A Autoridade Nacional de Proteção de Dados definiu meta de dez atividades de fiscalização até o fim de 2026, com foco declarado em três categorias: dados de saúde, biometria e dados financeiros. Não é uma ameaça genérica. Levantamentos recentes sobre o comportamento da ANPD apontam a saúde como o setor com maior probabilidade de ser fiscalizado nos próximos 18 meses, incluindo clínicas médicas, odontológicas, estéticas, laboratórios, planos de saúde e operações de telemedicina.
Se você administra uma clínica, um laboratório ou uma rede de diagnóstico, isso deveria mudar sua lista de prioridades desta semana. Não porque a multa é o pior cenário (ela é grave: até 2% do faturamento do último exercício, limitada a R$ 50 milhões por infração), mas porque o padrão de autuação da ANPD revela exatamente onde a maioria das organizações de saúde está vulnerável, e são falhas de gestão, não de tecnologia.
Por que dados de saúde são prioridade
Dado de saúde é categoria de dado sensível pela LGPD, com regras mais rígidas de tratamento do que dado comum. Some a isso o volume: uma clínica de porte médio acumula prontuários, exames, resultados de laboratório, histórico de convênio e, cada vez mais, dados vindos de dispositivos de telemedicina. O risco de exposição é maior, e o dano a um titular cujo diagnóstico vaza é qualitativamente diferente de um vazamento de e-mail comercial.
A ANPD já sinalizou publicamente que a concentração dos casos mais graves de fiscalização está em saúde, justamente pelo volume e pela sensibilidade dos dados envolvidos. Os pontos que mais aparecem nas autuações não são exóticos:
- Ausência de base legal documentada para o tratamento, principalmente no compartilhamento de dados com seguradoras e operadoras de planos de saúde;
- Prontuários sem controle de acesso granular, onde qualquer funcionário autenticado no sistema consegue abrir o histórico de qualquer paciente;
- Falta de transparência com o titular sobre para onde os dados vão e por quanto tempo ficam retidos;
- Não atendimento aos direitos do titular dentro do prazo legal (acesso, correção, exclusão);
- Segurança da informação precária, sem trilha de auditoria que permita reconstruir quem acessou o quê e quando.
Note que quatro dos cinco pontos não são problema de firewall. São problema de processo: quem decide o que é base legal, quem revisa o controle de acesso, quem responde a uma solicitação de titular dentro do prazo. É gestão, e gestão se audita como qualquer outro processo de qualidade.
O erro de tratar LGPD como projeto de TI
A reação mais comum de clínicas médias ao tema é chamar o time de TI, pedir um relatório de segurança e arquivar o assunto até a próxima cobrança. O problema é que a ANPD não fiscaliza infraestrutura isoladamente, fiscaliza evidência de governança contínua: política escrita, registro de incidentes, treinamento da equipe, mapeamento atualizado de quais sistemas tratam quais dados.
Isso é exatamente a mesma lógica que já vale para acreditação hospitalar e para normas de qualidade em saúde: não basta o processo existir, precisa haver evidência auditável de que ele roda de forma sistemática. A própria ONA, no Manual OPSS 2026, deslocou o eixo da avaliação para evidência auditável e contínua em processos críticos, abandonando o modelo de checklist pontual. A fiscalização de dados segue a mesma direção. Quem já organiza a casa para acreditação e para normas ISO tem menos trabalho para se adequar à LGPD, porque a disciplina de documentar e auditar já existe. Quem trata compliance como caixa a marcar uma vez por ano começa do zero toda vez que um regulador bate à porta.
A pergunta que a ANPD faz numa fiscalização não é se a organização tem um sistema seguro. É se ela consegue provar, com registro, por que trata cada dado, quem acessou e o que faz quando algo dá errado.
Checklist prático para os próximos 60 dias
Para uma clínica, laboratório ou rede de diagnóstico que ainda não tratou o tema com a seriedade que ele exige, a lista de prioridades é curta e objetiva:
- Mapeie a base legal de cada fluxo de dado sensível: atendimento, faturamento com convênio, telemedicina, pesquisa clínica. Cada um pode ter base legal diferente, e isso precisa estar documentado, não só na cabeça de quem implementou o sistema há três anos.
- Audite o controle de acesso ao prontuário. Se qualquer colaborador autenticado abre o histórico de qualquer paciente, esse é o primeiro ponto que um fiscalizador vai testar.
