O sistema de escala precisa seguir a LGPD? De quem são os dados do médico?

Sim. A escala de plantão está cheia de dado pessoal: nome, CRM, telefone, horário, setor, valor do plantão e hora de entrada e saída. Tudo isso identifica uma pessoa, e a Lei Geral de Proteção de Dados (LGPD) vale para isso, mesmo sem nenhum dado de paciente. Este guia mostra o que a lei pede da escala, quem responde por quê e o que conferir antes de escolher um sistema.

Por que a escala entra na LGPD

A Lei 13.709/2018, artigo 5º, inciso I, chama de dado pessoal qualquer informação ligada a uma pessoa identificada ou identificável. “Dra. Ana, CRM 000000, UTI adulto, sábado 19h, R$ 2.100” é exatamente isso.

A escala não precisa ter prontuário para estar na lei. Ela é um retrato do trabalho de cada médico: onde ele está, quanto ganha, quando chegou. Nas mãos erradas, isso já basta para causar dano. Um exemplo: a planilha com o valor de cada plantonista vazada no grupo do corpo clínico vira briga por diferença de R$ 300 por noite na semana seguinte.

Este texto não é parecer jurídico. Para um caso concreto, fale com o encarregado de dados do hospital (a pessoa que a lei manda indicar para cuidar do assunto) e com o jurídico.

Que dados a escala junta, e qual deles pede mais cuidado

Dado	Exemplo	Cuidado
Identificação	Nome, e-mail, telefone, CRM, RQE (registro de especialista)	Dado pessoal comum. Só quem escala e quem paga precisa ver o telefone.
Escala	Setor, dia, turno, troca aceita	Dado pessoal comum. A escala do setor pode circular na equipe; a do hospital inteiro, não precisa.
Valor	R$ 1.800 a noite no PS, R$ 23.700 no mês	Dado pessoal comum, mas delicado. Quem não paga não precisa ver.
Ponto	Entrada às 19h07, saída às 7h02	Dado pessoal comum. Serve para pagar e para provar jornada.
Motivo de falta	Atestado com diagnóstico	Dado sensível: dado de saúde. Não deveria estar na escala.

A última linha é a armadilha mais comum. A LGPD, artigo 5º, inciso II, trata dado de saúde como sensível, com regra mais dura. Quando a coordenação escreve no grupo “o Bruno não vem, está com gastroenterite”, ela espalha um dado sensível para 40 pessoas. A escala só precisa dizer que o plantão ficou em aberto. O atestado vai para quem cuida do contrato, por canal fechado.

Precisa pedir consentimento do médico para escalar?

Na maior parte dos casos, não. Consentimento é só uma das bases que a lei aceita para usar um dado. O artigo 7º da LGPD lista outras, e três delas cobrem quase toda a escala:

• Execução de contrato (inciso V). O médico foi contratado para dar plantão. Sem nome, horário e valor, não existe escala nem pagamento.
• Obrigação legal ou regulatória (inciso II). O hospital precisa saber quem estava de plantão e por quanto tempo, por regra trabalhista, fiscal e dos conselhos.
• Legítimo interesse (inciso IX). Por exemplo, guardar o registro de quem mexeu na escala, por segurança. A lei ressalva que esse interesse não pode passar por cima dos direitos do médico.

O consentimento entra no que vai além do necessário. Exemplos: foto do médico no mural público, divulgar o telefone para quem não é da equipe, ou pedir a localização do celular. Se o médico disser não, a escala tem que continuar funcionando para ele.

De quem são os dados do médico?

A pergunta tem duas respostas, e as duas importam.

O dado é do médico

Ele é o titular: a pessoa a quem o dado se refere. O artigo 18 da LGPD dá a ele, entre outros, o direito de confirmar que o dado é usado, de ver o dado, de corrigir o que está errado, de pedir portabilidade (levar o dado para outro fornecedor) e de saber com quem ele foi compartilhado. Se o CRM saiu com um dígito trocado na escala, ele pode exigir a correção.

Quem decide é quem responde

A lei divide quem mexe nos dados em dois papéis. O controlador é quem toma as decisões sobre o uso dos dados (artigo 5º, inciso VI). O operador é quem trata os dados em nome do controlador e segue as instruções dele (artigos 5º, inciso VII, e 39).

No dia a dia da escala, o hospital decide quem entra em qual setor e por quanto. O sistema de escala executa. Por isso, o contrato com o fornecedor precisa dizer, por escrito, em quais dados ele é operador do hospital e em quais (se houver) ele decide sozinho. Um caso típico de “decide sozinho”: o cadastro que o médico leva de um hospital para outro.

No adm.hospital, a conta é do médico: quem já usa a adm.doctor entra com a mesma conta. O que é do hospital é a escala dele. O detalhe de cada papel está na página de segurança e na política de privacidade que ela indica.

