Quando a clínica contrata uma consultoria externa e pretende repassar dado de exame ou de convênio por paciente
A consultoria de marketing é, tecnicamente, um segundo controlador — e o §4º fala de controlador para controlador
O §4º do art. 11 não fala em "empresa terceirizada" nem em "fornecedor": fala em "controladores", no plural, e uma consultoria que recebe o dado para decidir sozinha como processá-lo e usá-lo no diagnóstico se qualifica como controlador da própria finalidade que executa, não como mera operadora a serviço da clínica.
Antes de repassar resultado de exame ou status de autorização por paciente, vale checar se o contrato com a consultoria a mantém como operadora estrita — só executando instrução da clínica — ou se ela decide sozinha o que fazer com o dado, porque é essa segunda hipótese que aciona o §4º.

