LGPD em hospitais e clínicas: prontuário eletrônico e telemedicina

O setor de saúde é, por definição, o maior coletor de dados sensíveis do país. Cada atendimento médico gera dados de saúde — a categoria mais protegida da LGPD. E com a digitalização acelerada dos últimos anos (prontuários eletrônicos, telemedicina, wearables de saúde, apps de monitoramento), o volume e a complexidade do tratamento de dados na saúde cresceram dramaticamente.

Este guia trata das obrigações específicas do setor de saúde sob a LGPD — com foco em prontuários eletrônicos, telemedicina e os pontos mais críticos de conformidade.

Dados de saúde como categoria sensível: o que muda

Dados de saúde são dados pessoais sensíveis nos termos do Art. 5º, II da LGPD. Isso tem consequências práticas diretas:

Bases legais mais restritas: o Art. 11 da LGPD lista apenas duas hipóteses para tratar dados sensíveis — consentimento específico e em destaque, ou uma das hipóteses taxativas do Art. 11, II (que inclui a tutela da saúde).
Medidas de segurança mais rigorosas: o patamar de proteção exigido é mais alto — criptografia, controles de acesso granulares, logs de auditoria completos.
RIPD para tratamento em larga escala: hospitais e operadoras de saúde que tratam dados de saúde de grandes populações devem elaborar RIPD.
Sanções mais graves: infrações envolvendo dados sensíveis são avaliadas com maior rigor na dosimetria de sanções da ANPD.

As bases legais para dados de saúde no Art. 11

O Art. 11, II da LGPD lista as hipóteses em que dados sensíveis podem ser tratados sem consentimento. Para o setor de saúde, as mais relevantes são:

Art. 11, II, f — Tutela da saúde

Tratamento realizado "exclusivamente por profissionais de saúde, serviços de saúde ou autoridade sanitária".

Esta é a base legal central para o tratamento de dados de saúde em contexto assistencial. O médico que acessa o prontuário do paciente para fins de diagnóstico e tratamento enquadra-se nesta hipótese. Hospitais e clínicas que tratam dados de pacientes para fins assistenciais diretos também.

Limites: a base se aplica à finalidade assistencial — não abrange o uso dos dados para fins comerciais, de pesquisa (salvo as condições do inciso c), ou de compartilhamento com terceiros fora do contexto assistencial imediato.

Art. 11, II, a — Obrigação legal ou regulatória

Diversas obrigações regulatórias de saúde impõem o tratamento de dados pessoais de saúde:

Registros no DATASUS e outros sistemas do Ministério da Saúde
Declaração de óbito (DO) e comunicação de doenças de notificação compulsória
Escrituração de receitas e dispensação de medicamentos controlados (ANVISA)
Laudos de saúde ocupacional exigidos pela legislação trabalhista

Art. 11, II, c — Pesquisa em saúde

Estudos e pesquisas por órgãos de pesquisa, quando garantida, sempre que possível, a anonimização dos dados de saúde. Para ensaios clínicos e pesquisas com uso de dados identificados, a base é o consentimento específico.

Consentimento específico e em destaque (Art. 11, I)

Para tratamentos que não se enquadrem nas hipóteses do Art. 11, II — como uso de dados de saúde para pesquisa de satisfação, marketing de saúde, programas de fidelidade de planos ou compartilhamento com parceiros comerciais —, o consentimento específico e em destaque é obrigatório.

Prontuário eletrônico: obrigações de privacidade

O prontuário eletrônico do paciente (PEP) é o documento central do setor de saúde e objeto de regulação específica pelo Conselho Federal de Medicina (CFM).

A regulamentação do CFM sobre prontuário eletrônico

A Resolução CFM nº 1.821/2007 estabeleceu as normas técnicas para digitalização e guarda de documentos dos prontuários dos pacientes, autorizando a eliminação do papel após digitalização. Essa resolução, complementada por normas posteriores do CFM e do Conselho Federal de Odontologia (CFO), define:

Prazo mínimo de guarda do prontuário em papel: 20 anos a partir do último atendimento
Prontuários arquivados eletronicamente (em meio óptico, microfilmado ou digitalizado): guarda permanente — a resolução não estabelece prazo máximo para registros eletrônicos
Para menores: o prazo se conta a partir do 18º aniversário do paciente
Requisitos de autenticidade e integridade do documento digital (assinatura digital ICP-Brasil ou padrão legalmente aceito)

LGPD e prazo de retenção do prontuário

A LGPD exige que dados pessoais sejam mantidos apenas pelo tempo necessário para a realização das finalidades (Art. 6º, III — princípio da necessidade) ou pelo prazo legal aplicável. Para prontuários em papel, o prazo mínimo do CFM (20 anos) prevalece e justifica a retenção mesmo após o término do relacionamento com o paciente. Para prontuários eletrônicos, a Resolução CFM nº 1.821/2007 estabelece guarda permanente — o que significa que, enquanto a resolução vigir, não há prazo para eliminação de prontuários digitalizados. Após eventual revisão normativa que estabeleça prazo para registros eletrônicos, o descarte deve seguir procedimento documentado com garantias de integridade.

