Termo de consentimento para tratamento de dados pessoais na clínica: quando a LGPD exige
A LGPD não exige termo de consentimento para tratamento de dados pessoais no atendimento clínico comum: anamnese, exame, prontuário, prescrição e guarda dos registros têm base legal própria, que dispensa o consentimento do titular. A Lei nº 13.709/2018 autoriza o tratamento de dados de saúde, sem consentimento, quando ele é indispensável para a tutela da saúde em procedimento realizado por profissionais ou serviços de saúde (art. 11, II, “f”), e também para o cumprimento de obrigação legal e o exercício regular de direitos. O termo de consentimento LGPD passa a ser necessário quando a clínica usa os dados para finalidades fora do cuidado, como marketing, divulgação de imagem ou compartilhamento que não decorre da assistência.
Em muitas clínicas, a adequação à lei começou pelo caminho mais visível: um formulário na recepção em que o paciente “autoriza o uso dos seus dados”. O documento dá sensação de segurança, mas costuma criar o problema contrário. Quando a clínica escolhe o consentimento como base para tudo, o paciente pode revogá-lo a qualquer momento, e a clínica fica sem fundamento para um tratamento que, na verdade, ela era obrigada a fazer.
Este texto mostra quando o consentimento é a base legal correta, quando não é, por que a autorização genérica é nula e como ele se diferencia do termo de consentimento livre e esclarecido (TCLE) do procedimento médico. Não há modelo pronto: o desenho certo depende do mapa de dados de cada serviço. As normas citadas foram conferidas nas fontes oficiais em outubro de 2026.
Principais pontos
- O atendimento em si não depende de consentimento LGPD: a tutela da saúde (art. 11, II, “f”) e a obrigação legal de manter prontuário (art. 11, II, “a”) são bases próprias.
- Consentimento é uma entre várias bases legais, e só faz sentido quando o titular tem liberdade real de recusar sem perder o atendimento.
- Autorização genérica é nula: o consentimento precisa ter finalidade determinada e, para dado de saúde, ser específico e destacado (arts. 8º, § 4º, e 11, I).
- Marketing, imagem e compartilhamento comercial são os pontos em que a clínica normalmente precisa do consentimento, porque o legítimo interesse não se aplica a dados sensíveis.
- O TCLE clínico e o consentimento da LGPD são documentos diferentes, com objeto, norma e efeitos próprios; juntar os dois num papel genérico enfraquece ambos.
O que é o termo de consentimento para tratamento de dados pessoais?
O termo de consentimento para tratamento de dados pessoais é o registro da manifestação livre, informada e inequívoca pela qual o titular concorda com o uso dos seus dados para uma finalidade determinada. A definição está no art. 5º, XII, da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), e o consentimento aparece como a primeira das hipóteses legais de tratamento (art. 7º, I).
A palavra “primeira”, porém, é só a ordem da lista. A LGPD prevê dez hipóteses para dados pessoais comuns (art. 7º) e um rol próprio, mais restrito, para os dados pessoais sensíveis (art. 11). Dado referente à saúde é sensível por definição (art. 5º, II). Isso significa que quase tudo o que uma clínica registra sobre o paciente segue as regras do art. 11, e não as do art. 7º.
Na prática, o termo de consentimento é um instrumento de prova. A lei atribui ao controlador, ou seja, à clínica ou ao médico que decide sobre o tratamento, o ônus de provar que o consentimento foi obtido de forma regular (art. 8º, § 2º). Se a base legal escolhida for outra, o termo não é exigido, mas a clínica continua obrigada a informar o paciente e a respeitar os princípios da lei (art. 7º, § 6º).
A LGPD exige termo de consentimento para atender o paciente?
Não. Para o atendimento, a LGPD permite o tratamento de dados de saúde sem consentimento do titular sempre que ele for indispensável para a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (art. 11, II, “f”, com a redação da Lei nº 13.853/2019). Anamnese, exame físico, solicitação de exames, prescrição, evolução e encaminhamento estão nesse núcleo.
Outras duas bases do mesmo artigo cobrem situações frequentes na clínica. O cumprimento de obrigação legal ou regulatória (art. 11, II, “a”) fundamenta a elaboração e a guarda do prontuário, exigidas pelo Código de Ética Médica (art. 87) e pela Lei nº 13.787/2018, que fixa o prazo mínimo de 20 anos a partir do último registro para prontuários em papel e digitalizados (art. 6º). O exercício regular de direitos em contrato e em processo judicial, administrativo ou arbitral (art. 11, II, “d”) fundamenta, por exemplo, o uso do prontuário na defesa do médico.
