LGPD na Saúde: Guia Prático para Hospitais e Clínicas (Atualizado)

O setor de saúde é, ao mesmo tempo, um dos que mais precisam de dados pessoais para funcionar e um dos mais vulneráveis a incidentes de segurança. Prontuários médicos, exames laboratoriais, diagnósticos, dados genéticos e informações sobre saúde mental estão entre os dados pessoais mais sensíveis que existem — e mais valiosos para criminosos cibernéticos.

A LGPD reconhece essa sensibilidade ao incluir os dados de saúde na categoria de dados pessoais sensíveis, sujeitos a proteção reforçada. Para hospitais, clínicas, laboratórios, operadoras de planos de saúde, pesquisadores e startups de saúde, entender essas obrigações deixou de ser opcional.

Este guia aborda os principais aspectos da LGPD aplicados ao setor de saúde: bases legais, prontuários, pesquisa clínica, telemedicina, healthtech e como estruturar uma adequação efetiva.

Dados de saúde como dados sensíveis: o que a lei diz

O Art. 5°, II da LGPD define dados pessoais sensíveis como aqueles que tratam de, entre outros, dado referente à saúde ou à vida sexual e dado genético ou biométrico. Na prática, são dados sensíveis no setor de saúde:

Diagnósticos e laudos médicos
Histórico de doenças e medicamentos
Registros de internações e procedimentos
Exames laboratoriais e de imagem
Dados genéticos e de DNA
Informações psicológicas e psiquiátricas
Dados de planos de saúde e cobertura
Prontuários odontológicos
Dados sobre dependência química

Por que a distinção importa? Dados sensíveis têm um regime jurídico mais restrito: as bases legais aplicáveis são mais limitadas, as exigências de transparência são maiores, e o uso discriminatório é expressamente vedado pelo Art. 11, §1°. Um hospital que trata dados de saúde está automaticamente sujeito às regras mais rigorosas da lei.

Bases legais para tratamento de dados de saúde

O tratamento de dados sensíveis só é permitido nas hipóteses do Art. 11 da LGPD. Para o setor de saúde, as mais relevantes são:

Consentimento específico e destacado (Art. 11, I)

O titular pode consentir com o tratamento de seus dados de saúde, mas o consentimento deve ser:

Específico para a finalidade declarada (não vale um consentimento genérico)
Destacado das demais cláusulas contratuais (não pode estar "escondido" em um contrato longo)
Livre e informado (sem coerção ou condicionamento indevido)

Atenção: o consentimento pode ser revogado a qualquer momento pelo titular — mas isso não elimina a obrigação de guardar prontuários, que tem base legal própria.

Cumprimento de obrigação legal ou regulatória (Art. 11, II, a)

Quando a lei obriga o registro ou manutenção de dados (ex: obrigação de manter prontuário por prazo mínimo estabelecido pelo CFM), o tratamento pode ser feito sem consentimento. A base legal é a própria obrigação normativa.

Pesquisa, estudos técnicos ou científicos (Art. 11, II, c)

Permite o tratamento de dados sensíveis para pesquisa científica ou de saúde pública, preferindo-se a anonimização quando possível. A pesquisa deve ser conduzida por autoridades de pesquisa ou entidades devidamente autorizadas.

Proteção da vida (Art. 11, II, e)

Em situações de emergência médica em que o titular ou terceiros não possam fornecer consentimento, o tratamento pode ser realizado para proteger a vida.

Tutela da saúde (Art. 11, II, f) — a base mais importante do setor

"tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária."

Esta é a base legal central para o tratamento assistencial de dados de saúde. Ela autoriza médicos, enfermeiros, hospitais, clínicas, laboratórios, operadoras e demais agentes do sistema de saúde a tratar dados de seus pacientes sem necessidade de consentimento — quando o tratamento visa à tutela da saúde do titular.

Limites importantes:

Aplica-se exclusivamente a procedimentos assistenciais (atendimento, diagnóstico, tratamento, prevenção)
Deve ser realizado por profissional de saúde, serviço de saúde ou autoridade sanitária
Empresas de tecnologia (startups, fornecedores de software) que não prestam diretamente serviços de saúde não se beneficiam desta base

Uma fintech de crédito que usa dados de saúde para precificação de empréstimos, por exemplo, não pode invocar o Art. 11, II, f — precisará de outra base legal, geralmente consentimento.

