Política de privacidade da clínica: quais blocos o documento precisa ter

Abra o rodapé do site de um consultório e clique no link de política de privacidade. O texto fala de cookies, de conta de usuário, de carrinho de compras e de "ofertas de parceiros" — vocabulário de loja virtual. O que a clínica trata não aparece: prontuário, foto de procedimento, conversa de WhatsApp e ficha de agendamento. O documento tem cara de documento e cala justamente nos dados de risco.

A resposta direta: a política de privacidade de uma clínica descreve o que aquela clínica faz com os dados que ela realmente coleta — e por isso se escreve depois de um inventário, não antes dele. O documento se organiza em doze blocos: quem responde pelos dados com o canal de contato; que tipos de dado existem; de onde cada um entra; para que serve; com quem é compartilhado; quem acessa o quê dentro da clínica; por quanto tempo fica guardado; imagem de procedimento; direitos do paciente; segurança com a rota em caso de incidente; cookies do site; e data de vigência. Cada bloco cobra uma decisão do médico antes de o texto ir para o jurídico, e a redação final passa pela assessoria jurídica.

Por que o texto copiado de loja virtual não descreve a clínica

A política herdada de e-commerce não erra por ser curta: erra de endereço. Ela descreve um negócio em que o dado crítico é o cartão e o ativo é o histórico de compra. Na clínica o dado de risco é clínico, é imagem e é conversa. Os sinais se repetem:

• O texto fala de "usuários do site", não de pacientes — a ficha da recepção e o prontuário eletrônico não aparecem em bloco nenhum.
• O compartilhamento herda "parceiros comerciais" e "publicidade direcionada", e os terceiros reais — contabilidade, prontuário, laboratório, meio de pagamento — ficam de fora.
• Não há prazo de guarda por tipo de dado: uma frase única diz que tudo fica "pelo tempo necessário", cobrindo igualmente o prontuário e a conversa de orçamento de quem nunca marcou.
• A foto de procedimento não é categoria própria, embora tenha duas finalidades possíveis, uma delas dependente de autorização à parte.
• O canal de contato é um e-mail que ninguém da equipe abre — e o pedido do paciente sobre os próprios dados chega pelo WhatsApp da recepção.

Nada disso se resolve baixando um modelo "mais completo": são decisões de operação — quem acessa o quê, por quanto tempo fica, com quem se divide — e o texto só descreve decisão já tomada.

Os doze blocos, e a decisão que cada um cobra

A LGPD não nomeia um documento chamado "política de privacidade". O que ela nomeia é informação. O art. 9º da Lei 13.709/2018 diz que o titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que devem ser disponibilizadas de forma clara, adequada e ostensiva, e lista sete pontos, ressalvando outras características previstas em regulamentação: finalidade específica do tratamento; forma e duração; identificação do controlador; informações de contato do controlador; uso compartilhado de dados e a finalidade; responsabilidades dos agentes que realizam o tratamento; e direitos do titular, com menção explícita aos do art. 18. Reunir isso num documento público é o desenho mais usado: o nome do arquivo é escolha da clínica, o conteúdo responde à lista.

Os doze blocos abaixo trazem, cada um, o que ele registra e a decisão que o médico precisa tomar antes de mandar o texto para o jurídico. É roteiro de organização, não cláusula pronta: a redação final de cada bloco precisa ser validada por assessoria jurídica própria.

