Ambulatório Terceirizado: Quem Responde pelo Sigilo Quando a Clínica é Externa

TL;DR: Terceirizar o ambulatório não terceiriza a responsabilidade. A empresa contratante continua sendo a controladora dos dados (LGPD) e responde pela governança de sigilo; a clínica externa é a operadora e guardiã do prontuário, com dever ético de sigilo próprio. Em um incidente, as duas podem responder solidariamente — e para a empresa volta apenas o ASO, nunca o diagnóstico.

Muitas empresas terceirizam o ambulatório na expectativa de “passar o problema para frente”: se a clínica é externa, a responsabilidade pelo sigilo seria dela. É um erro caro. A legislação de proteção de dados atribui à empresa contratante o papel de controladora — e o controlador responde mesmo quando não executa o tratamento. Este artigo explica quem responde pelo quê no modelo terceirizado, o momento crítico da troca de clínica e as cláusulas que o contrato precisa ter.

Se quiser o panorama antes, comece pelo pilar: Sigilo médico ocupacional: a regra, as exceções e quem responde. E veja o cenário oposto em Ambulatório próprio na indústria: o erro mais comum de sigilo.

O que muda quando o ambulatório é terceirizado

No modelo terceirizado, uma clínica externa executa o serviço de saúde ocupacional — exames, emissão de ASO, guarda de prontuário — a partir das definições da empresa contratante. O que muda não é a regra do sigilo, que continua idêntica, mas a cadeia de responsabilidade: agora há duas organizações tratando o dado sensível do trabalhador, ligadas por um contrato.

Essa cadeia é regida ao mesmo tempo por três lógicas: a proteção de dados (LGPD), a ética médica (o médico da clínica é o guardião do prontuário) e a legislação trabalhista da terceirização (Lei nº 13.429/2017). Entender como elas se combinam é o que responde à pergunta “quem responde pelo sigilo?”.

Controlador e operador: quem é quem na LGPD

A LGPD define dois papéis centrais que estruturam a relação:

• Controlador é quem decide sobre o tratamento — finalidade e meios. No ambulatório terceirizado, a empresa contratante é a controladora: é ela que decide fazer o PCMSO, quem será examinado e para qual finalidade.
• Operador é quem executa o tratamento por conta e ordem do controlador, sem autonomia própria de decisão. A clínica terceirizada atua como operadora nesse fluxo.

Há uma nuance importante que não pode ser apagada: a clínica não é uma mera executora de dados. Ela também é um estabelecimento de saúde, e o médico que atende o trabalhador estabelece uma relação médico-paciente com dever ético de sigilo próprio, sendo o guardião do prontuário que produz. É essa dupla natureza que torna a resposta “quem responde?” uma resposta em camadas.

Quem responde: a resposta em camadas

Não existe um único responsável. Existem responsabilidades sobrepostas:

• A empresa contratante responde como controladora — é a responsável legal primária pela governança do dado.
• A clínica terceirizada responde como operadora pela execução e pela segurança do tratamento, e responde eticamente, pela figura do médico, pela guarda e pelo sigilo do prontuário.
• O médico responde pessoalmente, no plano ético e penal, por eventual quebra de sigilo (Código de Ética Médica e Código Penal, art. 154).

Na prática, um vazamento raramente tem um culpado só. Ele expõe uma falha de governança que atravessa as duas organizações — e é assim que os órgãos de controle o tratam.

Terceirizar não transfere a responsabilidade

Este é o ponto que mais gera decisão errada. Contratar uma clínica externa não transfere para ela a responsabilidade da empresa perante a fiscalização e a Justiça.

Na LGPD, o controlador tem responsabilidade objetiva: pode ser demandado a reparar o dano ainda que não tenha havido culpa direta sua, porque a decisão sobre o tratamento é dele. E controlador e operador podem responder solidariamente pelos danos causados ao titular (LGPD, art. 42).

A consequência prática é direta: a empresa não se protege apenas escrevendo “a clínica é responsável pelo sigilo” no contrato. Ela se protege escolhendo um operador idôneo, exigindo garantias técnicas e jurídicas e fiscalizando a execução. Terceirizar bem é terceirizar com governança, não sem ela.

O momento crítico: a custódia do prontuário na troca de clínica

O ponto de falha mais subestimado do modelo terceirizado é a transição. Quando a empresa troca de clínica — ou encerra o contrato —, o que acontece com os prontuários dos trabalhadores?

