Paciente pediu cópia do prontuário e exclusão dos dados: o que a clínica é obrigada a entregar e em quanto tempo?

"O paciente pediu cópia do prontuário e, no mesmo e-mail, a exclusão de todos os dados dele. O que a minha clínica é obrigada a entregar, o que pode recusar e em quanto tempo?"

O pedido chega na recepção, no WhatsApp ou por e-mail de advogado. E quase sempre chega misturado.

"Quero meu prontuário e quero que vocês apaguem tudo." A frase é uma só. A resposta jurídica são duas, e elas vão em direções opostas.

Uma você entrega rápido e sem cobrar. A outra, na parte clínica, você recusa por escrito, com base em lei. Errar a ordem é o que transforma um pedido de rotina em reclamação no CRO ou na ANPD.

A resposta curta: a cópia sai sem custo, de imediato no formato simplificado ou em até 15 dias na declaração completa (LGPD, art. 19). O prontuário fica guardado por no mínimo 20 anos do último registro (Lei 13.787/2018, art. 6º). O que você apaga é a base de marketing.

Neste guia você vai ver:

• Por que cópia e exclusão são dois pedidos diferentes, com bases legais diferentes
• O que entregar, em qual formato, em quanto tempo e por que não dá para cobrar
• Por que o prontuário fica, e como dizer isso ao paciente sem infringir nada
• O que você pode e deve apagar, e quem mais precisa apagar junto
• Prazo em dobro do pequeno porte, encarregado, fiscalização da ANPD e o POP da recepção

A resposta curta, pedido por pedido

Antes dos detalhes, o mapa. Cada pedido tem uma regra, um prazo e uma base.

O paciente pede	O que a clínica faz	Prazo	Base
Cópia do prontuário	Entrega cópia integral, sem custo, no formato que ele escolher	Formato simplificado: imediato. Declaração completa: até 15 dias do requerimento	LGPD, arts. 18, II, e 19; Código de Ética Odontológica, art. 18, I
Exclusão do prontuário	Recusa por escrito, explica a base legal e oferece a cópia	Responda no mesmo ciclo do pedido de acesso (prática recomendada, não prazo legal)	Lei 13.787/2018, art. 6º; LGPD, arts. 16, I, e 18, parágrafo 4º, II
Exclusão dos dados de marketing	Apaga e avisa agência, CRM e plataformas	A lei remete a regulamento; operar no mesmo ciclo	LGPD, arts. 8º, parágrafo 5º, e 18, VI e parágrafo 6º
Parar de receber mensagem	Revoga o consentimento e suprime o contato comercial	Revogação a qualquer momento; trate como efetiva no mesmo dia (prática recomendada)	LGPD, art. 8º, parágrafo 5º

Repare que a tabela não tem nenhuma linha "ignorar". Todo pedido recebe resposta, inclusive o que você recusa.

Lembre: a clínica não escolhe entre obedecer o paciente e obedecer a lei. Ela entrega o que a lei manda entregar, guarda o que a lei manda guardar e explica a diferença por escrito.

Por que cópia e exclusão são dois pedidos diferentes

A LGPD lista os direitos do titular no art. 18. Os dois que aparecem juntos no balcão estão em incisos diferentes, com regras diferentes.

Acesso e cópia. O art. 18, II, garante o acesso aos dados. O art. 19 define como e em quanto tempo esse acesso é entregue.

Eliminação. O art. 18, VI, garante a eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16. Essa ressalva final é o ponto que decide o pedido.

E existe um terceiro caminho, menos lembrado. O art. 18, IV, dá ao titular o direito de pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.

O que isso significa na prática?

• O pedido de cópia sempre é atendido.
• O pedido de exclusão depende de qual dado e de qual base legal sustenta aquele dado.
• Dado que a clínica coletou sem necessidade é o flanco aberto, mesmo dentro do cadastro clínico.

