apointoo.
Solicitar acesso
Privacidade e Compliance

Pedido LGPD de acesso à agenda da clínica: a resposta vence imediatamente, em 15 ou em 30 dias?

cmsapointoo··9 min de leitura

Um pedido LGPD de acesso à agenda da clínica não tem um único prazo. Para o regime comum, confirmação de existência ou acesso em formato simplificado deve ser providenciado imediatamente. A declaração clara e completa, com origem dos dados, inexistência de registro, critérios utilizados e finalidade do tratamento, pode ser fornecida em até 15 dias.

Um agente de tratamento de pequeno porte que possa usar o regime diferenciado recebe outra janela: até 15 dias para a declaração simplificada e prazo dobrado para a declaração completa. Como o prazo comum completo é 15 dias, o resultado de 30 dias é aritmética derivada de 15 multiplicado por dois. Nem a LGPD nem a resolução dizem que toda clínica tem 30 dias.

O que “imediatamente” cobre

O artigo 19, I da LGPD trata da confirmação de existência ou do acesso em formato simplificado. Essa é a resposta que deve ser providenciada imediatamente no regime comum. Ela pode confirmar que há tratamento e entregar uma visão simples dos dados do titular, conforme o conteúdo efetivamente pedido e a capacidade de validar a identidade com segurança.

“Imediatamente” não ganha um número de horas no artigo 19. A clínica não deve inventar um limite oficial de 24, 48 ou 72 horas. Operacionalmente, pode definir uma meta interna mensurável, desde que essa meta ajude a cumprir a exigência e não seja apresentada como texto da lei.

Uma resposta automática dizendo apenas “recebemos seu contato” também não é necessariamente a confirmação ou o acesso solicitado. Ela prova recebimento. A equipe ainda precisa entender se o titular pediu confirmação, cópia simples, declaração completa, correção ou outro direito do artigo 18.

Quando vale o prazo de até 15 dias

O artigo 19, II prevê declaração clara e completa em até 15 dias, contados da data do requerimento. Essa declaração indica origem dos dados, eventual inexistência de registro, critérios utilizados e finalidade do tratamento, respeitados os segredos comercial e industrial. A página da ANPD sobre direitos dos titulares repete a divisão entre resposta imediata e informações completas em 15 dias.

O pedido pode alcançar identificação, contato, solicitações, horários, status e outros registros da agenda. O escopo depende dos dados que a clínica trata sobre o titular. Estar num sistema ou integração não os retira do mapa.

A resposta deve usar meio eletrônico seguro e idôneo ou forma impressa, conforme a opção prevista na lei. A clínica precisa evitar que o processo de acesso exponha dados a outra pessoa. Verificação de identidade, registro da entrega e limitação de permissões são controles operacionais. Eles não autorizam criar obstáculos desproporcionais ao exercício gratuito do direito.

Por que alguns agentes chegam a 15 e 30 dias

A Resolução CD/ANPD nº 2 concede prazos diferenciados a agentes de tratamento de pequeno porte elegíveis. Seu artigo 15 permite fornecer a declaração simplificada em até 15 dias desde o requerimento. O artigo 14 concede prazo em dobro para a declaração clara e completa prevista no artigo 19, II da LGPD.

O cálculo da forma completa é direto: duas vezes o prazo legal de 15 dias resulta em 30 dias. Esse número é uma inferência aritmética das duas normas. Deve ser rotulado assim em política, treinamento e conteúdo, em vez de atribuído a uma passagem que diga literalmente “30 dias”.

A extensão não pertence a toda empresa que se considera pequena. Receita, grupo econômico e tratamento de alto risco podem excluir o benefício. O teste de alto risco da resolução exige cumulativamente um critério geral e um específico. Dados de saúde cumprem um critério específico, mas ainda é necessário avaliar escala ou impacto significativo. A clínica deve registrar seu enquadramento antes de aplicar prazo diferenciado.

Clínica controladora e SaaS operador não respondem pelo mesmo papel

A LGPD define controlador como quem toma decisões referentes ao tratamento e operador como quem trata dados em nome do controlador. Numa configuração comum, a clínica decide finalidade, campos, retenção e atendimento do titular; a plataforma executa instruções e fornece recursos para localizar, exportar, corrigir ou eliminar dados. Os fatos podem atribuir papéis diferentes em outra atividade.

O titular pode apresentar requerimento a agente de tratamento, mas a clínica não deve presumir que encaminhar o email ao fornecedor transfere sua responsabilidade. O operador precisa responder com rapidez suficiente para que o controlador cumpra o prazo aplicável. O conteúdo sobre BAA, DPA e contrato de operador LGPD ajuda a alinhar contrato com essa divisão real.

O fluxo deve ter responsável, canal, identificação do tenant, busca restrita, revisão e entrega. O operador não deve pesquisar outras clínicas para completar uma resposta. A exportação fica limitada ao titular e ao controlador corretos, com logs de quem executou cada etapa.

