LGPD Para Clínicas ABA: Checklist Compliance 2026
Clínicas ABA tratam dados extremamente sensíveis: diagnósticos de TEA, prontuários de crianças, informações de desenvolvimento neurológico. A LGPD classifica esses como "dados pessoais sensíveis" — e exige proteção reforçada.
Com multas que podem chegar a R$ 50 milhões e a ANPD intensificando a fiscalização em 2026, este checklist de 15 itens ajuda sua clínica ABA a ficar em conformidade.
⚠️ Por Que Clínicas ABA São Mais Expostas?
- Dados de menores: Crianças com TEA são titulares de dados com proteção especial
- Saúde mental: Diagnósticos psiquiátricos são dados sensíveis (Art. 5º, II)
- Comunicação com pais: WhatsApp com famílias gera dados não estruturados
- Convênios: Repasse de dados para seguradoras exige base legal
- Equipe multidisciplinar: Múltiplos profissionais acessam dados do mesmo paciente
Obrigações Específicas para Clínicas ABA
Antes do checklist, entenda as obrigações que se aplicam especificamente a clínicas ABA:
📋 Consentimento dos Pais/Responsáveis
Para menores de 18 anos, o consentimento deve ser dado pelo responsável legal. O TCLE (Termo de Consentimento Livre e Esclarecido) deve incluir:
- Finalidade específica do tratamento
- Tipos de dados coletados (sessões, avaliações, relatórios)
- Compartilhamento com supervisores e convênios
- Prazo de retenção dos dados
- Direitos do titular e como exercê-los
📋 DPO (Encarregado de Dados)
Toda organização deve indicar um Encarregado. Para clínicas ABA, pode ser:
- O próprio gestor da clínica
- Advogado especializado em proteção de dados
- Profissional de TI com conhecimento em LGPD
📋 RIPD (Relatório de Impacto à Proteção de Dados)
Para clínicas ABA, o RIPD deve documentar:
- Quais dados sensíveis são tratados
- Finalidades do tratamento
- Medidas de segurança adotadas
- Riscos identificados e como são mitigados
- Procedimentos para exercício de direitos
Checklist LGPD: 15 Itens Obrigatórios
📋 Checklist Completo para Clínicas ABA
1
Base Legal do Tratamento
Definir se utiliza consentimento (Art. 7º, I) ou legítimo interesse (Art. 7º, IX). Para dados sensíveis de saúde, consentimento é a regra (Art. 11, I).
Definir se utiliza consentimento (Art. 7º, I) ou legítimo interesse (Art. 7º, IX). Para dados sensíveis de saúde, consentimento é a regra (Art. 11, I).
2
Termo de Consentimento (TCLE)
Criar TCLE específico para clínica ABA com: finalidade, tipos de dados, compartilhamento, prazo, direitos. Assinatura digital ou física dos pais.
Criar TCLE específico para clínica ABA com: finalidade, tipos de dados, compartilhamento, prazo, direitos. Assinatura digital ou física dos pais.
3
Política de Retenção/Exclusão
Definir prazos: mínimo 20 anos para prontuários (CFM 1.821/2007). Para menores: até 5 anos após maioridade ou 20 anos, o que for maior.
Definir prazos: mínimo 20 anos para prontuários (CFM 1.821/2007). Para menores: até 5 anos após maioridade ou 20 anos, o que for maior.
4
Criptografia de Dados
TLS 1.3 para dados em trânsito. AES-256 para dados em repouso. Prontuário eletrônico com criptografia nativa.
TLS 1.3 para dados em trânsito. AES-256 para dados em repouso. Prontuário eletrônico com criptografia nativa.
5
Controle de Acesso por Perfil
Cada profissional acessa apenas dados da sua especialidade. Terapeuta ABA vê dados de ABA; psicólogo vê dados de psicologia. Logs de auditoria.
Cada profissional acessa apenas dados da sua especialidade. Terapeuta ABA vê dados de ABA; psicólogo vê dados de psicologia. Logs de auditoria.
6
Logs de Auditoria
Registrar quem acessou, quando, o quê e por quê. Logs devem ser imutáveis e retidos por mínimo 5 anos.
Registrar quem acessou, quando, o quê e por quê. Logs devem ser imutáveis e retidos por mínimo 5 anos.
7
Treinamento da Equipe
Capacitação obrigatória sobre: dados sensíveis, consentimento, incidentes, direitos dos titulares. Documentar treinamentos realizados.
Capacitação obrigatória sobre: dados sensíveis, consentimento, incidentes, direitos dos titulares. Documentar treinamentos realizados.
