LGPD no consultório médico: guia prático de dados de paciente e prontuário

O que a LGPD exige de um consultório médico

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, conhecida pela sigla LGPD) vale para qualquer tratamento de dado pessoal no Brasil, e isso inclui o consultório de um único médico tanto quanto a rede hospitalar. Não existe isenção por porte: se você registra nome, histórico e queixa de um paciente, você já trata dado pessoal sensível e já está dentro da lei.

Isso soa ameaçador, mas a exigência central é mais simples do que parece. A LGPD pede, em essência, quatro coisas de um consultório: uma base legal correta para cada uso do dado, transparência com o paciente sobre esse uso, segurança e sigilo nos registros, e resposta aos direitos do titular — o paciente pode pedir acesso aos próprios dados e, nos limites da lei e das normas do CFM, a exclusão deles (art. 18). O restante deste guia destrincha cada uma dessas frentes, porque é nos detalhes — consentimento, papéis e softwares — que a maioria das dúvidas mora.

Dados sensíveis de saúde e base legal (tutela da saúde, art. 11, II, "f")

Todo dado que revela a saúde de alguém é classificado pela LGPD como dado pessoal sensível, a categoria com as regras mais rígidas da lei. Só que a própria lei previu que a medicina não pode parar para colher assinatura a cada anotação: o art. 11, II, "f" autoriza o tratamento de dado sensível, sem consentimento, quando ele é indispensável à tutela da saúde, em procedimento realizado por profissionais de saúde sujeitos a sigilo.

Essa é a base legal natural do consultório, e ela é autossuficiente. Anamnese, evolução, prescrição, exames, agendamento e contato para acompanhamento clínico cabem todos dentro da tutela da saúde, porque servem ao cuidado daquele paciente. O médico não precisa pedir permissão para exercer a medicina — precisa, isso sim, garantir que o dado colhido para cuidar não escorregue para outra finalidade sem amparo.

Vale lembrar que a obrigação de manter prontuário não vem da LGPD, e sim do próprio Conselho Federal de Medicina: a Resolução CFM 1.638/2002 define o prontuário e torna sua elaboração obrigatória. Na prática, as duas normas se somam — o CFM manda registrar, e a LGPD manda proteger o que foi registrado. E quando o prontuário é eletrônico, a validade jurídica dos documentos vem da assinatura digital do médico no padrão ICP-Brasil, conforme as Resoluções CFM 1.821/2007 e 2.299/2021 — nunca do software que ajudou a redigir.

Consentimento: quando é obrigatório (e quando não é)

Aqui mora a confusão mais comum. Muitos consultórios pedem assinatura em termos de consentimento genéricos "para ficar coberto pela LGPD", quando o atendimento assistencial em si não exige consentimento nenhum — a base é a tutela da saúde, como vimos acima. Pedir consentimento onde a lei não pede não é só burocracia inútil: é escolher uma base legal frágil, porque consentimento pode ser revogado a qualquer momento, enquanto a tutela da saúde não depende da vontade momentânea do titular.

O consentimento específico (art. 11, I) se torna obrigatório quando o dado sai do cuidado daquele paciente. Os casos típicos são usar dados de consulta para treinar modelos de IA, alimentar pesquisa científica identificável, montar analytics ou marketing com dado identificável, ou compartilhar informações com um terceiro que não seja operador técnico do próprio atendimento. Nesses cenários, o paciente precisa autorizar de forma livre, informada e destacada para aquela finalidade.

Há ainda um consentimento de outra natureza, que não é da LGPD e vive gerando mistura: a Resolução CFM 2.314/2022, que regulamenta a telemedicina, e a Lei nº 14.510/2022, que insere a telessaúde no SUS e na saúde em geral, exigem consentimento livre e esclarecido do paciente para o atendimento a distância. Esse é o consentimento do ato remoto, não do software usado numa consulta presencial. Quem quiser entender onde a gravação e a transcrição entram nessa história encontra o detalhamento em o que a LGPD permite ao gravar e transcrever a consulta.

Transparência: o dever de informar o paciente

Dispensar consentimento não significa tratar dado em silêncio. A LGPD eleva a transparência a princípio (art. 6º, VI) e a direito do titular (art. 9º): o paciente tem direito a informações claras e acessíveis sobre quais dados o consultório trata, para quê e com quem os compartilha. Avisar é diferente de pedir permissão — e a lei exige o aviso mesmo quando dispensa a permissão.

Isso ganhou um reforço específico com a chegada da IA ao consultório. A Resolução CFM 2.454/2026, que é a moldura do Conselho Federal de Medicina para o uso de inteligência artificial na medicina (publicada no D.O.U. em 27/02/2026, com vigência a partir de 26/08/2026), estabelece que "o paciente tem o direito de ser informado, de forma clara e acessível, sempre que a inteligência artificial for utilizada", e que o médico deve registrar em prontuário o uso da tecnologia como suporte. Ou seja: se uma IA transcreve sua consulta ou apoia sua decisão, o caminho é dizer isso ao paciente com naturalidade, não esconder. O panorama completo do que o CFM autoriza está em IA na medicina é permitida? O que o CFM autoriza (e proíbe).