No lado ético, o Código de Ética Odontológica, aprovado pela Resolução CFO-118/2012, cobre só o primeiro pedido. O art. 18, I, define como infração ética negar ao paciente acesso a seu prontuário, deixar de lhe fornecer cópia quando solicitada e deixar de lhe dar explicações necessárias à sua compreensão. No Código, o dever que aparece é o oposto: o art. 17 manda conservar o prontuário.

O que entregar quando o paciente pede a cópia

A pergunta da recepção costuma ser "o que eu mando?". A resposta é: o prontuário dele, inteiro.

O Manual do Prontuário do Paciente do CFO traz até um modelo de recibo de entrega de cópia de prontuário, no anexo de recibos, em que o paciente declara ter recebido a cópia integral do seu prontuário odontológico, com o número de folhas ou os itens do arquivo digital.

Na prática, monte o pacote com:

• Ficha clínica, anamnese e evolução, em ordem cronológica.
• Plano de tratamento e orçamentos aprovados.
• Termos assinados, como o termo de consentimento livre e esclarecido.
• Exames complementares: radiografias, tomografias, fotos clínicas, laudos.
• Registros de imagem e modelos, quando digitalizados.

Três cuidados mudam o resultado.

1. Dado de terceiro sai protegido. O Manual do CFO orienta que o fornecimento da cópia seja feito com a garantia de que informações sensíveis, como dados de terceiros ou informações confidenciais, sejam protegidas. Tarje antes de entregar.

2. Original devolvido deixa cópia. Sobre radiografias, o Manual responde que, diante de uma solicitação, o profissional deve devolvê-las, mantendo uma cópia arquivada e o registro de entrega detalhado, sob visto de recebimento.

3. Atestado dos atos é um pedido à parte. O art. 18, II, do Código de Ética também define como infração deixar de atestar atos executados no exercício profissional quando o paciente ou o representante legal solicita. Se ele pedir uma declaração do que foi feito, ela entra no pacote.

Em qual formato: quem escolhe é o paciente

Aqui a decisão não é da clínica.

O art. 19, parágrafo 2º, da LGPD diz que as informações e os dados poderão ser fornecidos, a critério do titular:

• por meio eletrônico, seguro e idôneo para esse fim; ou
• sob forma impressa.

E o parágrafo 3º acrescenta: quando o tratamento tiver origem no consentimento ou em contrato, o titular pode pedir cópia eletrônica integral dos seus dados, nos termos de regulamentação da ANPD, em formato que permita a utilização subsequente.

O Manual do CFO vai na mesma linha: a cópia pode ser fornecida fisicamente ou por meio digital, dependendo da solicitação do paciente.

Pensa assim: e-mail aberto com PDF anexo para um endereço que ninguém conferiu não é "meio eletrônico seguro e idôneo". Arquivo protegido por senha enviada por outro canal, ou link de acesso restrito, chega mais perto do que a lei descreve.

Em quanto tempo: imediato, até 15 dias e o que o CFO acrescenta

Aqui vale ler a lei com calma. O art. 19 da LGPD tem dois trilhos:

1. Formato simplificado: providenciado imediatamente, mediante requisição do titular (art. 19, I).
2. Declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento: fornecida no prazo de até 15 dias, contado da data do requerimento do titular (art. 19, II).

O relógio começa na data do requerimento. Não na data em que o dentista viu o pedido, nem na data em que a recepção abriu o e-mail.

O CFO não fixa número, mas fixa a postura. O Manual do Prontuário responde que a solicitação deve ser atendida de forma transparente e ágil, com a cópia entregue dentro de prazo hábil ou, se possível, daquele indicado pelo paciente.

