Em 2026, a ANPD deixou de ser um órgão consultivo e ganhou status de agência reguladora. A Lei nº 15.352/2026 conferiu autonomia funcional, técnica e financeira à Autoridade Nacional de Proteção de Dados. No Mapa de Temas Prioritários para 2026-2027, publicado em dezembro de 2025, dados de saúde aparecem entre os focos principais de fiscalização — ao lado de dados biométricos e financeiros. Para clínicas e consultórios, a mensagem é clara: LGPD não é mais assunto para depois.

O que mudou na ANPD

A transformação da ANPD em agência reguladora amplia sua capacidade de normatizar, fiscalizar e aplicar sanções. A agência passa a ter carreira própria de especialistas em regulação e orçamento dedicado. Na prática, isso significa mais ações de fiscalização, orientações técnicas mais detalhadas e maior probabilidade de que descumprimentos sejam identificados e punidos. O setor de saúde está entre os prioritários — não por acaso. Dados de pacientes são sensíveis, e vazamentos ou tratamentos inadequados geram danos concretos.

O Ministério da Saúde coordena iniciativas como a Rede Nacional de Dados em Saúde (RNDS), Meu SUS Digital e SUS Digital Profissional, todas operando em conformidade com a LGPD. O reforço institucional da ANPD fortalece a transformação digital no SUS e, por extensão, eleva o padrão esperado de quem trata dados de saúde no setor privado.

Dados de saúde no radar da fiscalização

O Mapa de Temas Prioritários estabelece quatro eixos. No eixo “Direitos dos Titulares”, a ANPD prevê 40 ações fiscalizatórias ao longo de dois anos, com foco especial em dados biométricos, de saúde e financeiros. Dez atividades são dedicadas especificamente a esses tratamentos. As ações incluem monitoramento da adoção de salvaguardas técnicas adequadas e verificação da conformidade com a LGPD.

Para uma clínica, isso se traduz em: consentimento explícito quando necessário, finalidades claras para cada tratamento, minimização de dados (coletar só o que precisa), segurança (criptografia, controle de acesso), e transparência com o paciente. Plataformas que processam dados de saúde em nome da clínica — como sistemas de agendamento, prontuário eletrônico ou agentes de IA no WhatsApp — devem oferecer garantias de que operam em conformidade. A responsabilidade é da clínica, que escolhe e contrata esses fornecedores.

O que a clínica precisa ter em ordem

Não é necessário um departamento jurídico dedicado. O essencial é documentar: qual dado se coleta, para que fim, com qual base legal, por quanto tempo se guarda e como se protege. A Política de Privacidade deve ser acessível e compreensível. Quando o paciente autoriza o uso dos dados para contato ou para que a clínica envie lembretes de consulta, isso precisa estar registrado. Ferramentas que automatizam confirmações e reagendamentos via WhatsApp tratam dados de contato e de agendamento — são dados pessoais, e em alguns casos sensíveis quando vinculados ao contexto de saúde.

Escolher fornecedores que sejam LGPD-ready reduz o trabalho. Criptografia em repouso e em trânsito, segmentação de ambientes, logs de auditoria e bases legais documentadas são indicadores de que a plataforma leva a privacidade a sério. A clínica não precisa dominar cada detalhe técnico, mas precisa saber perguntar e exigir evidências.

IA e dados de saúde: atenção redobrada

O Mapa da ANPD inclui um eixo específico para “Inteligência artificial e tecnologias emergentes”, com 20 ações de fiscalização. Quando uma clínica usa um agente de IA para atendimento via WhatsApp, esse agente processa mensagens, nomes, telefones e contexto de agendamento. Se o sistema transcreve áudios ou armazena histórico de conversas, o volume e a sensibilidade dos dados aumentam. A recomendação é clara: verificar se o fornecedor aplica anonimização ou pseudonimização quando possível, se os dados são retidos apenas pelo tempo necessário e se há cláusulas contratuais que estabelecem as obrigações de cada parte.

A Simplafy, que oferece automação de confirmações e reagendamentos para clínicas, opera com criptografia AES-256, ambientes segmentados e conformidade documentada. O dado do paciente não vaza para treinamento de modelos genéricos; permanece no contexto da clínica. Esse tipo de salvaguarda deve ser o padrão esperado ao avaliar qualquer ferramenta que toque em dados de pacientes.

O timing é de preparação

A ANPD não vai bater na porta de toda clínica amanhã. Mas o Mapa de Temas Prioritários define o rumo: dados de saúde estão no topo da lista. Quem já se organizou tem vantagem. Quem deixou para depois pode ser pego em uma fiscalização ou em um incidente que exponha a falta de controles. O custo de adequação é menor do que o custo de uma multa ou de um vazamento que comprometa a confiança dos pacientes.

Quer ver como funciona na sua clínica? Teste grátis por 10 dias em simplafy.com.br/saude — sem cartão de crédito.

Referências utilizadas para produzir este conteúdo:

• Lei nº 15.352, de 25 de fevereiro de 2026 — Planalto (transforma ANPD em agência reguladora)
• ANPD publica Mapa de Temas Prioritários 2026-2027 — Gov.br/ANPD
• Proteção de dados pessoais ganha reforço institucional no SUS — Ministério da Saúde