Na rotina, transparência cabe em gestos pequenos: uma frase no início da consulta ("eu uso um sistema que transcreve nossa conversa para o prontuário; o áudio não fica gravado"), um aviso de privacidade legível no site ou na recepção e uma resposta honesta quando o paciente perguntar onde os dados dele ficam.

Controlador e operador: o papel do médico e o do software

A LGPD divide as responsabilidades em dois papéis (art. 5º, VI e VII). O controlador é quem decide o que fazer com o dado — no consultório, esse papel é do médico ou da clínica, porque é ele quem define que dados colher e para qual finalidade. O operador é quem trata o dado em nome do controlador e sob as instruções dele (art. 39) — e é exatamente aí que entram o prontuário eletrônico, o sistema de agenda e o escriba de IA que você contrata.

Essa divisão tem uma consequência prática que muitos médicos subestimam: escolher software é um ato de responsabilidade do controlador. Quando você contrata uma ferramenta que toca dados de paciente, você continua respondendo pela finalidade do tratamento, e por isso precisa saber o que o fornecedor faz com esses dados, exigir que ele siga só as suas instruções e formalizar isso em contrato. Um operador que usa os dados dos seus pacientes para fins próprios — treinar modelo, vender inteligência de mercado — deixou de ser operador e virou um problema seu.

LGPD ao usar softwares e IA médica

Aplicada ao software, a lógica da lei é a mesma de sempre: o dado do paciente entra na ferramenta para servir ao cuidado, e nada além disso. Um escriba de IA que transcreve a consulta e devolve o rascunho da evolução opera dentro da tutela da saúde, desde que três condições se sustentem ao mesmo tempo — o paciente sabe que a transcrição acontece, o médico revisa e assume o documento final, e o fornecedor não desvia o dado para outra finalidade.

O Voctor foi desenhado em cima dessas condições. O áudio da consulta nunca é armazenado: ele vira texto em tempo real e é descartado no ato, por decisão de arquitetura, sem configuração que altere isso. Cada médico acessa somente os próprios pacientes, o documento entregue é sempre um rascunho que o médico revisa e aprova, e a exportação ou exclusão dos dados pode ser pedida a qualquer momento — o direito é o do art. 18 da LGPD, e o prazo de até 15 dias para concluir a exclusão é um compromisso do Voctor, não um número fixado pela lei. Nenhuma ferramenta torna um consultório "automaticamente conforme", mas uma ferramenta bem desenhada tira da frente os riscos que não precisavam existir, a começar pelo maior deles: um acervo de gravações de consultas paradas num servidor.

O que perguntar a um fornecedor antes de contratar

Antes de assinar com qualquer software que toque dado de paciente, vale fazer cinco perguntas — e pedir por escrito a resposta que vier vaga:

• O áudio ou o dado bruto é armazenado? Se sim, por quanto tempo, onde e com qual justificativa, porque tudo que fica guardado pode vazar.
• Meus dados treinam a IA de vocês? Se a resposta for sim, isso exige consentimento específico dos seus pacientes — e o problema passa a ser seu.
• Quem, dentro do fornecedor, consegue acessar os dados dos meus pacientes? A resposta deve descrever controle de acesso, não boa vontade.
• Como eu exporto e apago tudo se decidir sair? Portabilidade e exclusão são direitos do titular (art. 18) e proteção sua contra aprisionamento.
• Existe contrato formalizando o papel de operador? O documento deve dizer que o fornecedor trata os dados só sob suas instruções e para o seu atendimento.

O roteiro completo de avaliação — critérios, perguntas ao fornecedor e o checklist final — está no guia sobre como escolher software para consultório médico.

Checklist de conformidade para o consultório

Para transformar tudo isso em rotina, o caminho cabe numa lista curta. Nenhum item exige advogado de plantão — exigem, isso sim, decisão e constância:

1. Mapeie os dados que você trata. Liste onde vivem os dados de paciente hoje: prontuário, agenda, WhatsApp, planilhas, e-mail. O que você não sabe que tem, você não protege.
2. Defina a base legal de cada uso. Atendimento e acompanhamento ficam na tutela da saúde (art. 11, II, "f"); qualquer uso fora do cuidado — pesquisa, marketing, treino de IA — precisa de consentimento específico.
3. Informe o paciente com clareza. Mantenha um aviso de privacidade simples e avise, na consulta, quando usar IA para transcrever ou apoiar decisão, registrando esse uso no prontuário, como pede a Resolução CFM 2.454/2026.
4. Controle o acesso aos registros. Cada pessoa da equipe acessa só o que precisa, com senha própria, e o prontuário eletrônico é assinado digitalmente pelo médico no padrão ICP-Brasil.
5. Formalize seus operadores. Tenha contrato com cada software que toca dado de paciente e guarde as respostas das cinco perguntas da seção anterior.
6. Prepare-se para os direitos do titular. Saiba, antes de o pedido chegar, como você entregaria uma cópia dos dados de um paciente e como excluiria o que a norma do CFM não obriga a guardar.
7. Não acumule o que não precisa existir. Áudio de consulta guardado, planilha antiga duplicada e conversa clínica em aplicativo pessoal são riscos sem função — elimine na origem.