Um escritório de Direito da Saúde lida diariamente com o tipo de informação mais protegido pela legislação brasileira: relatório médico, laudo de exame, prontuário, prescrição, histórico de tratamento. Não é dado pessoal comum — é dado pessoal sensível, e o regime jurídico é outro.
A LGPD (Lei 13.709/2018) classifica dados referentes à saúde como sensíveis (art. 5º, II) e submete seu tratamento a hipóteses mais restritas que as dos dados comuns (art. 11).
Quem é quem nessa cadeia
- Controlador — quem decide sobre o tratamento. No caso, o escritório: ele define quais documentos coleta, para quê e por quanto tempo guarda.
- Operador — quem trata os dados em nome do controlador, seguindo suas instruções (art. 39). É a posição de fornecedores de tecnologia, arquivo e apoio administrativo.
Essa distinção importa porque a responsabilidade não é terceirizável junto com a tarefa: quem contrata continua respondendo pela escolha e pela supervisão do parceiro.
As bases legais que sustentam o tratamento
Para dados sensíveis, a LGPD admite o consentimento — que precisa ser específico e destacado, não uma cláusula genérica no contrato de honorários — e também hipóteses independentes de consentimento, entre elas o cumprimento de obrigação legal ou regulatória e o exercício regular de direitos em processo judicial, administrativo ou arbitral.
Na prática, a atuação do escritório costuma se apoiar nessas hipóteses. Ainda assim, três cuidados permanecem: finalidade delimitada (o documento serve àquele caso, não a qualquer uso), minimização (coletar o necessário, não tudo que o cliente tem) e transparência sobre quem terá acesso.
Sigilo profissional não substitui a LGPD
É comum ouvir que o sigilo do advogado já resolve. Ele não resolve — os regimes são complementares e têm lógicas distintas. O sigilo protege a relação com o cliente; a LGPD impõe deveres de segurança, registro, retenção e resposta a incidentes, com fiscalização da ANPD.
Um escritório pode manter sigilo impecável e, ainda assim, estar irregular por guardar prontuários em drive pessoal sem controle de acesso, indefinidamente.
É por isso que a MedApoio opera com acesso segmentado por caso e registro de acessos. A finalidade é única e delimitada — estruturar a etapa administrativa do caso — e o escritório mantém visibilidade sobre todo o fluxo pelo portal.
O que exigir de qualquer parceiro que toque nesses dados
Antes de compartilhar um único arquivo, peça:
- Contrato com cláusulas de tratamento de dados — papel de operador, finalidade, instruções e responsabilidades;
- Confidencialidade estendida à equipe do parceiro, individualmente;
- Controle de acesso por necessidade — quem trabalha no caso vê o caso, não o acervo;
- Registro de acessos e de operações, para demonstrar o histórico quando necessário;
- Criptografia em trânsito e em repouso;
- Regra de retenção e eliminação ao fim da finalidade;
- Plano de resposta a incidentes, com dever de comunicar o escritório de imediato — a lei impõe comunicação à ANPD e ao titular em prazo razoável (art. 48);
- Vedação a subcontratar sem autorização prévia e por escrito.
Se o fornecedor não consegue responder a esses oito pontos por escrito, o risco fica com o escritório. Vale ler junto o que separa uma parceria bem estruturada de um arranjo problemático em o que um escritório pode terceirizar.
O que arrumar dentro de casa
- WhatsApp pessoal recebendo exames — migre para um canal do escritório, com controle;
- Drives compartilhados com acesso amplo a toda a equipe;
- E-mails com anexos sensíveis encaminhados sem necessidade;
- Documentos antigos guardados sem prazo definido de eliminação;
- Descarte de papel sem fragmentação.
Escritórios de pequeno porte têm regras simplificadas pela ANPD, mas nenhuma dispensa se aplica à segurança dos dados nem ao canal de atendimento ao titular.
Conclusão
Tratar dado de saúde é parte da atividade — não um acessório dela. Estruturar acesso, finalidade, retenção e resposta a incidentes protege o cliente, protege o escritório e, cada vez mais, é o que diferencia uma banca profissionalizada de uma operação improvisada.
Conteúdo informativo, que não substitui a análise do encarregado ou do compliance do escritório.