Controle de acesso ao prontuário

O acesso ao prontuário eletrônico deve ser controlado com rigor:

Apenas profissionais de saúde com relação assistencial com o paciente devem acessar o prontuário (princípio do menor privilégio)
Todo acesso deve ser registrado em log de auditoria (usuário, data/hora, tipo de acesso)
O acesso de terceiros (pesquisadores, auditores de planos de saúde, peritos) deve ter base legal documentada e ser registrado

Telemedicina: obrigações específicas da LGPD

A telemedicina foi regulamentada definitivamente no Brasil pela Lei nº 14.510, de 27 de dezembro de 2022, que alterou a Lei nº 8.080/1990 (Lei Orgânica da Saúde) para autorizar e disciplinar a prática da telessaúde em todo o território nacional.

O que é telemedicina para fins da Lei 14.510/2022

A lei define telemedicina como o exercício da medicina mediado por tecnologias digitais de informação e comunicação — incluindo teleconsulta, teleinterconsulta, telediagnóstico e telemonitoramento.

Obrigações de privacidade específicas da telemedicina

Transmissão segura dos dados: a teleconsulta envolve transmissão de dados de saúde em tempo real. A plataforma de telemedicina deve garantir:

Criptografia end-to-end durante a transmissão
Autenticação segura do médico e do paciente
Ausência de interceptação ou gravação não autorizada

Gravação de consultas: se a consulta for gravada, o paciente deve ser informado e consentir. A gravação passa a integrar o prontuário e está sujeita às mesmas regras de retenção e acesso.

Plataformas de terceiros: hospitais e clínicas que usam plataformas de telemedicina de terceiros devem formalizar DPA com o fornecedor, que atua como operador dos dados de saúde dos pacientes.

Jurisdição: teleconsultas com pacientes no exterior envolvem potencial transferência internacional de dados de saúde — categoria sensível com proteção mais rigorosa.

Resolução CFM sobre telemedicina

O Conselho Federal de Medicina publicou a Resolução CFM nº 2.314/2022, que regulamenta a prática da telemedicina, estabelecendo requisitos para o registro no prontuário, armazenamento dos registros e confidencialidade dos dados. A resolução exige que os dados da teleconsulta sejam armazenados em servidor localizado no Brasil.

Compartilhamento de dados com planos de saúde

Um dos pontos mais sensíveis da proteção de dados no setor de saúde é o compartilhamento de dados de pacientes com operadoras de planos de saúde. Esse compartilhamento é frequente e envolve dados sensíveis — mas nem sempre é feito com a devida atenção às bases legais e à proporcionalidade.

O que pode ser compartilhado e com qual base legal

Para fins de auditoria de contas: dados de procedimentos realizados, CIDs, materiais utilizados — base legal: execução de contrato entre o estabelecimento de saúde e o plano
Para gestão de saúde populacional: dados epidemiológicos do conjunto de beneficiários — base legal: contrato ou consentimento, dependendo da natureza dos dados
Para autorização prévia de procedimentos: dados clínicos necessários para autorização — base legal: execução do contrato de assistência à saúde

O que não pode ser compartilhado sem consentimento

Dados que vão além da necessidade de auditoria ou autorização
Dados para programas de marketing ou fidelidade do plano
Dados para compartilhamento com terceiros fora da cadeia assistencial

A questão do DPA com o plano de saúde

Quando o plano de saúde atua como operador (processando dados em nome do estabelecimento de saúde), é necessário DPA. Quando atua como controlador independente (definindo suas próprias finalidades para os dados), o compartilhamento precisa de base legal própria e informação ao paciente.

RIPD para o setor de saúde: quando é obrigatório

O tratamento de dados de saúde em larga escala — como o de um hospital que trata dados de dezenas de milhares de pacientes — quase sempre aciona a necessidade de RIPD. Os gatilhos principais:

Tratamento de dados sensíveis (saúde) em escala
Uso de sistemas de IA para diagnóstico, triagem ou gestão clínica
Compartilhamento sistemático com planos de saúde ou pesquisadores
Uso de sistemas de vigilância (câmeras, monitoramento de pacientes)

Checklist de conformidade para hospitais e clínicas

Conclusão

O setor de saúde tem a carga mais pesada de obrigações de proteção de dados da LGPD — e uma responsabilidade proporcional ao dano que a exposição de dados de saúde pode causar. Prontuários vazados, dados de diagnósticos expostos, laudos compartilhados sem base legal: esses incidentes têm impacto direto na vida dos pacientes e nas operações dos estabelecimentos.

A boa notícia é que o setor de saúde tem bases legais sólidas para a maioria dos seus tratamentos de dados — a tutela da saúde (Art. 11, II, f) cobre a maior parte do tratamento assistencial. O esforço é documentar essas bases, implementar os controles técnicos necessários e garantir que pacientes possam exercer seus direitos.

A Confidata oferece funcionalidades específicas para o setor de saúde: registro de atividades de tratamento com classificação de dados sensíveis, RIPD com campos de avaliação de risco para dados de saúde e gestão de solicitações de titulares — incluindo portabilidade de prontuário.