O que a lei cobra do hospital, na prática

1. Ter um encarregado. O artigo 41 manda o controlador indicar um encarregado, o canal entre o hospital, os titulares e a autoridade (a ANPD, Autoridade Nacional de Proteção de Dados).
2. Registrar o que faz com os dados. O artigo 37 pede que controlador e operador mantenham registro das operações de tratamento, em especial quando a base é o legítimo interesse. Na prática, é um inventário: que dados a escala usa, para quê, com que base legal e com quem compartilha.
3. Proteger de verdade. O artigo 46 exige medidas técnicas e administrativas contra acesso não autorizado, perda e alteração. Senha compartilhada da coordenação não passa nesse teste. Saber quem mudou a escala e quando ajuda a cumprir esse dever de segurança.
4. Avisar se vazar. Se um incidente puder causar risco ou dano relevante, o hospital comunica a ANPD e os médicos afetados (artigo 48). A Resolução CD/ANPD nº 15/2024 dá prazo de três dias úteis.

Se não cumprir, a multa simples pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração (artigo 52, inciso II). Num hospital privado que fatura R$ 100 milhões no ano, o teto da multa seria R$ 2 milhões. Antes da multa, porém, vem o prejuízo mais comum: a confiança do corpo clínico.

Planilha, grupo e sistema: onde a escala vaza

	Planilha compartilhada	Grupo de WhatsApp	Sistema de escala com acesso por papel
Quem vê o valor de todos?	Quem tem o link	Todos do grupo, se alguém mandar o print	Só quem tem papel para isso
Ex-membro continua vendo?	Sim, até alguém tirar o acesso	Sim, o histórico fica no celular dele	Não, quando o acesso é cortado no sistema
Dá para saber quem mudou?	Às vezes	Não	Sim, quando há trilha de auditoria
Cópias soltas	Uma por download	Uma por celular	Uma exportação, quando alguém exporta

O print da escala com nome, telefone e valor é o vazamento mais barato que existe. Ele sai do hospital em um toque e não volta. Veja como sair da planilha e do WhatsApp sem parar a escala.

Checklist para escolher o sistema de escala pensando na LGPD

Leve estas perguntas para a conversa com o fornecedor e peça que o seu TI confira a resposta:

1. Guarda dado de paciente? Sistema de escala não precisa de prontuário. Quanto menos dado, menos risco.
2. O acesso é por papel e por setor? A coordenação da UTI não deveria ver nem mudar o centro cirúrgico.
3. Cada pessoa tem login próprio? Sem isso, o registro diz “alguém da coordenação”, e não quem.
4. Existe trilha de auditoria que ninguém edita? Quem mudou escala, ponto, valor ou permissão, e quando.
5. Tem verificação em duas etapas? Um código no celular além da senha.
6. Como fica o documento do médico? CRM e contrato não podem ficar num link público.
7. O backup é testado? Backup que nunca foi restaurado é só uma esperança.
8. O contrato diz quem é controlador e quem é operador? E como o fornecedor avisa o hospital se houver incidente.
9. O médico consegue ver e corrigir os próprios dados? E o que acontece com o histórico quando o vínculo acaba.

Para o resto da escolha (regras, trocas, fechamento, preço), veja como escolher um software de escala médica.

Como o adm.hospital responde a esse checklist

Só o que existe no produto hoje, descrito na página de segurança:

• Sem dado de paciente. O adm.hospital trata escala, ponto e pagamento de plantão. Não guarda prontuário.
• Acesso por papel e setor. Três camadas: direção, coordenação e profissional. Quem cuida da UTI não altera o centro cirúrgico, e um hospital nunca lê dado de outro.
• Trilha de auditoria. Toda ação que altera escala, ponto, valor, permissão ou cadastro registra quem fez, o quê e quando. O registro não pode ser editado pelo produto.
• Login protegido. Senha guardada com hash (um embaralhamento que não se desfaz) e verificação em duas etapas opcional.
• Documentos fora da área pública. CRM, certificados e contrato só chegam a quem tem permissão sobre aquele profissional.
• Backup diário, testado por restauração a cada mudança no código.

As trocas também deixam rastro: o plantão segue com o titular até um colega que cumpre a regra aceitar, com data e hora no histórico. Mais em como registrar quem mudou a escala e quando e em quem responde na troca de plantão.

Cinco hábitos que custam zero e já protegem a escala

• Escala por setor, não do hospital inteiro. Cada equipe vê a sua.
• Valor fora da escala pública. O médico vê o próprio valor; a equipe vê só quem está de plantão.
• Motivo de falta fora do grupo. “Plantão de sábado em aberto” basta.
• Cortar o acesso no dia da saída. Coordenadora que mudou de setor perde o acesso ao setor antigo no mesmo dia.
• Exportar só o que vai usar. O CSV do fechamento vai para quem paga, não para o e-mail de todo mundo.

Quer ver como fica a escala com acesso por setor e histórico? Experimente a demonstração no navegador, sem cadastro. Para a direção, os passos de contratação estão em como contratar; para a coordenação, o dia a dia está em a rotina do gestor.