A tabela abaixo organiza as situações mais comuns. A coluna de base legal indica o enquadramento provável, que precisa ser confirmado no mapeamento de dados de cada serviço.
| Atividade da clínica | Base legal provável (LGPD) | Precisa de consentimento? |
|---|---|---|
| Anamnese, exame, diagnóstico, prescrição e evolução | Tutela da saúde (art. 11, II, “f”) | Não |
| Elaboração e guarda do prontuário por 20 anos | Obrigação legal ou regulatória (art. 11, II, “a”; art. 16, I) | Não |
| Uso do prontuário na defesa em processo judicial ou ético | Exercício regular de direitos (art. 11, II, “d”) | Não |
| Atendimento de urgência com paciente inconsciente | Proteção da vida ou da incolumidade física (art. 11, II, “e”) | Não |
| Envio de dados a operadora ou serviço de diagnose ligados ao atendimento | Bases do art. 11, II, conforme o fluxo; o § 4º admite o compartilhamento na prestação de serviços de saúde em benefício do titular | Em regra, não |
| Envio de conteúdo promocional, campanhas e newsletter | Consentimento (art. 11, I), quando envolve dado de saúde | Sim |
| Publicação de foto, vídeo ou relato do caso em redes, aulas ou eventos | Consentimento específico, além das normas éticas de publicidade | Sim |
| Compartilhamento de dados de saúde com parceiro para obter vantagem econômica | Vedado, salvo as exceções do art. 11, § 4º | O consentimento não resolve |
A última linha merece atenção. A lei proíbe a comunicação ou o uso compartilhado de dados de saúde entre controladores com objetivo de obter vantagem econômica, salvo nas hipóteses ligadas à prestação de serviços de saúde, assistência farmacêutica e assistência à saúde, em benefício dos titulares, para permitir a portabilidade pedida pelo titular ou as transações financeiras e administrativas decorrentes do serviço (art. 11, § 4º). Uma assinatura do paciente não transforma em lícito o que a lei veda.
Por que pedir consentimento para tudo é um erro comum?
Pedir consentimento para tudo é um erro porque o consentimento é revogável a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º), e a clínica não pode atender a revogação quando o tratamento é obrigatório. Se o prontuário foi formalmente apoiado no consentimento e o paciente o retira, a clínica fica diante de uma contradição criada por ela mesma: a base declarada desapareceu, mas o dever legal de guardar o documento continua.
Há outros três problemas no formulário genérico de recepção:
- Nulidade da autorização genérica. O consentimento deve se referir a finalidades determinadas, e autorizações genéricas são nulas (art. 8º, § 4º). Uma frase como “autorizo o uso dos meus dados para os fins da clínica” não atende a esse requisito.
- Falta de destaque. Para dado sensível, o consentimento precisa ser dado “de forma específica e destacada, para finalidades específicas” (art. 11, I). Quando vem por escrito dentro de um contrato ou ficha, deve constar de cláusula destacada das demais (art. 8º, § 1º).
- Liberdade aparente. Se o paciente não pode ser atendido sem assinar, a manifestação dificilmente é livre. Quando o tratamento de dados é condição para o serviço, a lei pede outra coisa: que o titular seja informado com destaque sobre esse fato e sobre como exercer seus direitos (art. 9º, § 3º).
Exemplo hipotético: uma clínica de dermatologia adota uma ficha única com a frase “autorizo o tratamento dos meus dados pessoais e de saúde para todas as finalidades da clínica, inclusive divulgação”. Meses depois, uma paciente encontra a foto do seu procedimento em uma rede social da clínica. A ficha não comprova consentimento para aquela publicação, porque não indicou finalidade determinada nem foi destacada. A clínica responde pelo uso indevido, e a mesma ficha ainda serve de evidência de que o processo de privacidade foi mal desenhado.
Quando a clínica precisa, de fato, do termo de consentimento LGPD?
A clínica precisa do termo de consentimento LGPD quando quer usar dados do paciente para uma finalidade que não se enquadra em nenhuma outra hipótese legal do art. 11. As situações típicas são o envio de comunicações promocionais com base no histórico de saúde, a divulgação de imagens e casos, a participação em programas de parceiros que não decorrem da assistência e o compartilhamento de dados com outro controlador que não esteja coberto por base própria (art. 7º, § 5º).
