LGPD no consultório de nutrição: o que realmente muda no seu dia

Ninguém abre consultório de nutrição pensando em se tornar especialista em proteção de dados. E não precisa. A LGPD — a Lei 13.709/2018 — não pede que você entenda a lei; pede que meia dúzia de hábitos mudem.

O problema é que os hábitos que ela pede que mudem são exatamente os mais confortáveis: a planilha no drive, a foto no celular, o grupo com as colegas, o e-mail com cópia para todo mundo.

Este texto traduz a lei em rotina. Onde a resposta depender do seu caso concreto, o texto diz isso e para.

Você já guarda muito dado sensível, e sempre guardou

A LGPD separa dado pessoal de dado pessoal sensível, e dado referente à saúde está na segunda categoria — a que tem regime mais restrito. Um prontuário de nutrição é praticamente uma coleção deles: peso, circunferências, dobras cutâneas, percentual de gordura, foto corporal, queixa alimentar, diagnóstico, medicamento em uso, anotação de consulta. Some a isso nome, CPF, telefone, e-mail e endereço, e você tem um conjunto que identifica a pessoa e descreve o corpo dela.

Isso não começou com o software. A caderneta na gaveta já era tratamento de dados; ela só tinha uma tranca física, e a percepção de risco vinha junto. Arquivo digital não dá essa sensação, e é por isso que a atenção precisa ser deliberada.

Quatro perguntas que resolvem a maior parte

Não é preciso montar programa de governança para consultório de uma pessoa. É preciso conseguir responder quatro coisas sobre cada dado que você guarda:

Pergunta	Como se responde na prática
Para que eu coleto?	Cada campo tem uma finalidade de cuidado
Por quanto tempo guardo?	O prazo vem da norma, não da sua vontade
Quem mais tem acesso?	Você, o sistema e quem você autorizou
Onde os dados moram?	Um lugar, conhecido, com controle de acesso

A primeira pergunta é a mais útil de todas, porque ela encurta o formulário. Se um campo da sua anamnese não muda nenhuma decisão clínica, ele não tem finalidade — e um dado sem finalidade é só risco guardado. A revisão da anamnese e a revisão de privacidade são, nesse ponto, a mesma tarefa.

A quarta é a que mais gente erra sem perceber, porque a resposta honesta costuma ser “em quatro lugares”: o sistema, uma planilha, a galeria do celular e a caixa de e-mail.

Os vazamentos que acontecem de verdade

Consultório pequeno não sofre ataque sofisticado. Sofre distração. Cinco situações cobrem quase tudo o que dá errado:

A planilha no drive pessoal, compartilhada por link. Você mandou o link uma vez, para a colega que cobria suas férias, em 2023. O link continua ativo, continua aberto para quem tiver o endereço e continua com nome, telefone e objetivo de sessenta pessoas. Link de compartilhamento não expira sozinho.

A foto de paciente na galeria do celular. Foto de avaliação tirada pelo celular vai para o rolo da câmera, sobe para o backup automático da sua conta pessoal e aparece na sugestão de “memórias” no meio do almoço de família. Quando a foto é enviada para o sistema, ela fica em armazenamento privado com link de download assinado e temporário; a cópia que ficou no seu celular não tem nada disso.

O grupo de WhatsApp com nome de paciente. Discutir caso é legítimo. Discutir “a Fernanda, aquela da academia ali do centro” não é necessário para discutir o caso — e o grupo tem histórico, backup no aparelho de cada participante e rotatividade de membros.

O e-mail para o endereço errado. Um caractere trocado manda o cardápio de alguém para um desconhecido. E a versão pior: cópia visível em vez de cópia oculta num envio para vários pacientes, que revela a lista inteira de quem você atende — o que, em saúde, já é informação sensível por si só.

O aparelho sem senha. Notebook que abre direto na área de trabalho, celular sem bloqueio, sessão do sistema deixada aberta no computador da recepção. Fechar a aba não encerra sessão: em máquina compartilhada, o caminho é clicar em Sair no menu lateral.

