Arcada Labs / Blog / boas práticas

BOAS PRÁTICAS

LGPD no laboratório: o arquivo STL do paciente é dado de saúde. E agora?

15 de agosto de 2026leitura de 9 minEquipe Arcada Labs

Na tela, o arquivo STL parece só uma malha cinza sem nome. Na lei, ele é outra coisa: o registro tridimensional da boca de uma pessoa identificável, produzido dentro de um atendimento de saúde. A LGPD chama isso de dado pessoal sensível, e trata quem recebe, guarda e imprime esse arquivo como parte da cadeia de responsabilidade. Se o seu laboratório recebe scan de paciente e repassa para um birô imprimir, este artigo é sobre você, e sobre as perguntas que você deveria fazer antes do próximo envio.

Por que o scan intraoral é dado sensível

A LGPD (Lei 13.709/2018) define como sensível o dado pessoal referente à saúde. O scan intraoral nasce dentro de um prontuário: descreve a condição bucal de um paciente específico, com preparos, ausências, desgastes e anatomia únicos daquela pessoa, do mesmo jeito que uma radiografia. E mesmo quando o arquivo chega renomeado como "caso_042.stl", ele raramente viaja sozinho: vem na conversa de WhatsApp junto do nome do paciente, da clínica e do trabalho pedido. O conjunto identifica a pessoa, e é o conjunto que a lei olha.

Consequência prática: o STL do paciente merece o mesmo tratamento que você já dá a ficha, receita e radiografia. Não é exagero de advogado, é a leitura direta da lei aplicada a um formato de arquivo novo.

O que a lei exige de quem recebe o arquivo

Na cadeia do caso, a clínica que escaneia decide o porquê do tratamento do dado: é a controladora. O laboratório e o birô que imprimem tratam o dado por conta da ordem de serviço: são operadores. E operador também responde, inclusive solidariamente em caso de incidente. Na prática, quem recebe um scan assume quatro obrigações:

• Finalidade. O arquivo serve para executar aquele trabalho protético, e para nada além disso. Usar o caso real como material de divulgação sem consentimento específico do paciente viola a finalidade.
• Sigilo. Acesso restrito a quem precisa tocar o caso, e mais ninguém.
• Segurança. Armazenamento que não seja a pasta de downloads de um computador compartilhado: cópia controlada, de preferência criptografada.
• Descarte. Terminado o trabalho e o prazo combinado, o arquivo é eliminado, e não acumulado para sempre "porque um dia pode servir".

As perguntas que o protético deve fazer ao birô

Antes de mandar o primeiro arquivo para qualquer birô, incluindo a gente, pergunte por escrito:

• Quem, nominalmente, tem acesso aos arquivos que eu enviar?
• Vocês publicam foto ou vídeo de caso real nas redes? Com base em qual autorização?
• Por quanto tempo o arquivo fica guardado e o que acontece com ele depois?
• Onde o arquivo fica armazenado e existe cópia criptografada?
• Vocês assinam compromisso de sigilo e descarte por escrito?
• Se houver um incidente com os dados, como e quando eu sou avisado?

Birô sério responde as seis sem se ofender. Birô que trata a pergunta como desconfiança está te dizendo, do jeito dele, como trata o arquivo do seu cliente.

E uma prática que custa zero e reduz risco na hora: mande o mínimo necessário. O birô precisa da malha e da finalidade do trabalho, não do nome completo do paciente no nome do arquivo, não da ficha, não do histórico da conversa com a clínica encaminhado inteiro. Identificação interna do caso no nome do arquivo e instrução objetiva no texto da mensagem resolvem o pedido e deixam menos dado circulando por aí.

Como a Arcada Labs trata o arquivo do paciente

As respostas da casa, públicas e por escrito:

• Uma pessoa acessa. A operação é enxuta de propósito: quem recebe, prepara e imprime o arquivo é uma única pessoa, sem repasse interno.
• Nunca publica caso real. Todo material de divulgação usa modelo de demonstração impresso a partir de STL público de arcada. Scan de paciente não vira post, nem "com a identidade preservada".
• Apaga em 30 dias. Depois da entrega, o arquivo fica 30 dias em backup local criptografado, para o caso de reimpressão, e é eliminado em seguida. Precisou do modelo de novo depois disso, a clínica reenvia o arquivo.
• Compromisso por escrito. No primeiro pedido, o laboratório recebe o termo de sigilo e descarte assinado, para arquivar e mostrar à clínica quando perguntarem.

Sigilo é argumento de venda, não burocracia

Dentista escolhe laboratório também pelo risco que não quer correr. Quando a clínica pergunta ao protético onde o scan do paciente vai parar, responder "no birô parceiro, com termo de sigilo assinado, acesso de uma pessoa e descarte em 30 dias" fecha a conversa a seu favor. Em Atibaia e região, onde clínica, laboratório e birô se conhecem pelo nome, reputação de sigilo circula rápido, nos dois sentidos.

Esse cuidado começa antes do envio: o checklist de conferência e organização de arquivos do guia Recebi um STL do scanner intraoral: e agora? já inclui não usar o nome completo do paciente no nome do arquivo. E se é o consultório que manda o arquivo direto, o artigo sobre modelo impresso na apresentação de caso mostra o fluxo do lado da clínica.

Conclusão

O STL do paciente é dado de saúde: sensível por definição legal e identificável pelo contexto em que circula. Quem recebe assume finalidade, sigilo, segurança e descarte, e o protético tem o direito de exigir isso por escrito de qualquer birô antes de apertar enviar. A Arcada Labs responde as seis perguntas deste artigo no primeiro contato, com termo assinado. Trate o arquivo como você trata a radiografia, e a LGPD deixa de ser ameaça para virar diferencial do seu laboratório.

Perguntas frequentes

O STL sem o nome do paciente ainda é dado pessoal?

Sim. A anatomia da arcada é única e o arquivo circula junto de conversa, ordem de serviço e nome da clínica. A LGPD olha o conjunto, e o conjunto identifica a pessoa.

Quem responde pela LGPD quando o laboratório repassa o arquivo ao birô?

A clínica é a controladora; laboratório e birô atuam como operadores. Operador também responde, inclusive de forma solidária em caso de incidente, por isso a escolha do birô é uma decisão de risco.

O birô pode postar um caso real nas redes sociais?

Só com consentimento específico do paciente para essa finalidade, o que quase nunca existe na prática. A Arcada Labs não publica caso real em nenhuma hipótese: a divulgação usa modelo de demonstração de STL público.

Por quanto tempo o birô deveria guardar o arquivo?

Pelo tempo necessário à finalidade e nada além. Na Arcada Labs, o arquivo fica 30 dias em backup local criptografado após a entrega, para eventual reimpressão, e é eliminado em seguida.

O que exigir por escrito antes do primeiro envio?

Um termo de sigilo e descarte assinado, dizendo quem acessa os arquivos, que não há publicação de caso real, o prazo de eliminação e como você é avisado em caso de incidente. A Arcada Labs entrega esse termo no primeiro pedido.