Um detalhe muda a análise do marketing: o legítimo interesse, previsto para dados comuns no art. 7º, IX, não aparece entre as hipóteses do art. 11. Para dados de saúde, portanto, a clínica não pode usar o próprio interesse comercial como fundamento. Lembrete de consulta agendada tende a estar ligado à assistência; oferta de procedimento a quem tratou determinada condição é comunicação comercial que usa dado sensível.
Quando o consentimento for a base, os requisitos da lei são estes:
- Forma: por escrito ou por outro meio que demonstre a manifestação de vontade (art. 8º, caput), como aceite eletrônico registrado.
- Finalidade: uma finalidade determinada por autorização; nova finalidade incompatível exige informar o titular e permite a revogação (art. 9º, § 2º).
- Informação prévia: finalidade, forma e duração, identificação e contato do controlador, uso compartilhado e direitos do titular (art. 9º); informação enganosa ou não apresentada com transparência anula o consentimento (art. 9º, § 1º).
- Possibilidade de recusa: o titular deve ser informado sobre a possibilidade de não consentir e sobre as consequências da negativa (art. 18, VIII).
- Revogação simples: gratuita e facilitada, com eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses de conservação do art. 16 (arts. 8º, § 5º, e 18, VI e IX).
Qual a diferença entre o termo de consentimento LGPD e o TCLE?
O termo de consentimento LGPD autoriza o uso de dados pessoais para uma finalidade; o TCLE registra a decisão do paciente sobre um procedimento ou tratamento, depois de esclarecido sobre riscos, benefícios e alternativas. São documentos com objetos distintos, fundados em normas distintas, e a falta de um não é suprida pelo outro.
| Aspecto | Consentimento da LGPD | TCLE do procedimento |
|---|---|---|
| Objeto | Uso de dados pessoais para finalidade determinada | Realização de procedimento ou tratamento |
| Base normativa | LGPD, arts. 5º, XII, 8º, 9º e 11, I | Código de Ética Médica, art. 22; Lei nº 15.378/2026, arts. 12 e 14 |
| Quando é necessário | Só quando nenhuma outra base legal se aplica | Antes de procedimentos, salvo risco iminente de morte |
| Efeito da revogação | Encerra o tratamento baseado no consentimento | O paciente pode retirar o consentimento a qualquer tempo, sem represálias |
| Consequência típica da falta | Tratamento sem base legal, com risco de sanção administrativa e indenização | Infração ética e discussão de responsabilidade civil por falha de informação |
O dever do TCLE vem do Código de Ética Médica, que veda ao médico deixar de obter o consentimento do paciente ou de seu representante legal após esclarecê-lo sobre o procedimento, salvo em risco iminente de morte (art. 22). O Estatuto dos Direitos do Paciente (Lei nº 15.378/2026) reforçou a regra: o paciente tem direito à informação sobre riscos, benefícios e alternativas (art. 12) e ao consentimento informado, podendo retirá-lo a qualquer tempo (art. 14). Como estruturar esse documento é tema do texto sobre TCLE que realmente protege e do passo a passo do TCLE válido. A visão geral do conceito está no guia da ANADEM sobre o que é o termo de consentimento livre e esclarecido.
Juntar os dois no mesmo papel não é proibido, mas costuma prejudicar ambos. O TCLE perde foco quando mistura riscos cirúrgicos com cláusulas de dados, e a autorização de dados deixa de ser destacada. Quando a clínica precisar dos dois, a separação em blocos ou documentos próprios facilita a prova de cada um.
Como fica o consentimento para dados de crianças e adolescentes?
Dados de crianças e adolescentes podem ser tratados com base nas hipóteses dos arts. 7º e 11 da LGPD, inclusive sem consentimento parental, desde que o melhor interesse do titular seja observado e prevaleça no caso concreto. Essa é a interpretação fixada pela autoridade nacional no Enunciado CD/ANPD nº 1, de 22 de maio de 2023, sobre o art. 14 da lei.
Na pediatria, a tutela da saúde continua sendo a base do atendimento. O consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal (art. 14, § 1º) volta a ser relevante nas finalidades que fogem da assistência, como imagem e comunicação. A participação da própria criança ou do adolescente na decisão clínica é outro assunto, tratado em termo de consentimento e termo de assentimento.
E na telemedicina, o consentimento é obrigatório?
