Sua planilha de pacientes é um banco de dados sensível

Existe uma planilha de controle de pacientes em quase todo consultório pequeno do Brasil. Muitas vieram de graça, distribuídas como material de apoio por plataformas do setor: baixe, preencha, organize sua agenda. O arquivo costuma ter duas abas — uma com o cadastro, outra com os atendimentos — e a primeira pede nome, telefone, data de nascimento, endereço, e-mail e CPF.

A planilha resolve um problema real. Quem atende trinta pessoas por semana precisa saber quem são, como avisar de uma remarcação e quando foi a última consulta. Caderno é pior. Memória é muito pior.

Este texto não é sobre abandonar a planilha. É sobre o que ela é do ponto de vista legal, por que o risco não está onde a maioria imagina, e o que muda com meia hora de trabalho.

O que você tem em mãos, juridicamente

A lista de nomes já é dado pessoal sensível — mesmo que não haja uma única palavra de conteúdo clínico na planilha.

A LGPD define dado sensível no art. 5º, II, e “dado referente à saúde” está na lista. O ponto que costuma passar batido: o simples fato de alguém ser paciente de um determinado profissional é, em si, um dado referente à saúde. Uma planilha com trezentos nomes de um consultório de psiquiatria não precisa de diagnóstico nenhum para ser sensível; a coluna “nome” já entrega a informação.

Some a isso o CPF, o endereço e a data de nascimento — que não são sensíveis por si, mas identificam a pessoa com precisão e são exatamente o que serve para fraude — e a planilha vira o tipo de arquivo que interessa a alguém.

Ou seja: o problema da planilha nunca foi a base legal. É o que vem depois dela — segurança, acesso, prazo e rastro.

O problema não é a planilha, é onde ela mora

Um arquivo baixado não fica num lugar. Ele se multiplica, e as cópias não são decisão de ninguém: são efeito colateral de ferramentas que funcionam exatamente como prometido.

Vale percorrer o caminho com calma, porque cada passo é razoável isoladamente:

1. Você baixa o arquivo. Ele cai em Downloads, junto com boletos e fotos.
2. Sua pasta pessoal sincroniza com iCloud, Google Drive ou OneDrive — você ativou isso há três anos para não perder as fotos, e funcionou.
3. Você manda por e-mail para a recepção. Agora existe uma cópia no anexo enviado, outra no anexo recebido, e uma terceira na máquina de quem baixou.
4. Alguém manda pelo WhatsApp para resolver rápido. O arquivo entra no backup do celular.
5. Um ano depois, essa pessoa sai da equipe. Ninguém pede o computador de volta, porque era o computador dela.

Ao final, existem cinco cópias de uma base de dados sensíveis. Nenhuma tem senha, nenhuma registra quem abriu, e nenhuma tem prazo para desaparecer. Se você for perguntado hoje quantas cópias existem e onde estão, a resposta honesta é que não dá para saber.

Quem responde por isso é você

A LGPD chama de controlador quem toma as decisões sobre o tratamento (art. 5º, VI). No consultório, esse é o médico ou a clínica — não a plataforma que distribuiu o arquivo, não o fabricante do computador, não o serviço de nuvem.

Quem te deu a planilha não responde pela sua cópia. Isso não é deslealdade de ninguém: é a arquitetura da lei. A partir do momento em que você decide quais dados coletar e para quê, a decisão é sua, e a responsabilidade acompanha a decisão.

Como deixar a planilha defensável

Não é preciso trocar de ferramenta para melhorar muito. As cinco mudanças abaixo são de uma tarde, e resolvem a maior parte do risco real.

1. Separe quem é de o que aconteceu. Esta é a mudança estrutural, e vale mais que as outras quatro somadas. Em vez de uma planilha com nome ao lado de cada atendimento, tenha duas coisas: um cadastro com a identificação, e um registro de atendimentos que se refere ao paciente por um código — P-0147, e não “Maria da Silva”. O cadastro é curto, muda pouco e pode ficar mais protegido. O registro de atendimentos, que é o arquivo aberto o dia inteiro na recepção, deixa de conter nome, CPF e endereço.

