Cuidados no uso de dados de saúde: Perguntas Frequentes (FAQ)
A digitalização do setor de saúde trouxe diversas facilidades, mas também exigiu mais atenção aos cuidados com dados sensíveis. Prontuários eletrônicos, comunicações com pacientes e auditorias médicas são práticas comuns, mas precisam seguir de perto a LGPD (Lei Geral de Proteção de Dados) e outras normas específicas.
Neste conteúdo, reunimos respostas diretas para dúvidas frequentes sobre o uso e proteção de dados de saúde. Um material útil para profissionais, clínicas e instituições que buscam adequação à legislação e segurança jurídica em suas rotinas.
Posso usar nuvem para armazenar prontuários eletrônicos?
Sim, desde que observados rigorosamente os requisitos legais da LGPD e normas do setor de saúde. É altamente recomendado implementar:
- Contrato específico definindo o provedor como operador (Art. 5º, VII, LGPD);
- Criptografia obrigatória e controle de acesso restrito;
- Servidores preferencialmente no Brasil (Art. 33);
- Backup e recuperação garantidos contratualmente;
- Tempo de guarda: 20 anos (CFM Res. 2.217/2018).
⚠ Atenção: Você responde solidariamente por vazamentos, mesmo sendo culpa do provedor.
Posso compartilhar dados anonimizados de pacientes para pesquisas?
É possível, mas a anonimização deve ser irreversível. Dados pseudonimizados (quando é possível reidentificar o paciente) continuam sendo considerados dados pessoais e seguem protegidos pela LGPD.
Quais são as penalidades específicas para vazamentos de dados no setor de saúde?
As sanções podem ocorrer em diferentes esferas:
- ANPD: multa de até R$ 50 milhões ou 2% do faturamento; publicização da infração; suspensão de bancos de dados; proibição de tratamento.
- Conselhos profissionais: suspensão, multa ou cassação.
- ANVISA/Vigilância: suspensão de licenças.
- Justiça: indenizações por danos morais e materiais.
⚠ Dados sensíveis de saúde agravam significativamente as penalidades.
Tenho obrigação de notificar pacientes sobre vazamentos?
Sim. Vazamentos devem ser notificados à ANPD e aos pacientes, em prazo razoável. Para casos com risco ou dano relevante, o prazo é de até 3 dias úteis.
- Informações que devem constar na notificação:
- Tipo de dados vazados;
- Número de pacientes afetados;
- Medidas adotadas para conter os danos;
- Orientações específicas aos pacientes.
⚠ A omissão na notificação é considerada agravante e pode dobrar as multas.
LEIA TAMBÉM: Integração de dados e a LGPD: Perguntas Frequentes (FAQ)
Quando é necessário fazer um relatório de impacto (RIPD)?
O RIPD é obrigatório nas seguintes situações:
- Alto risco aos direitos dos titulares;
- Uso de novas tecnologias (IA, big data, etc.);
- Tratamento em larga escala;
- Cruzamento de bases de dados sensíveis.
O relatório deve estar sempre atualizado e disponível para fiscalização.
Posso usar WhatsApp ou Telegram com pacientes?
O uso desses aplicativos não é recomendado para tratar dados sensíveis. Apesar da criptografia, eles não atendem aos requisitos técnicos e regulatórios exigidos.
Problemas principais:
- Falta de rastreabilidade;
- Risco de armazenamento fora do país;
- Impossibilidade de eliminação segura dos dados.
Alternativas seguras:
- Plataformas específicas para saúde;
- Portais do paciente integrados ao prontuário;
- Sistemas de telemedicina homologados.
Mensageiros só devem ser usados para comunicações administrativas simples, como agendamento e lembretes (sem dados clínicos).
Como gerenciar dados de pacientes falecidos?
A LGPD não se aplica diretamente aos dados de falecidos, mas outras normas seguem válidas:
- Código de Ética Médica: mantém o sigilo mesmo após a morte.
- Lei nº 13.787/2018: guarda obrigatória do prontuário por 20 anos.
- Código Civil: garante a proteção da privacidade post mortem.
Acesso pelos familiares exige:
- Certidão de óbito;
- Documento que comprove parentesco;
- Justificativa do pedido.
Apenas as informações necessárias devem ser fornecidas. O médico pode recusar o acesso, se isso prejudicar a memória do falecido. Exclusões só são permitidas após o prazo legal de guarda.
Preciso de consentimento para auditoria médica?
Não, se a auditoria for interna e destinada a:
- Controle de qualidade;
- Segurança do paciente;
- Cumprimento de protocolos;
- Gestão de riscos hospitalares.
Requisitos:
- Finalidade de melhoria assistencial;
- Acesso restrito à equipe auditora;
- Confidencialidade absoluta;
- Coleta mínima e anonimização sempre que possível.
Para auditorias externas, o consentimento do paciente ou base legal contratual é obrigatório.
Como funciona o direito à portabilidade de prontuários?
O paciente tem direito de receber seus dados de forma gratuita, em formato estruturado e legível, como o padrão HL7 FHIR.
Prazo de entrega: Até 15 dias após o pedido;
Em caso de urgência médica, o acesso deve ser imediato.
⚠ Este direito não é absoluto: dados de terceiros presentes no prontuário ou conteúdos que possam causar risco à saúde física ou mental do titular podem ser parcialmente restringidos. Nestes casos, pode-se entregar um relatório técnico em substituição ao documento completo.
A cobrança de custos só é permitida para solicitações adicionais.
Conclusão
A proteção de dados de saúde exige cuidados técnicos, jurídicos e operacionais. Embora a digitalização traga agilidade, também aumenta os riscos — e as responsabilidades. Estar em conformidade com a LGPD e com normas do setor é uma medida que protege a clínica, os pacientes e a reputação da instituição.
Se você trabalha com dados sensíveis, como os da área médica, mantenha processos claros, contratos bem estruturados e capacitação constante da equipe.
