ANPD mira o setor de Saúde em 2026: o que sua clínica precisa ter pronto

Se você é dono de clínica, laboratório ou consultório, tem uma informação que muda a forma como você deve tratar dados de paciente a partir de agora: a ANPD colocou a Saúde como um dos quatro eixos prioritários de fiscalização para 2026-2027, com um número concreto por trás disso: no mínimo 10 ações de fiscalização programadas especificamente para o setor até dezembro de 2026, cobrindo clínicas, consultórios odontológicos, laboratórios e serviços de telemedicina. Não é um alerta genérico sobre LGPD. É um plano de ação com data.

Isso muda o cálculo de risco pra quem administra um negócio de saúde pequeno. Dado de saúde é classificado como dado sensível pela LGPD (junto com biometria, dados financeiros e dados de crianças, os outros três eixos da fiscalização), o que na prática significa: exigência de base legal mais rígida para tratar a informação, controles de segurança mais estritos e, em caso de vazamento, prazo curto pra avisar a ANPD (até 3 dias úteis) e as pessoas afetadas.

Teoria jurídica sobre LGPD você encontra em qualquer artigo. Aqui o objetivo é outro: a lista prática do que precisa estar pronto numa clínica pequena ou média antes que a fiscalização bata na porta.

Consentimento explícito não é um checkbox genérico

Muita clínica ainda trata consentimento como uma linha solta no rodapé da ficha de cadastro, tipo "autorizo o uso dos meus dados". Isso não cobre o que a LGPD exige pra dado sensível. Na prática, você precisa deixar claro, em linguagem simples, pelo menos três coisas: para que finalidade específica o dado de saúde do paciente será usado (atendimento, faturamento, comunicação de resultado, pesquisa), quem tem acesso a ele dentro e fora da clínica (laboratório terceirizado, convênio, sistema de agendamento em nuvem) e por quanto tempo ele fica guardado. Se o paciente não consegue entender isso lendo uma vez, o termo está genérico demais.

Um ponto que passa despercebido: se você usa WhatsApp para enviar resultado de exame ou lembrete de consulta, isso também é tratamento de dado sensível e precisa estar coberto pelo consentimento, não dá pra tratar como "só um recado".

Prontuário eletrônico seguro é mais do que ter um sistema

Ter prontuário eletrônico não é a mesma coisa que ter prontuário seguro. O que a fiscalização olha na prática:

• Onde os dados estão hospedados. Planilha compartilhada, sistema desktop sem backup em nuvem criptografado, ou grupo de WhatsApp com resultados de paciente são os três erros mais comuns em consultório pequeno, e os mais fáceis de flagrar numa auditoria.
• Criptografia em repouso e em trânsito. O sistema precisa proteger o dado tanto quando ele está parado no servidor quanto quando trafega entre a recepção, o médico e o laboratório.
• Backup testado. Não basta fazer backup, tem que saber que ele restaura. Backup que nunca foi testado é uma promessa, não uma proteção.

Se sua clínica usa um sistema de gestão de terceiros (a maioria usa), vale pedir formalmente ao fornecedor um documento que descreva como ele protege os dados, isso te dá cobertura em caso de incidente que não foi causado por você, mas pelo fornecedor.

Controle de acesso: quem pode ver o quê

Numa clínica pequena é comum todo mundo, recepção, enfermagem, financeiro, ter acesso ao prontuário completo, porque é mais rápido do que configurar permissões. Esse é exatamente o tipo de coisa que a fiscalização classifica como falha de controle de acesso. O princípio prático é simples: cada pessoa só deve enxergar o que precisa pra fazer o próprio trabalho. Recepção não precisa ver histórico clínico detalhado; financeiro não precisa ver diagnóstico. A maioria dos sistemas de prontuário eletrônico já tem perfil de usuário configurável, o problema é que raramente é configurado de verdade. Vale revisar isso uma vez e documentar quem tem acesso a quê.

Plano de resposta a incidente: ter antes de precisar

Prazo de comunicação de incidente à ANPD é de até 3 dias úteis. Isso não dá tempo pra improvisar. O plano não precisa ser um documento de 40 páginas, precisa responder, de forma objetiva, quatro perguntas: quem é avisado internamente assim que um vazamento é identificado, como se isola o problema (trocar senha, desligar acesso, tirar sistema do ar), quem redige a comunicação formal à ANPD e aos pacientes afetados, e quem é o responsável técnico que assina esse processo. Ter isso escrito com antecedência é a diferença entre uma resposta em horas e uma resposta em dias, e esse tempo conta na dosimetria da multa.

Quanto custa não fazer nada

A ANPD trocou de postura em 2026 (leia o panorama completo da fiscalização pra entender a virada regulatória e como a multa é calculada por porte de empresa), e Saúde está no topo da lista de prioridade. Pra clínica pequena, o que importa saber é que a multa incide sobre faturamento, não sobre lucro: um diagnóstico inicial de adequação à LGPD custa uma fração desse risco, e leva dias, não meses, para sair do papel.

Na FP IT Solutions ajudamos pequenas empresas, inclusive clínicas e consultórios, a organizar essa parte técnica da LGPD: hospedagem segura de prontuário, backup testado, controle de acesso configurado de verdade e um plano de resposta a incidente que existe antes de ser precisado.

Referências

Minotto Contabilidade: ANPD Fiscalização 2026: PME e Multas LGPD