Situação	Prazo	Fonte
Confirmação ou acesso em formato simplificado	Imediatamente	LGPD, art. 19, I
Declaração clara e completa	Até 15 dias da data do requerimento	LGPD, art. 19, II
Agente de pequeno porte, formato simplificado	Até 15 dias da data do requerimento	Resolução CD/ANPD nº 2/2022, art. 15
Agente de pequeno porte, declaração completa	Em dobro	Resolução CD/ANPD nº 2/2022, art. 14, III
Postura ética na entrega da cópia	Prazo hábil ou o indicado pelo paciente	Manual do Prontuário do CFO

Uma nota de cautela: o art. 19, parágrafo 4º, permite que a ANPD disponha de forma diferenciada sobre esses prazos para setores específicos. Fique de olho em regra setorial que a ANPD venha a editar.

Lembre: 15 dias é teto, não meta. Com prontuário digital organizado, a cópia integral sai no mesmo dia, e o pedido morre antes de virar problema.

A clínica pode cobrar pela cópia?

Não pela LGPD. E é um ponto em que vale revisar a prática do balcão.

O art. 18, parágrafo 5º, determina que o requerimento do titular será atendido sem custos para o titular, nos prazos e nos termos previstos em regulamento. O art. 6º, IV, define o princípio do livre acesso como garantia de consulta facilitada e gratuita sobre a forma e a duração do tratamento e sobre a integralidade dos dados.

O Manual do CFO repete a ideia ao responder o que a LGPD garante no contexto do prontuário: acesso facilitado e gratuito.

"Mas a cópia impressa tem custo de papel." Tem. Só que o art. 19, parágrafo 2º, coloca o formato impresso como escolha do próprio paciente, e a lei não abriu exceção de cobrança para essa escolha.

Traduzindo para gestão: a taxa de cópia rende pouco e cria uma prova escrita de que a clínica condicionou um direito a pagamento. Tire do balcão.

A única ressalva para negar acesso, e como documentar

O Código de Ética tem uma ressalva, e só uma. O art. 18, I, admite deixar de dar acesso, cópia ou explicação quando isso ocasione riscos ao próprio paciente ou a terceiros.

É exceção estreita. Ela não cobre:

• paciente inadimplente;
• paciente em conflito com a clínica;
• paciente que "vai levar para outro dentista";
• pedido feito por advogado.

Quando a ressalva de fato se aplica, três cuidados:

1. O dentista registra no prontuário o motivo clínico concreto do risco.
2. A clínica responde por escrito, indicando a razão, como prevê o art. 18, parágrafo 4º, II, da LGPD.
3. A explicação continua devida. O mesmo art. 18, I, do Código fala em explicações necessárias à compreensão. Ofereça uma consulta para explicar o conteúdo.

Um aviso honesto: a LGPD não traz essa ressalva com as mesmas palavras. Por isso o registro do motivo clínico concreto é o que sustenta a decisão se ela for questionada.

Dado de terceiro é outro caso: você não nega a cópia, você tarja o trecho, como orienta o Manual do CFO.

O Código de Ética alcança a clínica, não só o dentista

Existe uma leitura que circula entre donos de clínica: "o Código de Ética é do dentista, a empresa fica de fora". Não fica.

O art. 1º do Código de Ética Odontológica diz que ele regula os direitos e deveres do cirurgião-dentista, dos profissionais técnicos e auxiliares e das pessoas jurídicas que exerçam atividades na área da Odontologia, em âmbito público ou privado.

O capítulo das entidades fecha o resto:

• Art. 29: as disposições do Código se aplicam a todos que exerçam a Odontologia, ainda que de forma indireta, pessoas físicas ou jurídicas, tais como clínicas e policlínicas.
• Art. 30: os profissionais inscritos prestadores de serviço respondem, nos limites de sua atribuição, solidariamente pela infração ética praticada, ainda que não sejam sócios nem responsáveis técnicos pela entidade.
• Art. 32, VI: constitui infração ética da entidade deixar de responder às reclamações dos usuários.