- Formalize o canal de atendimento ao titular com prazo de resposta definido e registrado. Não é suficiente responder rápido informalmente, precisa haver registro de que a resposta ocorreu dentro do prazo legal.
- Documente incidentes, mesmo os pequenos. Um incidente sem registro formal, quando descoberto em auditoria, pesa contra a organização com muito mais força do que o próprio incidente.
- Revise contratos com terceiros que recebem dado de paciente: laboratórios parceiros, seguradoras, plataformas de telemedicina. A responsabilidade não termina quando o dado sai da sua organização.
Nenhum desses pontos exige investimento pesado em tecnologia. Exige rotina de gestão da qualidade aplicada ao dado, os mesmos princípios que já regem controle de documento, não conformidade e ação corretiva em qualquer sistema de gestão maduro. Quem já opera com essa disciplina em outras áreas da organização (auditoria interna, não conformidades, evidências de processo) tem a estrutura pronta para estender ao dado pessoal. É o que o módulo de qualidade e compliance do facilita.ops foi desenhado para sustentar: evidência centralizada, trilha de auditoria e não conformidades tratadas com o mesmo rigor, seja o achado sobre esterilização de material ou sobre acesso a prontuário.
O custo de esperar a notificação
A diferença entre organizações que se saem bem numa fiscalização e as que apanham não é o tamanho do orçamento de compliance, é o tempo de antecedência. Quem começa a organizar evidência de governança de dado depois de receber uma notificação da ANPD está correndo atrás de um processo que deveria ter começado meses antes, sob pressão e com prazo curto. Quem já tem a rotina rodando simplesmente exporta o relatório.
A meta pública da ANPD de dez fiscalizações até o fim de 2026, com saúde como alvo declarado, é um aviso, não uma surpresa. Organizações de saúde que tratam esse prazo como oportunidade de arrumar a casa, e não como ameaça a ser gerenciada na hora do susto, chegam ao próximo ciclo de auditoria (seja da ANPD, seja de acreditação) em posição bem mais confortável.
“Isso é problema de empresa grande”: o mito mais caro do setor
Uma resistência comum em clínica pequena e média é achar que fiscalização de proteção de dados mira operadora de plano de saúde e rede hospitalar de grande porte, não um consultório com três unidades ou um laboratório regional. É leitura equivocada do risco. A ANPD já deixou claro que PME também está no radar, justamente porque é onde o descuido tende a ser maior: sem departamento jurídico dedicado, sem DPO formal, sem rotina de auditoria interna. Faturamento menor limita o valor absoluto da multa (o teto de R$ 50 milhões dificilmente se aplica a um negócio pequeno), mas o percentual de até 2% do faturamento incide do mesmo jeito, e para uma clínica que já opera com margem apertada, esse percentual pode significar meses de caixa.
Some a isso o risco reputacional, que pesa desproporcionalmente mais para negócio pequeno: paciente de clínica de bairro fica sabendo de vazamento de dado muito mais rápido, pelo boca a boca local, do que paciente de rede hospitalar grande e diluída. A confiança é o ativo central de qualquer operação de saúde, e é justamente o que um incidente de dado mal administrado corrói primeiro.
Como costuma funcionar uma fiscalização, na prática
Vale desmistificar o processo. A ANPD normalmente não bate à porta sem aviso prévio. O caminho mais comum começa com notificação formal solicitando documentação: política de privacidade, registro de tratamento de dados, evidência de resposta a solicitações de titulares, e em muitos casos, um prazo definido para a organização responder ou se manifestar. É nesse primeiro momento que a diferença entre quem se preparou e quem não se preparou fica evidente.
Organização que já mantém a documentação viva, atualizada e centralizada consegue montar a resposta em dias, com anexos consistentes entre si. Organização que trata LGPD como formalidade assinada uma vez e arquivada gasta esse mesmo prazo tentando reconstruir, às pressas, o que deveria já estar pronto, e frequentemente entrega documentação incompleta ou contraditória, o que piora a posição da empresa no processo em vez de ajudar.
O paralelo com auditoria de qualidade é direto. Toda organização de saúde que já passa por auditoria de acreditação ou de norma ISO conhece a diferença entre chegar com evidência organizada e chegar improvisando na hora. Fiscalização de proteção de dados segue exatamente essa mesma lógica, só que com consequência financeira mais dura e prazo de resposta mais curto.
Quer aplicar isso na sua organização?
Em 5 minutos, faça um diagnóstico de prontidão e descubra onde sua operação ganha em organização, compliance e gestão.
Diagnóstico de prontidão Falar com a gente