Prontuários médicos: guarda, acesso e descarte

O prontuário médico é o documento que centraliza os dados de saúde do paciente em uma relação assistencial. Sua gestão envolve normas médicas, trabalhistas e, agora, de proteção de dados.

Prazos mínimos de guarda

A Resolução CFM n° 1.821/2007 do Conselho Federal de Medicina estabelece os prazos obrigatórios:

Prontuário em papel: mínimo de 20 anos a partir da data do último atendimento
Prontuário digitalizado: guarda permanente (sem prazo de eliminação)

Esses prazos são prazos mínimos — o hospital pode guardar por mais tempo. A eliminação antes do prazo é irregular e pode gerar responsabilidade civil.

Digitalização e Lei 13.787/2018

A Lei n° 13.787/2018 regulamenta a digitalização e o uso de sistemas informatizados para a guarda e o manuseio de prontuários de pacientes. Ela autoriza a eliminação dos documentos físicos (papel) após a digitalização, desde que observados os requisitos técnicos de integridade, autenticidade, autoria e confidencialidade do documento digital.

Isso significa que hospitais podem migrar completamente para prontuários eletrônicos e descartar o papel, mas devem garantir que o arquivo digital seja íntegro e autêntico — o que requer certificação digital adequada.

Direito de acesso do paciente

O paciente tem direito a solicitar cópia integral do seu prontuário (Art. 18, IV da LGPD + Art. 89 do CEM — Código de Ética Médica, Resolução CFM nº 2.217/2018). O prazo para atendimento deve ser razoável e o processo não pode criar barreiras excessivas.

O prontuário pertence ao paciente. O hospital ou clínica é depositário.

Controle de acesso interno

Apenas profissionais de saúde envolvidos no atendimento do paciente devem ter acesso ao prontuário. O acesso deve ser:

Controlado por autenticação
Registrado em logs (quem acessou, quando, o quê)
Restrito pelo princípio da necessidade (mínimo necessário)

Acesso não autorizado ao prontuário — por curiosidade, retaliação ou interesse comercial — é violação grave tanto da LGPD quanto do Código de Ética Médica.

Pesquisa clínica e estudos epidemiológicos

A pesquisa científica em saúde depende do acesso a dados pessoais — muitas vezes dados de saúde sensíveis. A LGPD contempla essa necessidade, mas impõe condições.

Base legal e estrutura de governança

O tratamento de dados para pesquisa pode ser baseado no Art. 11, II, c (estudos científicos) combinado com o sistema de governança ética já existente no Brasil:

Comitê de Ética em Pesquisa (CEP): avalia protocolos de pesquisa com seres humanos
CONEP (Comissão Nacional de Ética em Pesquisa): instância recursal e para pesquisas especiais
Resolução CNS 466/2012 e 510/2016: regulamentam pesquisa com seres humanos

O Termo de Consentimento Livre e Esclarecido (TCLE) é requisito ético, mas também pode servir de base jurídica para o tratamento dos dados pessoais na pesquisa — ainda que o Art. 11, II, c não exija consentimento quando a pesquisa é conduzida por entidade adequada e os dados são anonimizados.

Anonimização e pseudonimização

A LGPD estabelece preferência pela anonimização em pesquisas. Na prática:

Anonimização completa: ideal quando o dado pode ser desidentificado sem perder utilidade para a pesquisa
Pseudonimização: remove identificadores diretos mas mantém código de ligação — ainda é dado pessoal e protegido pela LGPD, mas com nível de proteção maior
Código de identificação: quando necessário para acompanhamento longitudinal do participante

Compartilhamento com outras instituições de pesquisa

Pesquisas multicêntricas frequentemente compartilham dados entre instituições. Cada compartilhamento deve ter:

Finalidade específica alinhada ao protocolo aprovado pelo CEP
Acordo de compartilhamento de dados com cláusulas de proteção
Medidas de segurança equivalentes em todos os centros

Transferências internacionais de dados de pesquisa (para universidades ou laboratórios no exterior) devem cumprir o Art. 33 da LGPD.

Telemedicina e dados pessoais

A telemedicina foi regulamentada definitivamente no Brasil pela Lei n° 14.510/2022, após um período de permissão emergencial durante a pandemia de COVID-19. Com ela, consultas, diagnósticos, prescrições e interconsultas à distância passaram a ter respaldo legal permanente.