Ou seja, o pedido de cópia que fica sem resposta na recepção não é problema só do dentista que atendeu. É da clínica, que responde como entidade, e dos profissionais inscritos que prestam serviço nela, nos limites da atribuição de cada um.

Pedido de exclusão: por que o prontuário fica

Agora o outro lado do e-mail. O paciente pede para apagar tudo. A parte clínica você não apaga, e a lei diz por quê em três camadas.

Camada 1: o prazo de guarda. O art. 6º da Lei 13.787/2018 diz que, decorrido o prazo mínimo de 20 anos a partir do último registro, os prontuários em papel e os digitalizados poderão ser eliminados. O parágrafo 5º estende a regra a todos os prontuários, independentemente da forma de armazenamento, inclusive os nascidos eletrônicos.

Camada 2: a conservação autorizada pela LGPD. O art. 16 diz que os dados serão eliminados após o término do tratamento, autorizada a conservação para, entre outras finalidades, o cumprimento de obrigação legal ou regulatória pelo controlador (inciso I).

Camada 3: a exceção dentro do próprio direito de eliminação. O art. 18, VI, garante a eliminação dos dados tratados com consentimento, exceto nas hipóteses previstas no art. 16. A lei que dá o direito já carrega a ressalva.

E por baixo das três está a base legal do prontuário. O art. 11, II, autoriza o tratamento de dado sensível sem consentimento quando indispensável para o cumprimento de obrigação legal (alínea "a") e para a tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde (alínea "f").

No conselho, o art. 17 do Código de Ética reforça: é obrigatória a elaboração e a manutenção do prontuário e a sua conservação em arquivo próprio, físico ou digital.

Lembre: o prontuário não está na clínica porque o paciente consentiu. Está porque a lei manda guardar. Por isso o pedido de exclusão não alcança o registro clínico dentro do prazo.

E o art. 18, IV? Ele mira dado desnecessário ou excessivo. O registro clínico que o art. 17, parágrafo único, do Código manda manter (os dados clínicos necessários para a boa condução do caso) não é excesso. Mas aquele campo de cadastro que ninguém usa, coletado "porque o sistema pedia", pode ser.

10 ou 20 anos: a confusão que ainda trava a resposta

Suponha que, na hora de redigir a recusa, alguém da equipe lembre que "o prazo é de 10 anos". De onde vem esse número?

Do Parecer CFO nº 125/92. O Manual do Prontuário do CFO registra que esse parecer fala em guarda por no mínimo 10 anos após o último comparecimento, ou 10 anos a partir dos 18 anos quando o paciente era menor no último contato.

No mesmo trecho, o Manual registra que a Lei federal 13.787/2018 estabelece o prazo mínimo de 20 anos a partir do último registro. E conclui que, diante das diferentes determinações, o procedimento mais seguro é a guarda ao longo de toda a vida do profissional, por tempo indeterminado.

Norma	Prazo mínimo	Conta a partir de
Parecer CFO nº 125/92, citado no Manual do CFO	10 anos	último comparecimento (ou 18 anos do paciente menor)
Lei 13.787/2018, art. 6º	20 anos	último registro no prontuário

Regra de decisão: opere pelo prazo maior. A carta de recusa cita a lei federal, não o parecer. Para montar a política completa de guarda, veja por quanto tempo guardar o prontuário odontológico.

Depois do prazo: eliminar com sigilo ou devolver ao paciente

O pedido de exclusão às vezes chega de um paciente cujo último registro já passou do prazo. Aí a conversa muda, e a lei dá dois caminhos.

1. Eliminar com cuidado. O art. 6º, parágrafo 3º, da Lei 13.787/2018 exige que o processo de eliminação resguarde a intimidade do paciente e o sigilo e a confidencialidade das informações.
2. Devolver ao paciente. O parágrafo 2º prevê que, alternativamente à eliminação, o prontuário poderá ser devolvido ao paciente.