8
DPO Nomeado
Indicar Encarregado de Dados com contato público. Publicar dados do DPO no site e nos termos de consentimento.
Indicar Encarregado de Dados com contato público. Publicar dados do DPO no site e nos termos de consentimento.
9
Canal de Exercício de Direitos
Criar canal (e-mail, formulário) para pacientes/pais exercerem: acesso, retificação, exclusão, portabilidade. Prazo: 15 dias.
Criar canal (e-mail, formulário) para pacientes/pais exercerem: acesso, retificação, exclusão, portabilidade. Prazo: 15 dias.
10
RIPD (Relatório de Impacto)
Documentar: dados tratados, finalidades, riscos, medidas de segurança. Atualizar anualmente ou quando houver mudança significativa.
Documentar: dados tratados, finalidades, riscos, medidas de segurança. Atualizar anualmente ou quando houver mudança significativa.
11
Contratos com Operadores
Incluir cláusulas LGPD em contratos com: software, convênios, laboratórios, supervisores. Definir papéis de controlador/operador.
Incluir cláusulas LGPD em contratos com: software, convênios, laboratórios, supervisores. Definir papéis de controlador/operador.
12
Plano de Resposta a Incidentes
Processo para: conter, avaliar, notificar titulares, comunicar ANPD (72h), documentar. Testar plano anualmente.
Processo para: conter, avaliar, notificar titulares, comunicar ANPD (72h), documentar. Testar plano anualmente.
13
Backup e Recuperação
Backup automatizado em duas mídias diferentes. Testar recuperação mensalmente. RPO mínimo 24h, RTO mínimo 4h.
Backup automatizado em duas mídias diferentes. Testar recuperação mensalmente. RPO mínimo 24h, RTO mínimo 4h.
14
Autenticação Multifator (2FA)
Obrigatório para acessos ao sistema de gestão. Especialmente para acessos remotos e dados sensíveis.
Obrigatório para acessos ao sistema de gestão. Especialmente para acessos remotos e dados sensíveis.
15
Auditoria Semestral
Revisar práticas de dados a cada 6 meses: consentimentos válidos, acessos autorizados, incidentes, solicitações de titulares.
Revisar práticas de dados a cada 6 meses: consentimentos válidos, acessos autorizados, incidentes, solicitações de titulares.
Armadilhas Comuns (Evite Estes Erros)
❌ Erros Que Clínicas ABA Cometem
- Consentimento verbal: "Os pais falaram que tá tudo bem" não vale. Sem assinatura, sem validade.
- Dados de crianças sem base legal: Menores precisam de consentimento do responsável + justificativa legal.
- Retenção indefinida: "Vou guardar para o caso de precisar" não é base legal. Defina prazos.
- WhatsApp pessoal: Dados de pacientes em WhatsApp pessoal não atende LGPD.
- Sem DPO: Muitas clínicas não nomeiam Encarregado — é obrigatório.
Como a CM Gestão Ajuda no Compliance
A CM Gestão foi projetada para atender aos requisitos de LGPD para clínicas ABA:
- LGPD nativo: Criptografia, controle de acesso, logs de auditoria integrados
- Consentimento digital: Termos assinados digitalmente no sistema
- Exclusão em 1 clique: Atenda ao direito ao esquecimento sem complicação
- Controle por perfil: Cada profissional vê apenas o que deve ver
- Backup automático: Dados seguros em duas cópias
📥 Checklist PDF Gratuito
Baixe nosso checklist de compliance LGPD para clínicas ABA em PDF. 15 itens obrigatórios + 3 armadilhas comuns.
Baixar Checklist PDF →Compliance Sem Dor de Cabeça
teste grátis por 15 dias o único software feito para clínicas ABA com LGPD nativo.
Começar Trial Grátis →Oferta fundadores: 50% OFF nas primeiras 12 mensais
📚 Artigos Relacionados
Perguntas Frequentes
Clínica ABA precisa de DPO (Encarregado de Dados)?
Sim. Toda organização que trata dados pessoais deve indicar um Encarregado de Dados (DPO). Para clínicas ABA, pode ser o próprio gestor ou um profissional externo.
Consentimento verbal dos pais é válido pela LGPD?
Não. O consentimento deve ser expresso, específico e documentado. Consentimento verbal não atende aos requisitos da LGPD para dados sensíveis de saúde.
Quanto tempo devo manter prontuários de pacientes ABA?
Mínimo 20 anos (Resolução CFM 1.821/2007). Para menores, até 5 anos após completar 18 anos, ou 20 anos, o que for maior.