A NR-07 é clara sobre a custódia: os dados clínicos ficam sob responsabilidade do médico coordenador do PCMSO, com guarda mínima de 20 anos após o desligamento do trabalhador, e, em caso de substituição do médico responsável, os prontuários devem ser formalmente transferidos ao sucessor. Trocar de clínica sem esse repasse formal cria um vácuo perigoso: prontuários órfãos, histórico de saúde perdido para a rastreabilidade de nexo causal e um passivo de conformidade esperando aparecer em uma perícia.

Por isso, a cláusula de transição não é burocracia — é a diferença entre uma troca de fornecedor limpa e um problema que ressurge anos depois.

O que o contrato precisa ter

Um contrato de ambulatório terceirizado que protege a empresa contra o risco de sigilo precisa, no mínimo, de:

• Cláusula de operador LGPD — define o papel de cada parte (controlador/operador), a finalidade, a base legal e os limites de uso do dado.
• Sigilo e segurança da informação — confidencialidade, controle de acesso e a regra de que o único dado que retorna à contratante é o ASO.
• Notificação de incidentes — prazo e forma de comunicar vazamentos à contratante e à ANPD.
• Direito de auditoria e fiscalização — a contratante pode verificar como o operador trata o dado sensível.
• Custódia e transferência do prontuário — na rescisão, os prontuários passam formalmente ao sucessor, conforme a NR-07.
• Diretor técnico e responsabilidade civil — responsável técnico com Registro de Qualificação de Especialidade (RQE) e seguro de responsabilidade civil profissional.

Erros mais comuns no modelo terceirizado

Quatro falhas se repetem:

• Contrato sem cláusula de operador. O contrato trata só de preço e escopo assistencial, e ignora o tratamento de dados.
• A clínica devolve o CID. Por hábito ou por pedido do RH, a clínica repassa o diagnóstico junto com o ASO. É quebra de sigilo, e a responsabilidade respinga na contratante.
• Sem plano para o fim do contrato. Ninguém definiu o que acontece com os prontuários na troca de clínica, e o histórico se perde.
• Fornecedor não auditado. A empresa contrata pelo menor preço, nunca verifica como o dado é tratado e descobre a fragilidade só no incidente.

Perguntas frequentes (FAQ)

Se eu terceirizo o ambulatório, a responsabilidade pelo sigilo é da clínica?
Não integralmente. A empresa contratante é a controladora (LGPD) e continua responsável pela governança do dado. A clínica é operadora e guardiã do prontuário. Em um incidente, as duas podem responder solidariamente.

A clínica terceirizada pode me enviar o diagnóstico do funcionário?
Não. À empresa volta apenas o ASO, com a conclusão de aptidão. Enviar o CID ou o diagnóstico é quebra de sigilo.

Quando troco de clínica, quem fica com os prontuários?
Os prontuários devem ser formalmente transferidos ao médico sucessor, conforme a NR-07, com guarda mínima de 20 anos após o desligamento do trabalhador.

Um termo de confidencialidade com a clínica é suficiente?
Não. O contrato precisa de cláusula de operador LGPD, regras de segurança, notificação de incidentes, direito de auditoria e previsão de custódia do prontuário — além de fiscalização efetiva.

Conclusão

No ambulatório terceirizado, a pergunta “quem responde pelo sigilo?” não tem resposta única: responde a empresa contratante como controladora, responde a clínica como operadora e guardiã, e responde o médico pessoalmente. O que a empresa não pode fazer é imaginar que terceirizou a responsabilidade — ela terceirizou a execução, e continua no comando da governança.

O Grupo Bplan atua como parceiro de saúde ocupacional com governança de sigilo integrada ao serviço — do fluxo do ASO à custódia do prontuário e às cláusulas de proteção de dados no contrato. Fale com nossa equipe técnica e avalie o risco de sigilo do seu ambulatório terceirizado.

No próximo artigo, entramos em um dado sensível que a NR-01 trouxe para o centro da discussão: o sigilo dos dados de saúde mental e o SRQ-20 nominal versus agregado.

Conteúdo produzido pela equipe técnica do Grupo Bplan — consultoria de Saúde Ocupacional e Segurança do Trabalho. Material informativo; não substitui orientação jurídica ou médica individualizada.

Fontes: LGPD — Lei nº 13.709/2018 (papéis de controlador e operador; art. 42; art. 11); Lei da Terceirização — Lei nº 13.429/2017; NR-07 (PCMSO); Código de Ética Médica — Resolução CFM nº 2.217/2018; Código Penal (art. 154).