Paciente pediu para apagar os dados dele: o que a clínica responde e o que não pode apagar

A mensagem chega numa terça à tarde: "Quero que vocês apaguem todos os meus dados, com base na LGPD." A recepção não sabe se isso inclui o prontuário, o médico não quer abrir um problema com o paciente e o pedido fica sem resposta na caixa de entrada. Duas semanas depois, o mesmo paciente recebe o lembrete da campanha de inverno.

A resposta direta: Separe o pedido em duas colunas, pelo modelo Exclusão em Duas Colunas (E2C). Coluna SAI: lista de marketing, contato promocional, lembrete de campanha e cadastro de lead sem atendimento; todo item da coluna SAI é eliminado. Coluna FICA: prontuário e documentos do atendimento, conservados porque a LGPD garante a eliminação dos dados tratados com o consentimento do titular, exceto nas hipóteses do art. 16, que autoriza a conservação para cumprimento de obrigação legal ou regulatória; fica também a linha do registro deste pedido, por decisão da clínica. Nada da coluna FICA é apagado a pedido. Antes de eliminar, a recepção confere a identidade do titular. Todo pedido recebe resposta por escrito, dentro de um prazo que é regra da clínica, não da lei, e cada pedido gera uma linha no registro interno.

Por que o improviso erra nos dois sentidos

Sem um desenho prévio, o pedido de exclusão costuma cair em um de dois erros, e os dois nascem da mesma confusão: tratar "os dados do paciente" como um bloco só.

O primeiro erro é apagar tudo para "cumprir a LGPD". A recepção remove o cadastro do sistema e, junto com ele, some o histórico do atendimento. O prontuário, porém, é documento que o médico tem o dever de elaborar e que fica sob a guarda do médico ou da instituição que assiste o paciente, e a própria LGPD prevê a conservação de dados para cumprimento de obrigação legal ou regulatória. Apagar o prontuário a pedido não atende o paciente: tira da clínica o registro de um atendimento que aconteceu.

O segundo erro é o inverso: ignorar o pedido porque "prontuário não se apaga". A frase é verdadeira para o prontuário e falsa para o resto. A lista de contato promocional, o lembrete de campanha e o cadastro de quem chamou no direct e nunca foi atendido não são prontuário. Quando a clínica responde ao pedido inteiro com a regra do prontuário, o paciente continua recebendo campanha, e a cena do lede se repete.

Há um terceiro defeito, mais silencioso: o pedido atendido sem registro. A recepção limpa a lista, não anota nada e, meses depois, ninguém sabe dizer quando o pedido chegou, quem o atendeu nem o que foi mantido. Se o paciente voltar a perguntar, a clínica não tem como mostrar o que fez.

O mecanismo: a lei separa as colunas antes de você

O desenho funciona porque segue a divisão que a própria LGPD já faz. O art. 18, VI garante ao titular a "eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei". O inciso tem dois recortes, e os dois importam: ele fala de dados tratados com consentimento, e ele ressalva as hipóteses do art. 16.

O art. 16, por sua vez, autoriza a conservação dos dados para algumas finalidades, entre elas o "cumprimento de obrigação legal ou regulatória pelo controlador" (inciso I). É aqui que o prontuário entra. O Código de Ética Médica veda ao médico "deixar de elaborar prontuário legível para cada paciente" (art. 87) e estabelece que "o prontuário estará sob a guarda do médico ou da instituição que assiste o paciente" (art. 87, § 2º). O dado de saúde do prontuário também não depende do consentimento como base: a LGPD admite o tratamento de dado sensível sem consentimento quando indispensável para a "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária" (art. 11, II, f).

Por isso a resposta ao paciente nunca é "sim a tudo" nem "não a tudo". É uma lista em duas colunas: o que sai e o que fica, cada item com o seu porquê. O prazo de guarda do prontuário depende de norma própria, que esta página não detalha; valide com seu assessor jurídico o prazo legal de guarda do prontuário que se aplica ao seu consultório.

