vale fixar três ideias da LGPD que aparecem em quase toda decisão do dia a dia da clínica.

Base legal é o fundamento jurídico que autoriza o tratamento de um dado. Para o núcleo do atendimento odontológico — diagnóstico, plano de tratamento, execução do procedimento — a base é a tutela da saúde do paciente, que dispensa consentimento específico para essa finalidade central. Para usos que saem desse núcleo, como divulgação de foto de caso, a base costuma ser o consentimento.

Consentimento, quando é a base aplicável, precisa ser livre, específico e revogável — não vale um "aceito tudo" genérico escondido em letra miúda, e o paciente pode retirar a autorização a qualquer momento.

Minimização significa coletar e manter só o dado necessário para a finalidade declarada, pelo tempo necessário — não é proibido guardar dado por prazo longo quando há obrigação legal para isso (é o caso do prontuário), mas é incompatível com a lei acumular dado "por via das dúvidas" sem finalidade clara.

O ciclo de vida do dado na clínica

Pensar a LGPD por etapa do ciclo do dado ajuda a organizar o que precisa de atenção em cada momento:

Etapa	O que costuma acontecer na clínica	Ponto de atenção
Coleta	Cadastro do paciente, anamnese, exame, foto clínica	Coletar só o necessário; informar a finalidade
Armazenamento	Sistema de gestão, prontuário físico ou digital	Controle de acesso restrito a quem precisa
Uso e compartilhamento	Envio a laboratório, convênio, outro profissional	Finalidade clara, canal adequado
Divulgação (quando aplicável)	Foto de caso em rede social, material de marketing	Consentimento específico e revogável
Guarda e descarte	Manutenção do prontuário e demais documentos	Seguir prazo mínimo definido por norma do CFO

Os pontos que mais geram risco na prática

Depois de acompanhar como esse tema costuma quebrar no dia a dia de clínica, três padrões se repetem. O primeiro é confundir uso clínico com uso de marketing — tratar a mesma foto do mesmo jeito, sem separar a base legal de cada finalidade. O segundo é o WhatsApp da equipe virando canal informal de troca de dado sensível, sem nenhuma regra sobre o que pode ou não circular ali. O terceiro é não saber, mesmo perguntado diretamente, por quanto tempo a clínica deveria guardar cada tipo de documento — o que leva tanto a descartar cedo demais quanto a acumular sem necessidade.

A clínica precisa de um encarregado de dados (DPO)?

Depende do porte e do volume de tratamento de dados da clínica — não é uma exigência automática só por lidar com dado sensível. Clínicas menores muitas vezes resolvem esse papel designando um responsável interno, sem necessidade de contratação formal de um profissional dedicado, desde que essa pessoa saiba orientar a equipe e responder por eventuais dúvidas do paciente sobre o tratamento dos seus dados. Vale avaliar esse ponto com atenção quando a clínica cresce em número de pacientes e de sistemas usados.

O que fazer se algo já deu errado

Se um dado vazou — um print de conversa saiu do controle, um sistema foi acessado indevidamente — o primeiro passo é conter o problema (revogar acesso, corrigir a falha), depois avaliar a extensão do que foi exposto. Dependendo da gravidade, pode haver necessidade de comunicar os titulares afetados e a autoridade competente. Não existe fórmula única para todo incidente; o essencial é não ignorar o ocorrido esperando que passe despercebido, porque isso tende a agravar a situação caso o problema venha à tona depois por outro caminho.

Por onde começar, na prática

Quem está lendo isso pela primeira vez, sem nenhuma estrutura de adequação à LGPD montada, tende a se perder tentando fazer tudo de uma vez. O caminho mais eficiente costuma ser: primeiro, revisar quem tem acesso a que tipo de dado dentro da clínica; segundo, separar claramente uso clínico de uso de divulgação, com termo de consentimento próprio para o segundo; terceiro, confirmar os prazos de guarda de cada tipo de documento; quarto, alinhar com a equipe uma regra simples sobre o que pode circular em grupo de WhatsApp. O checklist de 20 pontos deste cluster detalha essa avaliação passo a passo.

Perguntas frequentes

A LGPD se aplica a clínica com poucos pacientes por mês? Sim, a lei não estabelece um piso de volume de pacientes para se aplicar — o que importa é o tipo de dado tratado, e dado de saúde entra na categoria sensível independentemente do porte da clínica.

Posso usar um mesmo termo de consentimento genérico para tudo? Não é recomendado — consentimento específico para cada finalidade (uso clínico já está coberto pela tutela da saúde; divulgação de imagem exige termo próprio) protege muito mais a clínica do que um documento genérico tentando cobrir tudo de uma vez.

Quanto tempo leva para adequar uma clínica pequena à LGPD? Não existe prazo padrão, mas os ajustes mais urgentes — controle de acesso, separação de consentimento por finalidade, orientação da equipe sobre WhatsApp — costumam ser resolvidos em poucas semanas de atenção dedicada.

A clínica pode ser multada mesmo sem nenhum vazamento de dado ter ocorrido? A fiscalização pode identificar não conformidade mesmo sem incidente comprovado, mas a aplicação de sanções pela autoridade competente costuma considerar o contexto e a gravidade — o mais importante é agir preventivamente, não esperar uma fiscalização para se organizar.

Existe um selo ou certificado oficial de "conformidade com a LGPD"? Não existe uma certificação oficial única e obrigatória — o que existe é a adequação contínua às boas práticas da lei, avaliada caso a caso, não um selo definitivo que a clínica obtém uma vez e nunca mais revisa.

Perguntas frequentes

A LGPD se aplica a clínica com poucos pacientes por mês?

Sim, a lei não estabelece um piso de volume de pacientes para se aplicar — o que importa é o tipo de dado tratado, e dado de saúde é sensível independentemente do porte da clínica.

Posso usar um mesmo termo de consentimento genérico para tudo?

Não é recomendado — consentimento específico para cada finalidade protege muito mais a clínica do que um documento genérico tentando cobrir tudo de uma vez.

Quanto tempo leva para adequar uma clínica pequena à LGPD?

Não existe prazo padrão, mas os ajustes mais urgentes costumam ser resolvidos em poucas semanas de atenção dedicada.

A clínica pode ser multada mesmo sem nenhum vazamento de dado ter ocorrido?

A fiscalização pode identificar não conformidade mesmo sem incidente comprovado, mas o mais importante é agir preventivamente, não esperar uma fiscalização para se organizar.

Existe um selo ou certificado oficial de "conformidade com a LGPD"?

Não existe uma certificação oficial única e obrigatória — o que existe é a adequação contínua às boas práticas da lei, avaliada caso a caso.