Nos dois casos, o parágrafo 4º manda registrar a destinação final e a eliminação, na forma de regulamento. O Manual do CFO recomenda que a devolução seja feita mediante recibo de entrega, com registro de quais documentos foram repassados, e que o profissional mantenha arquivo do que entregou, ainda que digital.

Repare: mesmo depois dos 20 anos, o Manual do CFO recomenda guarda indeterminada. Eliminar passa a ser permitido, não obrigatório.

O que você pode e deve apagar: a base de marketing

Aqui o pedido de exclusão ganha força total. A clínica que anuncia guarda uma segunda base de dados, e ela não é prontuário.

Exemplos típicos de dado tratado fora do prontuário:

• Lista de transmissão de WhatsApp e campanhas de reativação.
• Público personalizado subido para plataforma de anúncio (remarketing).
• CRM comercial, com orçamento em aberto, etiquetas e histórico de abordagem.
• Autorização de uso de imagem, áudio ou depoimento para divulgação.
• Newsletter e disparos de e-mail.

Quando essa base se apoia em consentimento, o pedido de exclusão vale por inteiro. O art. 18, VI, garante a eliminação; o art. 18, IX, garante a revogação do consentimento; e o art. 8º, parágrafo 5º, diz que o consentimento pode ser revogado a qualquer momento, mediante manifestação expressa, por procedimento gratuito e facilitado.

Sobre imagem e depoimento, o Manual do CFO é explícito: o paciente ou o responsável legal pode, a qualquer tempo e independente de motivação, revogar a autorização relativa aos seus dados pessoais.

Sabemos que apagar dói. A base custou dinheiro. Segundo dados internos da Odonto Results (2026), o lead de clínica odontológica custa de R$12 a R$14 no Meta Ads (WhatsApp R$14,10 e formulário R$12,14 na mediana entre clínicas, com faixas sobrepostas). Base: cerca de 94,6 mil leads, 36 meses. Janela: agosto de 2023 a agosto de 2026.

Mas o contato que pediu exclusão não é ativo comercial. É passivo. Cada mensagem nova enviada a ele vira prova de que a clínica ignorou o pedido.

Dica: separe finalidade, não pessoa. O mesmo telefone pode estar no cadastro clínico (lembrete de consulta em tratamento ativo) e na lista de reativação comercial. O pedido tira o número da finalidade comercial; o cadastro clínico segue a regra do prontuário. Para o lado comercial em detalhe, veja o que fazer quando o paciente pede para não ser mais contatado.

Efeito cascata: agência, CRM e disparador também apagam

A exclusão que acontece só no sistema da clínica não está completa. O dado já saiu.

O art. 18, parágrafo 6º, da LGPD determina que o responsável informe, de maneira imediata, aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados a eliminação, para que repitam idêntico procedimento. A exceção é estreita: quando a comunicação for comprovadamente impossível ou implicar esforço desproporcional.

Liste quem recebeu o dado daquele paciente:

1. Agência de marketing que gerencia campanhas e públicos.
2. CRM e ferramenta de funil comercial.
3. Plataforma de disparo de WhatsApp ou e-mail.
4. IA de atendimento que conversou com o lead.
5. Planilhas exportadas e compartilhadas fora do sistema.

Peça confirmação por escrito de cada um e guarde junto do pedido. Se o contrato com a agência não prevê esse fluxo, ele está incompleto. Veja a cláusula de LGPD no contrato com a agência.

Como recusar a exclusão do prontuário sem infringir nada

A recusa não é silêncio. É uma resposta escrita, com fundamento.

O art. 18, parágrafo 4º, da LGPD prevê que, quando não for possível adotar a providência de imediato, o controlador envia ao titular resposta em que pode indicar as razões de fato ou de direito que impedem a adoção imediata (inciso II).