Do ponto de vista da proteção de dados, a telemedicina cria desafios específicos:

Plataformas como operadoras

As plataformas e aplicativos de telemedicina tratam dados de saúde em nome dos médicos e instituições de saúde (controladores). A relação é de operadora (plataforma) e controladora (serviço de saúde).

Isso significa que:

O contrato entre o serviço de saúde e a plataforma deve incluir cláusulas de proteção de dados (Art. 39 LGPD)
A plataforma só pode tratar os dados nos limites autorizados pelo controlador
A responsabilidade perante o titular é do controlador, mas o operador pode ser responsabilizado por falhas de segurança

Gravação de consultas

A gravação de teleconsultas requer consentimento explícito do paciente. A gravação não pode ser feita unilateralmente pelo serviço de saúde sem informação e concordância do titular. Além disso:

As gravações devem ser armazenadas com segurança equivalente ao prontuário
O acesso deve ser controlado
O prazo de retenção deve ser definido e comunicado

Sigilo médico digital

O sigilo médico não desaparece no ambiente digital. Plataformas de telemedicina devem usar canais seguros (criptografia de ponta a ponta) e garantir que terceiros não tenham acesso ao conteúdo das consultas.

Healthtech e aplicativos de saúde

A proliferação de aplicativos de saúde, wearables e plataformas digitais de bem-estar criou uma nova fronteira de tratamento de dados sensíveis.

Quais dados são coletados

Wearables (relógios, pulseiras inteligentes): frequência cardíaca, SpO2, padrão de sono, atividade física, temperatura corporal
Apps de saúde mental: humor, ansiedade, padrões de comportamento
Apps de saúde feminina: ciclo menstrual, gravidez, fertilidade
Apps de nutrição: dieta, peso, condições metabólicas
Plataformas de gestão de doenças crônicas: glicemia, pressão arterial, medicação

Todos esses dados são dados de saúde sensíveis — mesmo que o app não seja um dispositivo médico regulado pela ANVISA.

Base legal para healthtechs

Como a maioria das healthtechs não presta serviços assistenciais diretamente, elas não podem usar o Art. 11, II, f (tutela da saúde) como base legal. As alternativas são:

Consentimento (Art. 11, I): Base mais comum para apps de saúde voltados ao consumidor. O consentimento deve ser específico, destacado e informado.
Pesquisa (Art. 11, II, c): Para apps com função de pesquisa científica, se aprovado por CEP.

Risco de finalidade creep

Um dos maiores riscos é o uso de dados de saúde coletados para uma finalidade (ex: monitoramento de exercícios) para outra não declarada (ex: precificação de seguros, marketing direcionado). A LGPD proíbe o uso incompatível com a finalidade original — e no caso de dados sensíveis, a violação é grave.

RIPD recomendado

Dada a sensibilidade dos dados tratados, o Relatório de Impacto à Proteção de Dados (RIPD) é fortemente recomendado para healthtechs — e pode ser exigido pela ANPD em fiscalizações.

Compartilhamento de dados entre prestadores de saúde

O ecossistema de saúde é naturalmente integrado: médicos encaminham para especialistas, hospitais transferem pacientes, operadoras interagem com hospitais. Todo esse fluxo envolve dados de saúde.

O princípio da finalidade como guia

Compartilhamentos são permitidos quando há finalidade legítima alinhada à assistência do paciente. Exemplos válidos:

Médico encaminha laudo ao especialista para continuidade do tratamento
Hospital transfere prontuário resumido ao pronto-socorro receptor
Laboratório envia resultado ao médico solicitante

Exemplos problemáticos:

Operadora compartilha dados de diagnóstico com empregador do beneficiário
Hospital vende base de dados de pacientes para empresa farmacêutica
Clínica compartilha dados com rede de parceiros para marketing

Compartilhamento com SUS e saúde pública

Notificações compulsórias de doenças (tuberculose, COVID-19, dengue etc.) têm base legal própria — são obrigações legais ou regulatórias que independem do consentimento do paciente.

O compartilhamento com o SUS para continuidade assistencial (sistema de referência e contrarreferência) pode ser baseado no Art. 11, II, f ou, quando envolve saúde coletiva, em bases específicas de proteção à saúde pública.