Como separar confirmação, acesso e declaração completa

O primeiro passo é classificar o pedido pelo resultado solicitado. Confirmação responde se existe tratamento. Acesso simplificado fornece os dados de forma simples. Declaração completa acrescenta origem, critérios e finalidade. Correção, eliminação, bloqueio, portabilidade e informação sobre compartilhamento têm objetos próprios e podem exigir outro fluxo.

Não presuma que toda mensagem com a palavra “dados” exige a exportação máxima. Peça esclarecimento quando o objeto estiver realmente ambíguo, sem usar a pergunta para reiniciar artificialmente o relógio. Se a adoção imediata da providência for impossível, o artigo 18 exige resposta que indique que a organização não é o agente responsável ou apresente as razões de fato ou de direito que impedem a medida.

Uma matriz evita misturar saídas: tipo de direito, data de entrada, identidade validada, sistemas pesquisados, formato, prazo, responsável e evidência da entrega. Use dados sintéticos para testar o processo. O artigo sobre origem de agendamento e origem de marketing mostra por que sistemas podem guardar fatos relacionados sem terem a mesma finalidade.

Um fluxo operacional que não perde o prazo

  1. Registre a data e o canal de entrada sem copiar o pedido para ferramentas não aprovadas.
  2. Valide a identidade por método proporcional ao risco dos dados.
  3. Classifique o direito e confirme se a resposta pedida é simplificada ou completa.
  4. Identifique a clínica controladora, o tenant e os sistemas que tratam dados daquele titular.
  5. Confirme se existe enquadramento documentado para prazo de pequeno porte.
  6. Calcule a data interna sem apresentar a meta operacional como prazo legal diferente.
  7. Exporte somente registros pertencentes ao titular validado.
  8. Revise conteúdo, destinatário e meio antes da entrega.
  9. Registre resposta, data, escopo, responsável e falhas encontradas.

O sistema pode alertar antes do limite, mas a automação não decide sozinha se a extensão de pequeno porte se aplica. Também não deve enviar exportação sensível apenas porque alguém controlou o endereço de email. A revisão humana continua necessária onde identidade, escopo ou papel estejam em dúvida.

Pedidos que revelam falhas ou incidentes

Uma solicitação pode mostrar que dados estão associados à pessoa errada, que outra unidade consegue vê-los ou que uma integração manteve cópia inesperada. O atendimento do direito e a avaliação de segurança passam a correr em trilhas coordenadas. Um não deve ser encerrado apenas porque o outro foi aberto.

Se houver suspeita de incidente, preserve evidências e acione o processo apropriado. O guia sobre incidente com dados de saúde e comunicação à ANPD explica papéis e prazos desse fluxo. Não use a investigação como justificativa genérica para ignorar o pedido de acesso.

Dados de crianças ou adolescentes exigem cuidado com representante, identidade e melhor interesse. O conteúdo sobre agendamento pediátrico ajuda a mapear essa camada, sem produzir uma resposta universal para toda relação familiar.

Como comunicar o prazo sem criar uma promessa errada

A confirmação ao titular pode identificar o pedido, o canal seguro e a próxima etapa. Se a resposta for simplificada e o regime comum se aplicar, trate a obrigação imediata como tal. Se a pessoa pediu declaração completa, informe a data correspondente ao prazo de até 15 dias, sem sugerir que a clínica sempre consumirá todo o período.

Quando houver pequeno porte elegível, explique que a forma simplificada pode ser entregue em até 15 dias e que o prazo da declaração completa é dobrado pela resolução. Se mencionar 30 dias, diga expressamente que é resultado de duplicar os 15 dias do artigo 19. Registre a base do enquadramento para que suporte, privacidade e jurídico comuniquem a mesma regra.

Setores específicos, Poder Público, outras leis e fatos do caso podem alterar procedimento ou prazo. A política deve indicar essas fronteiras e exigir revisão qualificada quando o pedido sair do fluxo padrão.

Perguntas frequentes

Toda solicitação de acesso pode esperar 15 dias?

Não. No regime comum, confirmação ou acesso simplificado deve ser providenciado imediatamente. O prazo de até 15 dias se refere à declaração clara e completa descrita no artigo 19, II.

Onde a LGPD diz literalmente que uma clínica pequena tem 30 dias?

Ela não traz essa frase. Trinta dias é cálculo derivado: o artigo 19 fixa até 15 dias para a declaração completa e a Resolução nº 2 concede prazo em dobro ao agente de pequeno porte elegível.

O fornecedor da agenda pode responder diretamente ao paciente?

Depende dos papéis, das instruções e do canal aprovado. O operador deve apoiar o controlador e proteger o tenant correto. Ele não assume automaticamente a decisão jurídica da clínica por hospedar ou exportar os dados.

Um pedido de agenda é sempre igual a um pedido de prontuário?

Não. Este artigo trata do acesso a dados pessoais sob a LGPD no fluxo de agenda. Conteúdo, guarda e acesso a prontuário podem envolver outras normas e fatos, que precisam de análise própria.

Referências

Leia também