Uma resposta completa tem quatro blocos:

Modelo de resposta: Recebemos em [data] seu pedido de cópia e de exclusão de dados. (1) A cópia integral do seu prontuário segue em anexo, no formato que você escolheu, sem custo. (2) Excluímos seus dados das listas de comunicação, de remarketing e do CRM comercial, e solicitamos a mesma exclusão aos parceiros que os receberam. (3) O prontuário clínico será mantido pelo prazo mínimo de 20 anos a partir do último registro, conforme o art. 6º da Lei 13.787/2018, com conservação autorizada pelo art. 16, I, da LGPD, sob sigilo profissional e acesso restrito. (4) Ficamos à disposição para explicar o conteúdo do prontuário em consulta.

Por que oferecer a cópia na mesma resposta? Porque ela devolve ao paciente o controle sobre a própria informação sem apagar o que a lei manda guardar. A recusa deixa de soar como "não" e passa a soar como "aqui está o que é seu".

Prazo da exclusão: o que a lei diz e o que fazer enquanto o regulamento não sai

A LGPD dá número para o acesso (art. 19). Para os demais pedidos do art. 18, ela remete ao regulamento: o parágrafo 5º fala em atendimento nos prazos e nos termos previstos em regulamento.

E esse regulamento ainda não existe. No balanço da Agenda Regulatória do 1º semestre de 2026, a ANPD registra que o item de direitos dos titulares, cuja descrição cita em especial os arts. 9º, 18, 19 e 20, tinha o relatório de análise de impacto publicado e aguardava a deliberação do Conselho Diretor sobre a consulta pública.

O que fazer até lá? Responder a exclusão no mesmo ciclo do acesso. Isso é prática recomendada, não prazo legal: alinha os dois pedidos que chegam juntos, gera uma resposta só e evita que a parte comercial fique em aberto enquanto a cópia já saiu.

Revogação de consentimento é diferente: o art. 8º, parágrafo 5º, permite revogar a qualquer momento, por procedimento gratuito e facilitado. Trate o "pare de me mandar mensagem" como efetivo no mesmo dia.

Clínica de pequeno porte: prazo em dobro, com duas armadilhas

A Resolução CD/ANPD nº 2/2022 regulamenta a LGPD para agentes de tratamento de pequeno porte, o que inclui microempresas e empresas de pequeno porte. Para esse grupo, o art. 14 concede prazo em dobro:

• no atendimento das solicitações dos titulares do art. 18, parágrafos 3º e 5º, nos termos de regulamentação específica (inciso I);
• no fornecimento da declaração clara e completa do art. 19, II (inciso III).

E o art. 15 permite fornecer a declaração simplificada do art. 19, I, em até 15 dias do requerimento.

Antes de contar com o dobro, passe pelas duas armadilhas do art. 3º.

Armadilha 1: tratamento de alto risco. O agente que realiza tratamento de alto risco não se beneficia do regime diferenciado. O art. 4º define alto risco como o tratamento que atende cumulativamente a pelo menos um critério geral e um critério específico. Um dos critérios específicos é a utilização de dados pessoais sensíveis, e toda clínica trata dado de saúde. Sobra o critério geral: tratamento em larga escala ou que possa afetar significativamente interesses e direitos fundamentais dos titulares. Essa avaliação é da clínica, precisa ser documentada e não é óbvia.

Armadilha 2: receita e grupo econômico. Também perde o benefício quem aufere receita bruta acima do teto da empresa de pequeno porte, previsto no art. 3º, II, da Lei Complementar 123/2006, ou pertence a grupo econômico de fato ou de direito cuja receita global ultrapasse esse limite. Se a sua rede tem unidades em CNPJs diferentes, avalie a receita do grupo, não só a da unidade. Confirme o enquadramento com o seu contador.

E dois lembretes do próprio regulamento. O art. 6º diz que a flexibilização não isenta o pequeno porte dos direitos dos titulares. O art. 16 permite que a ANPD determine o cumprimento das obrigações flexibilizadas, considerando natureza, volume e riscos.