Os três artefatos prontos

O modelo se executa com três peças: a resposta ao titular, o registro interno e o prazo combinado.

Resposta A — identidade conferida. Texto para mensagem ou e-mail:

"Olá, [nome]. Recebemos em [data do pedido] o seu pedido de exclusão de dados. Seguem o que fizemos e o porquê.
ELIMINADO: lista de marketing, contato promocional, lembrete de campanha e, se você não chegou a ser atendido, o seu cadastro de lead.
MANTIDO: [prontuário e documentos do atendimento; se não houve atendimento, apague este item e a frase seguinte]. O prontuário fica sob a guarda do médico ou da instituição que assiste o paciente, e a Lei Geral de Proteção de Dados autoriza a conservação de dados para cumprimento de obrigação legal ou regulatória. Mantemos o registro deste pedido, com a data e o que foi feito, para comprovar que ele foi atendido.
Se quiser uma cópia do que mantivemos ou tiver qualquer dúvida, responda por aqui. Resposta enviada em [data da resposta]."

Resposta B — identidade não conferida. "Olá. Recebemos em [data do pedido] um pedido de exclusão de dados em seu nome. Para proteger as suas informações, precisamos confirmar que o pedido é seu antes de qualquer alteração. Pode nos informar [dado de conferência já cadastrado]? Assim que confirmarmos, enviamos a resposta completa por escrito. Resposta enviada em [data da resposta]."

Para o lead que nunca foi atendido, a Resposta A sai sem o item entre colchetes do MANTIDO e sem a frase que o justifica: sem atendimento, não há prontuário a guardar, e o que fica é só o registro deste pedido.

Registro interno do pedido. Uma linha por pedido, numa planilha ou no sistema da clínica:

Prazo combinado. O prazo de resposta da E2C é uma regra interna, fixada pela clínica e escrita no procedimento da recepção: "Todo pedido de exclusão recebe resposta por escrito em até [prazo da clínica] a contar da data de entrada." Isso é decisão de desenho, não prazo da lei. A LGPD traz prazos para outros direitos do titular, cada um com o seu objeto; não transfira nenhum deles para a exclusão sem ler o dispositivo inteiro com seu assessor jurídico. O que o desenho garante é que o prazo exista, esteja escrito e seja o mesmo para todo pedido.

A mesma resposta em especialidades diferentes

A estrutura não muda de uma especialidade para outra; muda o que costuma estar em cada coluna. A tabela compara a resposta improvisada com a resposta pela E2C.

Nas nuances: em pediatria, o pedido costuma vir do responsável, e a conferência de identidade é do responsável cadastrado. Em procedimentos estéticos, fotos clínicas e termo de consentimento assinado fazem parte do atendimento e vão para a coluna FICA; foto usada em material de divulgação é outra conversa e merece revisão com o assessor jurídico. Em nutrologia, o lembrete de campanha costuma escapar da varredura quando mora no sistema de agenda e não na lista de transmissão. E o lead sem atendimento é o caso mais simples: não há prontuário, então o cadastro de contato sai por inteiro.

O ponto de entrada do pedido quase sempre é o WhatsApp da recepção, e vale incluir a E2C no roteiro de atendimento, como mostra o script de atendimento no WhatsApp da clínica. E se a clínica está escolhendo onde guardar cadastro, agenda e campanha, conte quantos lugares a coluna SAI ocupa hoje antes de decidir, e leia o guia de como escolher um CRM para clínica.

Este material apresenta modelos de comunicação para organização do atendimento e não constitui orientação jurídica. A redação final das mensagens, o registro do contato e a guarda dos dados do paciente devem observar as normas do CFM, as orientações do CRM da sua jurisdição e a LGPD.

Dr. Thiago Perfeito · CRM-DF 23199

Médico, dono de consultório particular em Brasília–DF. Escreve sobre gestão, precificação e operação de consultório a partir da própria prática — não de teoria de consultoria.