O que a LGPD exige de clínicas e salões

Qual a diferença entre dado pessoal e dado sensível?

Pela Lei 13.709/2018, a Lei Geral de Proteção de Dados, dado pessoal é qualquer informação ligada a uma pessoa identificada ou que possa ser identificada, como nome, telefone, CPF, data de nascimento e histórico de atendimentos. Dado pessoal sensível é uma categoria com proteção maior, que o artigo 5º, inciso II, lista expressamente; entre os itens está o dado referente à saúde. Num salão, a maior parte do cadastro é dado pessoal comum. Numa clínica de estética, num consultório ou num studio de fisioterapia, a anamnese, o prontuário, as fotos de tratamento e os exames anexados entram como dado de saúde. O dado sensível tem regras próprias para ser tratado, pede mais cuidado com quem acessa e pesa mais na avaliação de risco quando algo dá errado, como um vazamento ou um acesso indevido.

Em que base legal a clínica ou o salão pode tratar os dados?

Todo uso de dado pessoal precisa se apoiar numa das hipóteses do artigo 7º da LGPD. Para o cadastro e a agenda, as mais comuns são a execução de contrato, porque o cliente pediu o serviço, e o cumprimento de obrigação legal, como guardar registros que a lei ou o conselho exigem. O consentimento também é uma base, mas não é a única nem sempre a melhor, já que pode ser revogado. Para dado sensível, vale o artigo 11: o consentimento precisa ser específico e destacado, para finalidade determinada, e sem consentimento o tratamento só cabe nas hipóteses da lei, como a tutela da saúde em procedimento feito por profissionais de saúde, serviços de saúde ou autoridade sanitária. Como a escolha da base depende da atividade de cada negócio e da profissão de quem atende, ela deve ser definida com um advogado.

• Execução de contrato: dados necessários para marcar e prestar o serviço.
• Obrigação legal ou regulatória: registros que a lei ou o conselho exigem guardar.
• Consentimento: autorização livre e informada, que pode ser revogada.
• Tutela da saúde: procedimento feito por profissional ou serviço de saúde.

Quais direitos o cliente tem sobre os próprios dados?

O artigo 18 da LGPD garante ao titular, a qualquer momento e mediante pedido, uma lista de direitos que o estabelecimento precisa saber atender. Ele pode confirmar se há tratamento dos seus dados, ter acesso a eles, corrigir o que estiver incompleto ou errado, pedir a anonimização, o bloqueio ou a eliminação do que for desnecessário, pedir a portabilidade, saber com quem os dados foram compartilhados e revogar o consentimento que tiver dado. O atendimento desses pedidos não pode ter custo para o cliente. Registros que a lei ou o conselho mandam guardar continuam guardados pelo prazo exigido, mesmo quando o cliente pede a eliminação. No AgendaMax o estabelecimento é o controlador dos dados dos seus clientes e a RBR Sistemas atua como operadora, por isso quem recebe e responde o pedido é o estabelecimento, com o apoio do suporte quando precisar exportar ou corrigir algo.

Que cuidados de segurança a LGPD pede de um negócio pequeno?

O artigo 46 pede medidas técnicas e administrativas para proteger os dados contra acesso não autorizado, perda e vazamento, e a ANPD publicou um guia de segurança da informação voltado a agentes de pequeno porte. O guia fala de controle de acesso, senha, cuidado com o celular e com serviços na nuvem, treinamento da equipe e contratos com fornecedores. A Resolução CD/ANPD nº 2/2022 também dispensa o pequeno negócio de indicar um encarregado, desde que mantenha um canal para o titular, mas a dispensa não vale para quem faz tratamento de alto risco, o que pode incluir dados sensíveis em larga escala. No AgendaMax cada pessoa entra com o próprio login, o acesso a prontuário, anexos e documentos segue o recorte por profissional, a secretária não exclui conteúdo clínico, as senhas são guardadas como hash e as ações de criar, alterar e excluir ficam na auditoria.

• Um login por pessoa, sem senha compartilhada no balcão.
• Acesso ao conteúdo clínico só para quem atende e para o administrador.
• Sessão encerrada nos computadores de uso comum.
• Canal publicado para o cliente pedir acesso, correção ou exclusão.

Perguntas frequentes