Lembre: na dúvida sobre o enquadramento, opere nos 15 dias do art. 19. Ninguém é autuado por responder rápido demais.

Quem pode pedir, e como conferir antes de entregar

Cópia de prontuário entregue à pessoa errada é vazamento de dado de saúde com a assinatura da clínica. Conferir identidade não é burocracia, é parte do sigilo.

A LGPD diz que os direitos são exercidos mediante requerimento expresso do titular ou de representante legalmente constituído (art. 18, parágrafo 3º). O Código de Ética, no art. 14, I, define como infração revelar, sem justa causa, fato sigiloso conhecido em razão da profissão.

Quem pede	O que exigir	Fonte
O próprio paciente	Documento de identificação com foto	Manual do Prontuário do CFO
Terceiro em nome do paciente	Documento com foto, procuração do paciente com autorização específica para receber documentos do prontuário e cópia de um documento do paciente	Manual do Prontuário do CFO
Responsável por paciente incapaz	Documento que comprove a responsabilidade legal	Código de Ética, art. 14, parágrafo único, V (revelação ao responsável pelo incapaz é justa causa)
Justiça ou perícia	Requisição formal, nos limites do caso	Código de Ética, art. 14, parágrafo único, II e III
Outro dentista ou clínica	Autorização do paciente	Sigilo do art. 14, I: o colega não aparece na lista de justas causas do parágrafo único

Pedido por e-mail ou WhatsApp não precisa ser recusado por falta de forma. Mas a entrega só sai depois que a identidade foi confirmada por um canal que você controla.

Encarregado (DPO) e o canal que recebe o pedido

Pedido sem porta de entrada se perde. E o prazo corre do mesmo jeito.

A LGPD manda o controlador indicar encarregado (art. 41). A identidade e o contato dele devem ser divulgados publicamente, preferencialmente no site (parágrafo 1º), e a primeira atividade listada é aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências (parágrafo 2º, I).

Para o pequeno porte, a Resolução CD/ANPD nº 2/2022 dispensa a indicação (art. 11), com uma condição: quem não indicar encarregado deve disponibilizar um canal de comunicação com o titular (parágrafo 1º). E indicar mesmo assim conta como política de boas práticas e governança (parágrafo 2º).

Na prática, defina:

• Um canal oficial (e-mail dedicado ou formulário), publicado no site e na política de privacidade.
• Um responsável nomeado que recebe, protocola e acompanha o prazo.
• Uma regra para a recepção: pedido que chega por qualquer outro canal é encaminhado ao canal oficial no mesmo dia, com a data original preservada.

O que acontece se a clínica errar

Ignorar o pedido abre três frentes ao mesmo tempo.

1. ANPD. O titular tem direito de peticionar contra o controlador perante a autoridade nacional (LGPD, art. 18, parágrafo 1º), e o art. 55-J, V, dá à ANPD a competência para apreciar petições de titular depois de comprovada a reclamação ao controlador não solucionada no prazo.

A Resolução CD/ANPD nº 1/2021, no art. 25, parágrafo 1º, exige que a petição venha com comprovação de que foi previamente submetida ao controlador, admitida a autodeclaração do titular quando não for possível outro meio de prova. Ou seja: o paciente não precisa de muito para chegar lá. Quem precisa de prova é a clínica, para mostrar que respondeu.

2. Defesa do consumidor. O art. 18, parágrafo 8º, permite que o mesmo direito de petição seja exercido perante os organismos de defesa do consumidor.

3. Conselho. Negar acesso ou cópia é infração ética (Código de Ética, art. 18, I), e deixar de responder às reclamações dos usuários é infração da entidade (art. 32, VI).

E o preço. O art. 52 da LGPD lista as sanções, a começar pela advertência. O inciso II prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração.

