A Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018) trouxe impactos profundos para o setor de saúde. Dados de pacientes — diagnósticos, tratamentos, exames e informações genéticas — são classificados como dados pessoais sensíveis (art. 5º, II) e exigem proteção reforçada. A digitalização dos prontuários médicos ampliou os riscos e tornou a conformidade com a LGPD uma obrigação inadiável para clínicas, hospitais e consultórios.
Dados de Saúde na LGPD: Proteção Especial
A LGPD classifica dados relativos à saúde como dados sensíveis, exigindo bases legais específicas para seu tratamento (art. 11). As principais bases legais aplicáveis ao setor de saúde são:
- Tutela da saúde (art. 11, II, “f”): Permite o tratamento de dados para proteção da saúde, em procedimento realizado por profissional de saúde
- Cumprimento de obrigação legal ou regulatória (art. 11, II, “a”): Justifica o armazenamento obrigatório de prontuários
- Exercício regular de direitos (art. 11, II, “d”): Usado em processos judiciais e administrativos
- Consentimento do titular (art. 11, I): Necessário quando não se enquadra nas demais hipóteses
Prontuário Eletrônico e Conformidade
O prontuário eletrônico concentra informações altamente sensíveis e deve atender a requisitos rigorosos:
- Criptografia de dados em repouso e em trânsito
- Controle de acesso granular com segregação de permissões por perfil profissional
- Logs de auditoria obrigatórios para rastrear todos os acessos
- Backup seguro com plano de recuperação de desastres
- Assinatura digital certificada (ICP-Brasil), conforme Resolução CFM 2.314/2022
- Prazo de guarda mínimo de 20 anos (Resolução CFM 1.821/2007)
Direitos dos Pacientes (Titulares)
A LGPD garante aos pacientes diversos direitos em relação aos seus dados de saúde:
- Acesso às informações registradas no prontuário
- Correção de dados incompletos, inexatos ou desatualizados
- Portabilidade dos dados para outro prestador de serviço de saúde
- Informação sobre com quem os dados foram compartilhados
- Revisão humana de decisões automatizadas (art. 20)
Atuação da ANPD no Setor de Saúde
A Autoridade Nacional de Proteção de Dados (ANPD) tem publicado resoluções relevantes para o setor, incluindo a Resolução CD/ANPD nº 15/2024 (governança e boas práticas) e a Resolução nº 18/2024 (complementos sobre proteção de dados sensíveis). Essas normas complementam as exigências do CFM e da ANVISA sobre prontuários eletrônicos.
Sanções e Responsabilidades
O descumprimento da LGPD no setor de saúde pode acarretar:
- Multas administrativas: Até 2% do faturamento anual, limitadas a R$ 50 milhões por infração
- Responsabilidade civil: Indenização por danos morais e materiais aos pacientes afetados
- Responsabilidade ética: Processos nos Conselhos de Medicina
- Danos reputacionais: Perda de confiança de pacientes e parceiros
Boas Práticas para Adequação
- Mapeie os dados de saúde tratados em sua instituição
- Identifique as bases legais aplicáveis a cada tipo de tratamento
- Implemente controles técnicos de segurança (criptografia, controle de acesso, logs)
- Treine toda a equipe sobre proteção de dados e sigilo
- Nomeie um Encarregado de Dados (DPO)
- Elabore políticas de privacidade e segurança da informação
- Revise contratos com fornecedores de software e armazenamento em nuvem
Considerações Finais
Em 2025, não basta informatizar: é preciso ter um prontuário eletrônico seguro, rastreável e em conformidade com a LGPD. A proteção dos dados de saúde é simultaneamente uma obrigação legal, um dever ético e uma necessidade de mercado. Clínicas e hospitais que não se adequarem estão sujeitos a sanções severas, perdas judiciais e abalos reputacionais.
Referências
- BRASIL. Lei Geral de Proteção de Dados (Lei 13.709/2018), arts. 5º, 11, 20.
- CONSELHO FEDERAL DE MEDICINA. Resolução CFM 2.314/2022; Resolução CFM 1.821/2007.
- ANPD. Resolução CD/ANPD nº 15/2024; Resolução nº 18/2024.
- CFM. Cartilha do CFM sobre LGPD.