A competência sancionatória da LGPD é da autoridade de proteção de dados, não da Vigilância Sanitária.
Dito isso, a guarda adequada do prontuário e o sigilo integram as boas práticas dos serviços de saúde e as normas dos conselhos — então o tema aparece, por outro caminho, na avaliação do serviço.
Fontes oficiais desta resposta
-
Lei federal nº 13.709, de 14 de agosto de 2018 (LGPD) — Congresso Nacional.
Lei Geral de Proteção de Dados Pessoais; classifica dado referente à saúde como dado pessoal sensível (art. 5º, II).
Consultar no site oficial -
RDC Anvisa nº 63, de 25 de novembro de 2011 — Anvisa.
Dispõe sobre os requisitos de boas práticas de funcionamento para os serviços de saúde.
Consultar no site oficial
Vale para o seu caso?
Esta resposta explica a regra geral. Exigência sanitária depende do CNAE, do município e do que a clínica realmente faz — por isso a mesma pergunta pode ter respostas diferentes em duas cidades. Conte a sua situação e dizemos o que se aplica a você.