O momento também pesa. A ANPD publicou o Mapa de Temas Prioritários de fiscalização para 2026-2027 com quatro temas, e o primeiro é direitos dos titulares. Na Nota Técnica nº 54/2025, que embasou o mapa, a área de fiscalização propôs esse tema com foco em dados biométricos, de saúde e financeiros.

Lembre: o dossiê do pedido (protocolo, resposta, recibo, confirmações dos parceiros) é a defesa da clínica. Sem ele, vale a palavra do paciente.

Digitalização: o arquivo que entrega a cópia no mesmo dia

O pedido de cópia expõe o estado do seu arquivo. Com papel espalhado, montar o pacote pode levar dias. Com prontuário digital organizado, a exportação sai no mesmo dia.

A LGPD pede isso diretamente. O art. 19, parágrafo 1º, diz que os dados pessoais serão armazenados em formato que favoreça o exercício do direito de acesso.

E a Lei 13.787/2018 dá o caminho para tirar o papel do armário:

• Art. 2º: a digitalização deve assegurar integridade, autenticidade e confidencialidade, reproduzir todas as informações do original e usar certificado digital ICP-Brasil ou outro padrão legalmente aceito.
• Art. 3º: o original só pode ser destruído após a digitalização conforme e após análise obrigatória de comissão permanente de revisão de prontuários e avaliação de documentos.
• Art. 4º: o armazenamento deve proteger contra acesso, uso, alteração, reprodução e destruição não autorizados.

Repare no art. 4º: "reprodução não autorizada". O controle de quem exporta e envia cópia faz parte da guarda. Veja o passo a passo em digitalização de prontuários.

O POP da recepção: do protocolo ao recibo

Tudo acima cabe em nove passos. Imprima e deixe na recepção.

1. Protocole o pedido na hora. Data, horário, canal e quem recebeu. O prazo do art. 19 conta da data do requerimento.
2. Confira identidade e legitimidade. Titular, representante legal ou procurador com autorização específica, conforme a tabela acima.
3. Classifique o pedido. Acesso e cópia, exclusão, revogação de consentimento, correção ou combinação deles.
4. Monte a cópia integral. Ficha, evolução, plano, termos, exames e imagens. Tarje dado de terceiro.
5. Separe o que é prontuário do que é marketing. Prontuário fica; lista de transmissão, remarketing, CRM comercial e autorizações de imagem saem quando a base é consentimento.
6. Execute a exclusão comercial e avise os parceiros. Agência, CRM, disparador e IA de atendimento repetem o procedimento (art. 18, parágrafo 6º). Peça confirmação escrita.
7. Responda por escrito. Use o modelo de quatro blocos: cópia entregue, marketing excluído, prontuário mantido com base legal, explicação disponível.
8. Registre a entrega com recibo. O Manual do CFO pede recibo que especifique os documentos entregues, se originais ou cópias, assinado pelas duas partes.
9. Arquive o dossiê. Protocolo, resposta, recibo e confirmações ficam juntos. É a sua prova se o caso chegar à ANPD, ao Procon ou ao CRO.

Seu próximo passo

1. Escreva o fluxo antes do próximo pedido. Canal oficial publicado, responsável nomeado e o POP de nove passos impresso na recepção. O pedido que chega com processo pronto vira rotina; sem processo, vira improviso com prazo correndo.
2. Mapeie onde estão os dados de marketing. Relacione lista de transmissão, públicos de remarketing, CRM, disparador, IA de atendimento e planilhas, com quem recebeu cada base. Sem esse mapa, a exclusão do art. 18, parágrafo 6º, é impossível de cumprir.
3. Teste o seu arquivo com um pedido simulado. Peça a cópia integral de um prontuário real e cronometre. Se não sai no mesmo dia, o problema não é o paciente: é o arquivo, e a digitalização conforme a Lei 13.787/2018 é o caminho.

Quer que a sua base de marketing gere paciente na cadeira e esteja pronta para qualquer pedido de exclusão, do anúncio ao comparecimento? Agende uma apresentação.