Consentimento: nem tudo depende dele, uma coisa depende muito

Aqui mora o mal-entendido mais caro. Circula a ideia de que tudo precisa de consentimento assinado, e isso leva a dois erros opostos: o consultório que não faz nada porque a burocracia parece grande demais, e o que coleta uma assinatura genérica e acha que ficou coberto para sempre.

A LGPD prevê hipóteses específicas para dados sensíveis, e uma delas é a tutela da saúde, em procedimento realizado por profissionais de saúde. É ela que sustenta o registro clínico: você não precisa de consentimento para poder anotar a evolução de quem está sob seu cuidado. O que continua obrigatório é a transparência — a pessoa precisa saber quais dados você registra, para quê e onde eles ficam.

Um parágrafo no seu termo de primeira consulta cobre isso: quais dados são registrados, com que finalidade, que o acompanhamento usa um sistema digital de prontuário e como ela pede acesso ou correção. Feito uma vez, vale para todo mundo.

O que depende de autorização específica é usar a imagem ou o depoimento da pessoa para divulgação. Isso é outra finalidade, fora do cuidado, e o consentimento precisa ser dado para ela: por escrito, dizendo onde a imagem será usada, e revogável. Vale lembrar que a divulgação profissional também tem norma própria do conselho — confira o texto vigente no site do CFN antes de publicar imagem de paciente, e trate o assunto com o mesmo cuidado com que você trata o que publicar no Instagram.

Onde os dados moram quando você usa um sistema

Usar software não transfere sua responsabilidade — divide papéis. Na LGPD, o controlador decide por que e como os dados são tratados; o operador trata conforme as instruções do controlador. A Política de Privacidade do SimpleNutri é explícita: quem atende é o controlador dos próprios pacientes, o SimpleNutri é o operador.

Do lado da ferramenta, as medidas estão descritas e vale conhecê-las, porque são o que você responde quando um paciente perguntar: tráfego em HTTPS, criptografia em repouso, backups periódicos e Row Level Security — uma regra aplicada dentro do banco de dados, não na tela, que impede uma conta de alcançar os dados de outra. Três fornecedores encostam nos dados, cada um com uma função delimitada: Stripe para pagamentos, Resend para e-mails transacionais e AWS para armazenar arquivos em buckets privados. O detalhe completo está em segurança, LGPD e os dados dos seus pacientes.

Quando o paciente pede os dados, ou pede para apagar

Os dois pedidos chegam em você primeiro, e as respostas são diferentes.

Pedido de acesso ou portabilidade. O SimpleNutri não tem um botão que exporte a ficha inteira num arquivo só. O que existe são três documentos em PDF — relatório de checkpoints, plano alimentar e guia de exames —, cada um na sua tela, e o restante você copia da tela. Onde fica cada botão está em exportar dados do paciente em PDF.

Pedido de exclusão. Aqui a resposta reflexa costuma estar errada. O direito de exclusão não é absoluto quando existe obrigação legal ou profissional de guardar o registro — e prontuário tem prazo de guarda definido por norma, não pela vontade do paciente nem pela sua. Antes de apagar, confira o que você precisa manter e leve a dúvida ao seu CRN. Se a intenção é só tirar alguém da lista ativa, arquivar como Inativo preserva o histórico inteiro; excluir, no SimpleNutri, não pode ser desfeito.

Onde para você e começa o advogado

Três coisas cabem inteiramente em você: a cláusula de dados no termo de primeira consulta, a autorização separada para uso de imagem e os hábitos de rotina — um lugar só para os dados, aparelhos com senha, cópia oculta, e-mail conferido antes de enviar.

Três coisas não cabem: enquadrar a base legal do seu caso concreto, responder a um pedido judicial de prontuário e decidir o prazo de guarda de cada tipo de registro. As duas primeiras são de advogado; a terceira sai da norma do conselho, e o seu CRN é quem responde.

Se você tem meia hora esta semana, gaste assim: escreva o parágrafo de dados no seu termo, revise os links de compartilhamento de qualquer planilha de paciente que exista no seu drive e confira se os e-mails cadastrados nas fichas estão corretos. As três reduzem risco real, nenhuma custa dinheiro, e as três estão inteiramente na sua mão.