É o mesmo raciocínio que aplicamos a documentos clínicos no post sobre desidentificação: o identificador vive separado do conteúdo, e só quem precisa reencontrar a pessoa tem as duas peças.

2. Colete menos. Olhe a coluna de CPF e pergunte para que ela serve no seu fluxo. Se é para emitir nota ou faturar convênio, ela tem finalidade. Se está ali porque o modelo veio com ela, apague a coluna — o dado que você não guarda é o único que não vaza.

3. Tire da pasta sincronizada. Guarde os dois arquivos numa pasta que não espelha para nuvem pessoal, ou num serviço contratado para a clínica, com conta nominal para cada pessoa. Se a planilha precisa ser compartilhada, compartilhe o link com acesso nominal em vez de mandar o arquivo — link se revoga, anexo não.

4. Defina prazo e escreva onde ninguém apaga. Prontuário tem prazo legal próprio, mas a planilha não é prontuário: é uma lista de contato e agenda. Decida por quanto tempo mantém o cadastro de quem não volta há anos, e registre a decisão. Prazo indefinido também é decisão — só que tomada por omissão.

5. Combine o desligamento antes de precisar dele. No dia em que alguém sai, o que se revoga, em que ordem, e quem confirma. Cinco minutos de procedimento escrito valem mais que qualquer antivírus.

Vi dados clínicos tratados como texto livre em planilhas compartilhadas no SUS. O consultório privado não é diferente — só é menor, e por isso ninguém acha que precisa de método.

Quando a planilha deixa de bastar

Ferramenta boa é a que cabe no problema. Alguns sinais indicam que o problema cresceu:

• Mais de duas pessoas editam o arquivo. Sem registro de quem alterou o quê, o primeiro erro vira uma discussão sem resposta.
• Começaram a aparecer anotações clínicas na coluna de comentários. A planilha está virando prontuário sem os requisitos de um, e o prontuário tem regras próprias de guarda.
• Você não sabe dizer quem tem acesso. Se a lista de pessoas com acesso não existe escrita, ela não existe.
• Alguém já pediu para ver ou apagar os próprios dados. O titular tem esse direito (art. 18), e atender pedido em planilha espalhada é caro e incerto.
• Você atende convênio, faz pesquisa ou compartilha com outro serviço. Aí entram contratos, finalidades distintas e trilha de auditoria.

Nenhum desses sinais exige comprar software caro no dia seguinte. Exige saber onde o dado mora e quem o toca — que é o passo que quase todo consultório pula.

Cinco perguntas para responder hoje

Se você só tiver dez minutos, responda estas cinco por escrito. As respostas que não vierem fácil são o seu mapa de trabalho.

1. Quantas cópias da planilha existem, e onde? Conte também anexos de e-mail e backups.
2. A pasta onde ela está sincroniza com alguma nuvem pessoal? Se você não sabe, a resposta provável é sim.
3. Quem tem acesso hoje — e quem tinha e não tem mais?
4. Para que serve cada coluna? A que não tiver resposta pode ser apagada.
5. Se alguém pedisse amanhã para apagar os próprios dados, você conseguiria — em todas as cópias?

A planilha não é o inimigo. O que compromete o consultório não é usar uma ferramenta simples: é usar uma ferramenta simples achando que ela não tem consequência. Meia hora de organização transforma um arquivo que ninguém controla em um arquivo que você consegue explicar — e explicar é exatamente o que se pede de um controlador.

Se a sua clínica chegou no ponto em que a planilha não basta mais, esse é o tipo de transição que ajudamos a desenhar, do inventário do que existe hoje ao registro de operações que a lei pede.

Fontes

• Planalto — Lei nº 13.709/2018 (LGPD), art. 5º, II e VI; art. 11, II, “f”; art. 18; art. 37
• ANPD — Resolução CD/ANPD nº 2, de 27 de janeiro de 2022: art. 9º (registro simplificado), art. 11 e §1º (dispensa de encarregado, mantido canal com o titular) e art. 14, I (prazos em dobro)
• ANPD — página institucional com resoluções e guias orientativos
• anonimiz.ar — desidentificação de documentos clínicos no navegador