Para o cuidado em si, não — a lei autoriza o tratamento para tutela da saúde. O consentimento entra para usos além do cuidado, como marketing.
Sim. A lei vale para qualquer porte; o que varia é a complexidade das medidas, proporcional ao risco e ao volume de dados.
Conter o incidente, avaliar o risco aos titulares, comunicar à ANPD e aos afetados quando houver risco relevante, e registrar todo o processo.