Na telemedicina existe um consentimento próprio, exigido pela norma profissional e não pela LGPD. A Resolução CFM nº 2.314/2022 determina que o paciente ou seu representante legal autorize o atendimento por telemedicina e a transmissão de suas imagens e dados, por consentimento livre e esclarecido enviado por meio eletrônico ou por gravação da leitura do texto com a concordância, registrado no prontuário eletrônico (art. 15). A Lei nº 8.080/1990, com a redação da Lei nº 14.510/2022, também exige consentimento livre e esclarecido para a telessaúde (art. 26-G, I).
Esse consentimento trata da modalidade de atendimento. Ele não converte o consentimento em base legal de todo o tratamento de dados da teleconsulta, que continua apoiado na tutela da saúde. A escolha do fornecedor e o contrato com a plataforma são analisados no texto sobre plataformas de telemedicina seguras.
O que a clínica deve ter no lugar de um termo genérico?
No lugar do termo genérico, a clínica precisa de um processo de privacidade que comprove a base legal de cada tratamento e informe o paciente com transparência. O consentimento entra apenas nas finalidades em que é a base correta. Os elementos mínimos, todos previstos na lei, são:
- Registro das operações de tratamento, que o controlador e o operador devem manter (art. 37), indicando finalidade e base legal de cada fluxo.
- Aviso de privacidade com as informações do art. 9º, disponível na recepção, no site e nos canais digitais.
- Encarregado pelo tratamento de dados, com identidade e contato divulgados (art. 41), observadas as hipóteses de dispensa que a autoridade nacional pode estabelecer conforme o porte (art. 41, § 3º).
- Canal para os direitos do titular, como acesso, correção e informação sobre compartilhamento (art. 18), atendidos sem custo para o titular (art. 18, § 5º).
- Medidas de segurança técnicas e administrativas contra acessos não autorizados e incidentes (art. 6º, VII).
O descumprimento sujeita a clínica às sanções administrativas do art. 52, que vão da advertência à multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados e suspensão do tratamento. Sobre a cadeia de adequação, há dois textos complementares: o guia de adequação da clínica e o roteiro de LGPD para médicos. No blog da Seguremed, a rotina de recepção e arquivo é tratada em como a clínica deve tratar os dados.
A proteção de dados também convive com o sigilo médico, que tem fundamento próprio no Código de Ética e não depende da LGPD. A relação entre os dois regimes no prontuário está em o prontuário médico é sigiloso.
Perguntas frequentes
O paciente pode se recusar a assinar o termo de consentimento LGPD e ainda ser atendido?
Pode, e isso mostra por que o atendimento não deve depender desse termo. O tratamento de dados necessário ao cuidado tem base na tutela da saúde (LGPD, art. 11, II, “f”). A recusa do paciente só impede as finalidades que dependem de consentimento, como comunicação promocional ou divulgação de imagem. O TCLE do procedimento é outro documento e segue regras próprias.
Se o paciente revogar o consentimento, a clínica precisa apagar o prontuário?
Não. O prontuário é mantido por obrigação legal, com prazo mínimo de 20 anos a partir do último registro (Lei nº 13.787/2018, art. 6º), e a LGPD autoriza a conservação de dados para cumprimento de obrigação legal ou regulatória (art. 16, I). A revogação alcança apenas os tratamentos que tinham o consentimento como base, como uma lista de envio de conteúdo.
Uma cláusula de dados dentro do contrato de prestação de serviços é suficiente?
Só se a cláusula for destacada das demais, indicar finalidade determinada e for dada de forma específica, quando envolver dados de saúde (LGPD, arts. 8º, § 1º e § 4º, e 11, I). Cláusula genérica, que autoriza “todas as finalidades”, é nula. Antes de redigir, convém conferir se a finalidade realmente depende de consentimento ou já tem outra base legal.
A clínica pode usar legítimo interesse para enviar promoções a pacientes?
Não quando a comunicação usa dados de saúde. O legítimo interesse está previsto no art. 7º, IX, da LGPD, aplicável a dados comuns, e não figura entre as hipóteses do art. 11, que rege os dados sensíveis. Se a mensagem é direcionada a partir do histórico clínico ou do tratamento feito, a base adequada tende a ser o consentimento específico e destacado.
Quem responde se o consentimento não puder ser comprovado?
O controlador, que é quem decide sobre o tratamento: a clínica, quando os dados são tratados por ela, ou o médico, no consultório próprio. A LGPD atribui ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com a lei (art. 8º, § 2º). Por isso o registro precisa mostrar o quê, quando e para qual finalidade o titular concordou.
