De 2021 até o início de 2026, a LGPD era lei com infrações previstas mas fiscalização ainda limitada pela própria estrutura da ANPD. Muitas clínicas sabiam que precisavam se adequar — e a maioria postergou, apostando que a fiscalização demoraria a chegar.
Em 25 de fevereiro de 2026, esse cenário mudou formalmente. A Lei 15.352/2026 transformou a ANPD em agência reguladora independente, com autonomia técnica, decisória, administrativa e financeira. A consequência direta é estrutural: a ANPD passou a ter capacidade real de fiscalizar com consistência — mais servidores especializados, processos mais ágeis e atuação setorial planejada.
O artigo sobre o que a LGPD exige para a clínica de fisioterapia ainda é o ponto de partida — este artigo é sobre o que muda agora que a fiscalização saiu do papel.
O que é diferente depois de fevereiro de 2026
A ANPD anterior operava com limitações de estrutura que tornavam a fiscalização lenta e concentrada em casos de grande repercussão pública. A nova agência conta com 200 cargos especializados de carreira e seis superintendências — incluindo uma dedicada exclusivamente à fiscalização.
O modelo que a ANPD declarou adotar é o de fiscalização setorial: em vez de aguardar uma denúncia individual, a agência abre investigações sobre um setor inteiro de uma vez. As áreas identificadas como prioritárias incluem clínicas de saúde, laboratórios, planos de saúde e plataformas de saúde digital — pela razão direta de que tratam dados sensíveis em volume, frequentemente com pouca governança formal.
Isso não significa que toda clínica pequena será inspecionada amanhã. Significa que o setor está no mapa, e que a lógica de “ninguém vai me fiscalizar” ficou mais frágil.
Por que dados de saúde têm tratamento diferente
A LGPD classifica dados de saúde como dados sensíveis (art. 11), categoria que exige atenção redobrada: base legal específica, medidas de segurança mais rigorosas e, em caso de problema, enquadramento mais grave.
Para uma clínica de fisioterapia, isso cobre todo o prontuário: diagnóstico, evolução, anamnese, medicações, histórico clínico. A maioria das clínicas lida com dados sensíveis desde a primeira consulta — o que aumenta a responsabilidade, independentemente do porte da operação.
O que a ANPD verifica em uma inspeção de saúde
Com base nos requisitos da LGPD e no que a ANPD publicou sobre sua agenda de fiscalização, estes são os pontos que uma clínica de saúde precisa ter documentados:
Encarregado de dados
A LGPD (art. 41) exige que controladores de dados pessoais indiquem um encarregado — a pessoa responsável por ser o canal entre a clínica, os pacientes e a ANPD. Em clínicas maiores, essa função é dedicada ou terceirizada a um especialista. Em operações menores, pode ser o próprio titular ou um colaborador — mas precisa existir formalmente, com nome e canal de contato publicados.
A ANPD tem competência para dispensar pequenos agentes de tratamento dessa obrigação, mas a regulamentação específica ainda está em construção. Enquanto não há clareza, indicar alguém e deixar o contato disponível (no site ou nos documentos entregues ao paciente) é a postura mais segura.
Relatório de Impacto à Proteção de Dados (RIPD)
O RIPD é o documento que descreve quais dados você trata, para quê, por quanto tempo, com quem compartilha e quais medidas de segurança adota. É obrigatório para operações com dados sensíveis — o que inclui qualquer clínica com prontuário.
Não precisa ser um documento extenso: para uma clínica pequena, algumas páginas bem preenchidas atendem ao requisito. O que não pode existir é nada. Se uma fiscalização acontecer e você não tiver esse documento, é um dos primeiros pontos de vulnerabilidade.
Canal de atendimento ao titular
O paciente tem direito de perguntar quais dados você tem sobre ele, de corrigir informações incorretas e, em alguns casos, solicitar exclusão. A LGPD exige que você tenha um mecanismo para isso. Para clínicas pequenas, um e-mail dedicado ou formulário simples resolve — o importante é que exista, seja divulgado e funcione quando acionado.
Contratos com operadores de dados
Se você usa um sistema de gestão, plataforma de prontuário eletrônico ou qualquer serviço que processe dados dos seus pacientes, esses fornecedores são operadores na linguagem da LGPD. A relação precisa estar formalizada com cláusulas de proteção de dados — o que, na prática, significa verificar se o fornecedor disponibiliza um Acordo de Processamento de Dados ou cláusulas equivalentes nos seus termos de serviço.
Base legal documentada para cada fluxo
Para cada tipo de dado que você coleta, precisa saber qual é a base legal que autoriza o tratamento. No contexto clínico, a base mais usada é a tutela da saúde (art. 11, II, f da LGPD) — que cobre o prontuário, a evolução e os dados de contato usados para comunicação relacionada ao atendimento. Para uso de foto em post ou envio de conteúdo de marketing, a base é o consentimento explícito. Saber e documentar é diferente de simplesmente fazer.
O que fazer a partir de agora
Se sua clínica ainda não tem estrutura formal de LGPD, o caminho prático é:
- Ler o checklist básico de LGPD para fisioterapeutas — consentimento, armazenamento, incidente.
- Identificar quem é o encarregado da sua clínica e deixar o contato registrado.
- Elaborar o RIPD — um documento descrevendo seus fluxos de dados de saúde. Não precisa ser perfeito, precisa existir.
- Verificar o contrato com seu sistema de gestão — se há cláusulas de proteção de dados disponíveis.
- Criar um canal para o titular — um e-mail dedicado onde pacientes possam exercer seus direitos.
- Consultar um especialista em LGPD para avaliar se sua operação requer encarregado formal, RIPD mais detalhado ou outras obrigações específicas ao seu porte.
Este artigo oferece um mapa prático dos pontos que a ANPD avalia. Não substitui consultoria jurídica para a sua situação — a LGPD tem nuances que dependem do volume de dados tratado, do porte da operação e de outros fatores específicos.
Manter o prontuário em sistema com controle de acesso por usuário, autenticação e backup automático resolve parte do que a LGPD exige em termos de segurança técnica no armazenamento. A adequação completa exige também os processos humanos: consentimento documentado, RIPD elaborado, encarregado indicado e canal do titular ativo. O Clinvo cuida do lado técnico do armazenamento — o restante é processo que você implementa na clínica. Teste grátis por 14 dias, sem cartão de crédito.