• 1. Quem responde pelos dados e por onde falar com ele. Nome do responsável pela clínica, endereço e o canal por onde o paciente trata de assunto de dados. Decisão: qual canal recebe esse pedido e quem o lê — sendo o WhatsApp da recepção, alguém precisa reconhecer o pedido e encaminhá-lo.
• 2. Os tipos de dado que a clínica trata, nomeados um a um. Cadastro, dados clínicos (queixa, histórico, prescrição, prontuário), imagem de procedimento, conteúdo de conversas, dados de pagamento e registros de navegação do site. Decisão: a lista sai do inventário real dos sistemas; tipo fora dela fica sem finalidade e sem prazo.
• 3. De onde cada dado entra. Formulário do site, ficha da recepção, conversa de WhatsApp ou direct, ligação telefônica, plataforma de agendamento online, encaminhamento de outro serviço. Decisão: dado que chega por terceiro — plataforma de marcação, convênio, laboratório — vai escrito, porque o paciente não o entregou aqui.
• 4. Para que serve cada tipo de dado. A finalidade é declarada por tipo: atender e registrar o caso é uma; cobrar e emitir nota é outra; convidar para retorno ou divulgar a clínica é uma terceira. Decisão: separar a finalidade de atendimento da de recall, em vez de fundir as duas numa frase.
• 5. Com quem os dados são compartilhados. Contabilidade, prontuário em nuvem, meio de pagamento, laboratório, plataforma de mensagens, serviço de agendamento — cada um enxerga parte da base. Decisão: listar os que existem hoje, por nome ou categoria, e quem responde pelo contrato com cada um.
• 6. Quem, dentro da clínica, acessa o quê. Recepção, equipe assistencial e médico não precisam do mesmo acesso: agenda e cadastro são uma camada, prontuário é outra. Decisão: configurar os níveis no sistema antes de descrevê-los — descrever um controle que o sistema não faz é o pior desfecho deste bloco.
• 7. Por quanto tempo cada dado fica guardado. Prontuário, conversa de orçamento de quem nunca marcou, foto de procedimento e registro de pagamento não têm o mesmo tempo de vida. Decisão: publicar prazo por tipo e resolver o que acontece com quem pediu preço e não voltou.
• 8. Imagem de procedimento como categoria própria. A foto tirada antes e depois cumpre função de registro clínico e pode, separadamente, ser usada em divulgação. Decisão: declarar que a segunda finalidade depende de autorização específica e revogável, em documento próprio — o consentimento de imagem é outro papel.
• 9. Os direitos do paciente e o caminho para exercê-los. Confirmação de que existe tratamento, acesso, correção, eliminação nas hipóteses cabíveis, portabilidade, informação sobre compartilhamento e revogação do consentimento; a enumeração legal completa está no art. 18 da LGPD. Decisão: quem recebe o pedido, como confere a identidade de quem pede e em quanto tempo a clínica responde.
• 10. Segurança e a rota em caso de incidente. As medidas técnicas e administrativas que protegem a base — senha individual, backup, controle de quem abre o sistema — e o que se faz se algo vazar. Decisão: nomear, antes de precisar, quem é acionado primeiro e quem comunica — à autoridade nacional e ao titular, como prevê o art. 48 da LGPD, quando o incidente possa acarretar risco ou dano relevante aos titulares.
• 11. Cookies e registros de navegação do site. Quais cookies e registros de navegação o site coleta e para quê. É o bloco que a política herdada do comércio eletrônico já traz pronto. Decisão: conferir o que os scripts do site realmente coletam — formulário, pixel de anúncio, ferramenta de análise.
• 12. Data de vigência e como o texto muda. Versão, data em que passou a valer e como o paciente fica sabendo de alteração relevante. Decisão: onde a redação anterior continua disponível, para quem leu a versão antiga ver o que mudou.

O bloco 6 põe no papel um controle com dispositivo próprio: o art. 85 do Código de Ética Médica de 2019 veda ao médico permitir o manuseio e o conhecimento dos prontuários por pessoas não obrigadas ao sigilo profissional quando sob sua responsabilidade. Na prática, o que separa a camada de agenda e cadastro da camada de prontuário é quem precisa dele para atender.

Aplicação prática: a mesma estrutura, consultórios diferentes

Os blocos são os mesmos em qualquer especialidade; muda o que pesa mais e, com ele, qual bloco fica pobre no texto herdado.

Algumas nuances valem por especialidade. Em pediatria, o exercício dos direitos passa por representante legal e o bloco 9 fica mais longo. Em medicina estética, o volume de imagem alcança também o bloco 7, onde a foto tem prazo próprio. Em psiquiatria, o bloco 5 tende a ser restritivo: cada operador é um lugar a mais onde o conteúdo do atendimento pode aparecer. Com agenda operada por terceiro, o bloco 3 cresce.

Nada disso muda a lógica de fundo: a política vale pelo que descreve da operação real, não pelo tamanho do texto. Antes de publicar redação baseada nesta estrutura, valide o texto com seu assessor jurídico e verifique as orientações vigentes junto ao CRM da sua jurisdição — este conteúdo é guia de organização, não modelo jurídico pronto para uso. Como o bloco 2 inclui dados que vivem em ferramenta contratada, veja os critérios de escolha de CRM para clínica; e, como o bloco 8 encosta em divulgação, as considerações sobre quando o médico pode postar antes e depois.

Os números deste artigo são fictícios e ilustrativos, não constituindo promessa de resultado. Cada consultório tem realidade própria de demanda, ticket e perfil de paciente. Este conteúdo não substitui orientação contábil, jurídica ou de proteção de dados (LGPD) específica para o seu caso.

Dr. Thiago Perfeito · CRM-DF 23199

Médico, dono de consultório particular em Brasília–DF. Escreve sobre gestão, precificação e operação de consultório a partir da própria prática — não de teoria de consultoria.