Direitos dos pacientes como titulares de dados

Com a LGPD, os direitos dos pacientes — já consagrados no Código de Ética Médica e no CDC — ganharam um novo arcabouço jurídico:

Acesso: Solicitar confirmação do tratamento e cópia dos dados (incluindo prontuário, exames e demais registros).

Correção: Retificar dados incorretos, incompletos ou desatualizados. Especialmente relevante quando um diagnóstico é revisado ou quando dados de pacientes com nomes semelhantes foram confundidos.

Portabilidade: Transferir dados de um prestador para outro. No setor de saúde, isso inclui o direito de obter o prontuário em formato legível e utilizável ao trocar de plano de saúde, de médico ou de hospital.

Eliminação: Solicitar eliminação dos dados tratados com base em consentimento. Atenção: dados cuja guarda seja obrigatória por lei (prontuários dentro do prazo mínimo) não podem ser eliminados mesmo com pedido do titular.

Informação sobre compartilhamento: Saber com quem os dados foram compartilhados e por quê.

Incidentes de segurança no setor de saúde

O setor de saúde é um dos alvos mais frequentes de ataques cibernéticos no mundo. Prontuários completos valem significativamente no mercado ilegal — combinam dados de identificação, financeiros e médicos.

Em caso de incidente que resulte em risco ou dano ao titular:

ANPD deve ser comunicada em até 3 dias úteis após o conhecimento do incidente (Resolução CD/ANPD nº 15/2024), com relatório complementar em até 20 dias úteis
Titulares afetados devem ser comunicados de forma clara e direta
O Relatório de Incidente deve documentar o ocorrido, os dados afetados, o impacto e as medidas tomadas

Ter um RIPD prévio facilita enormemente a resposta a incidentes: ele já mapeia os dados tratados e os riscos previstos.

Como implementar conformidade LGPD no setor de saúde

Passo 1: Mapeamento de dados

Identificar todos os tipos de dados de saúde tratados, onde estão armazenados (prontuários em papel, sistema eletrônico, nuvem), quem acessa e com quem são compartilhados.

Passo 2: Revisar bases legais

Para cada categoria de tratamento, identificar a base legal aplicável (Art. 11) e documentar. Tratamentos sem base legal clara devem ser suspensos ou reestruturados.

Passo 3: Contratos com operadores

Todos os fornecedores que tratam dados de saúde (sistemas de prontuário eletrônico, laboratórios terceirizados, plataformas de telemedicina, serviços de cloud) devem ter contratos com cláusulas de proteção de dados adequadas ao Art. 39 da LGPD.

Passo 4: Política de retenção e descarte

Definir por quanto tempo cada categoria de dado é mantida, com base nos prazos legais (CFM, ANVISA, etc.) e na necessidade operacional. Implementar processo de descarte seguro ao final do prazo.

Passo 5: Segurança técnica

Criptografia de dados em trânsito e em repouso
Controle de acesso baseado em função (RBAC)
Logs de acesso e auditoria
Backup com criptografia
Plano de resposta a incidentes

Passo 6: Treinamento das equipes

Médicos, enfermeiros, recepcionistas e equipes administrativas precisam entender suas responsabilidades com dados de pacientes. O erro humano é a principal causa de incidentes no setor.

Passo 7: DPO

Grandes hospitais, redes de clínicas, operadoras de planos e empresas healthtech devem considerar a nomeação de um DPO (encarregado pelo tratamento de dados) — que pode ser interno ou terceirizado.

Conclusão: proteção de dados é parte do cuidado

No setor de saúde, proteger os dados dos pacientes não é apenas uma obrigação legal — é parte do próprio conceito de cuidado. Um paciente que sabe que seus dados estão protegidos compartilha informações com mais liberdade, o que melhora o diagnóstico e o tratamento.

A adequação à LGPD no setor de saúde exige esforço — mas a estrutura jurídica é clara e o caminho está traçado. Começar pelo mapeamento, revisar as bases legais e implementar controles básicos de segurança já coloca a organização em posição muito melhor do que a grande maioria do setor.

Baixe gratuitamente o eBook "10 Primeiros Passos para a LGPD" e inicie sua jornada de conformidade com um roteiro prático.

O Confidata é uma plataforma de gestão de privacidade com módulos específicos para o setor de saúde: inventário de dados sensíveis, gestão de bases legais do Art. 11, RIPD integrado e canal de direitos dos titulares. Conheça a plataforma.