Compliance & LGPD
LGPD e dados de saúde: como adequar sistemas hospitalares à lei
Resposta curta
Dado de saúde é dado pessoal sensível na LGPD (Lei nº 13.709/2018, art. 5º, II). Um sistema hospitalar está adequado quando cada tratamento de dados tem uma base legal do art. 11, o acesso é restrito a quem precisa, toda operação fica registrada, incidentes são comunicados à ANPD em até 3 dias úteis e o prontuário é guardado pelo prazo legal.
Por que dado de saúde tem regra própria na LGPD?
Porque a lei classifica como sensível todo dado "referente à saúde" (art. 5º, II). Para dados sensíveis, as hipóteses de tratamento são mais restritas e estão no art. 11, e não no art. 7º, que vale para os dados pessoais comuns.
Na prática, isso muda três coisas no sistema: quem pode ver cada dado, com quem ele pode ser compartilhado e quanto rastro cada acesso deixa.
Quais bases legais permitem tratar dados de pacientes?
Três hipóteses do art. 11 cobrem quase todo o dia a dia de um hospital ou clínica:
- Tutela da saúde (art. 11, II, "f"): procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária. É a base do atendimento clínico e dispensa consentimento.
- Cumprimento de obrigação legal ou regulatória (art. 11, II, "a"): guarda do prontuário, notificações compulsórias, envio de dados a órgãos reguladores.
- Consentimento específico e destacado (art. 11, I): para finalidades fora do atendimento, como envio de conteúdo de marketing.
O §4º do art. 11 também proíbe compartilhar dados de saúde entre controladores para obter vantagem econômica, com exceções ligadas à própria prestação de serviços de saúde. Integrações com operadoras, laboratórios e parceiros precisam ter a finalidade documentada.
O que o sistema precisa ter, na prática?
A lei não lista tecnologias, mas o art. 46 exige medidas técnicas e administrativas aptas a proteger os dados. Em sistemas hospitalares, isso vira seis requisitos verificáveis:
| Requisito | O que verificar no sistema | Base na lei |
|---|---|---|
| Acesso por perfil | Cada usuário vê só o que a função exige. A recepção não abre evolução clínica. | Art. 46 e princípio da necessidade (art. 6º, III) |
| Registro de acessos | Quem viu, alterou ou exportou cada registro, com data e hora, sem que o próprio usuário consiga apagar. | Art. 37 (registro das operações) |
| Login individual | Nada de senha compartilhada. Segundo fator de autenticação para acesso remoto. | Art. 46 |
| Criptografia | Dados protegidos em trânsito e armazenados com proteção, inclusive nas cópias de segurança. | Art. 46 |
| Direitos do titular | Como o paciente pede acesso, correção ou cópia dos dados, e em quanto tempo recebe. | Art. 18 |
| Plano de incidente | Quem decide, quem comunica e em quanto tempo, se houver vazamento. | Art. 48 |
O que fazer quando há vazamento de dados de pacientes?
Comunicar a ANPD e os pacientes afetados em até 3 dias úteis. O art. 48 obriga essa comunicação quando o incidente pode causar risco ou dano relevante, e o prazo está no Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024).
Três dias úteis só bastam se o sistema já registra acessos e permite descobrir rápido o que saiu, de quem e desde quando. Sem esse registro, a instituição não consegue nem dimensionar o incidente dentro do prazo.
As sanções estão no art. 52: advertência, multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, publicização da infração e bloqueio ou eliminação dos dados, entre outras.
Por quanto tempo o prontuário eletrônico precisa ser guardado?
No mínimo 20 anos a partir do último registro, pela Lei nº 13.787/2018, que também autoriza a digitalização e o uso de sistemas informatizados para o prontuário. A LGPD manda eliminar dados quando a finalidade acaba, mas permite conservá-los para cumprir obrigação legal (art. 16, I).
Para dispensar o papel, os requisitos técnicos do sistema estão na Resolução CFM nº 1.821/2007, que remete à certificação de sistemas de registro eletrônico de saúde feita pela SBIS em parceria com o CFM.
Por onde começar a adequação?
- Mapeie onde estão os dados de pacientes: prontuário, agenda, faturamento, laboratório, planilhas e e-mails.
- Registre, para cada fluxo, a finalidade e a base legal do art. 11.
- Revise os perfis de acesso de todos os sistemas e desative as contas de quem saiu.
- Confirme que cada sistema guarda registro de acesso que o próprio usuário não consegue apagar.
- Nomeie o encarregado (art. 41) e publique o canal para o paciente exercer seus direitos.
- Escreva o plano de resposta a incidentes e teste com um cenário simulado.
- Avalie se é preciso um relatório de impacto à proteção de dados (art. 38), comum quando há dados sensíveis em volume.
Onde a CorpSystems entra?
A CorpSystems desenvolve sistemas para saúde e para documentos corporativos. O CorpDocs, já em produção, guarda a trilha completa de modificações de cada documento e exige acesso autenticado e PIN para assinar. Os sistemas de saúde do catálogo estão listados abaixo, cada um com o estágio em que realmente está.
Perguntas frequentes
O hospital precisa do consentimento do paciente para usar os dados no atendimento?
Não. O atendimento se apoia na tutela da saúde (art. 11, II, "f", da LGPD), que dispensa consentimento. O consentimento fica para finalidades fora do atendimento, como envio de conteúdo de marketing.
Qual é o prazo para comunicar à ANPD um vazamento de dados de pacientes?
Três dias úteis a partir do conhecimento do incidente, pelo Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024), quando o incidente puder causar risco ou dano relevante aos titulares.
Por quanto tempo o prontuário eletrônico deve ser guardado?
No mínimo 20 anos a partir do último registro, pela Lei nº 13.787/2018. A LGPD autoriza essa conservação por se tratar de obrigação legal (art. 16, I).
Qual é a multa da LGPD?
Multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração (art. 52, II), além de outras sanções, como advertência e bloqueio dos dados.