O que mudou · LGPD e saúde digital
Como a LGPD protege os dados de saúde? Regras para operadoras, hospitais e médicos
A LGPD trata o dado de saúde como sensível e impõe regras próprias ao setor. A ANPD detalhou a comunicação de incidentes, e o prontuário segue lei específica.
Resposta curta
Na LGPD (Lei 13.709/2018), o dado referente à saúde é dado pessoal sensível (art. 5º, II). Ele só pode ser tratado nas hipóteses do art. 11, como o consentimento específico, o cumprimento de obrigação legal ou regulatória e a tutela da saúde por profissionais e serviços de saúde. É vedado às operadoras usar dados de saúde para seleção de riscos (art. 11, § 5º). Incidentes que afetem dados pessoais devem ser comunicados à ANPD, em regra, em 3 dias úteis (Resolução CD/ANPD 15/2024).
O que a lei estabelece
A Lei Geral de Proteção de Dados classifica o dado referente à saúde como dado pessoal sensível. As consequências práticas:
- Bases legais restritas (art. 11). O tratamento depende de consentimento específico e destacado ou de uma das hipóteses do inciso II, como cumprimento de obrigação legal ou regulatória, exercício regular de direitos em processo, proteção da vida e tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. O legítimo interesse e a proteção do crédito, admitidos para dados comuns, não estão nessa lista.
- Compartilhamento com vantagem econômica (art. 11, § 4º). É vedado comunicar ou compartilhar dados de saúde entre controladores para obter vantagem econômica, com exceções ligadas à prestação de serviços de saúde, à assistência farmacêutica e à assistência à saúde, em benefício dos titulares, e à portabilidade e às transações financeiras e administrativas decorrentes.
- Seleção de riscos (art. 11, § 5º). É vedado às operadoras de planos de saúde tratar dados de saúde para seleção de riscos na contratação e na exclusão de beneficiários.
- Segurança (art. 46) e incidentes (art. 48). O controlador deve adotar medidas de segurança e comunicar à ANPD e aos titulares incidentes que possam acarretar risco ou dano relevante.
- Sanções (art. 52). Vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de publicização, bloqueio e eliminação de dados.
Comunicação de incidentes: a Resolução CD/ANPD 15/2024
O regulamento da ANPD sobre incidentes de segurança (Resolução CD/ANPD 15, de 24 de abril de 2024) fixou que a comunicação à autoridade deve ser feita em 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, ressalvado prazo diferente em legislação específica. A comunicação aos titulares segue o mesmo prazo. As informações podem ser complementadas, de forma fundamentada, em até 20 dias úteis, e os prazos são contados em dobro para agentes de pequeno porte. Como dados de saúde são sensíveis, incidentes que os envolvam tendem a ser considerados de risco relevante.
Prontuário: lei própria
A Lei 13.787/2018 disciplina a digitalização e a guarda do prontuário. O documento digitalizado conforme a lei tem o mesmo valor probatório do original, e os prontuários, em papel ou digitalizados, podem ser eliminados após o prazo mínimo de 20 anos contados do último registro, observadas as regras da lei e do regulamento.
O que muda na prática
Operadoras e cooperativas
Questionários de saúde, auditoria, regulação e programas de prevenção precisam de base legal adequada do art. 11 e não podem servir para selecionar riscos. Contratos com prestadores e fornecedores de tecnologia devem prever segurança e resposta a incidentes.
Hospitais e clínicas
Controle de acesso ao prontuário, registro de quem acessou, plano de resposta a incidentes com o prazo de 3 dias úteis e encarregado (DPO) designado são o núcleo do programa de conformidade.
Médicos
Consultórios também são controladores de dados. Aplicativos de mensagem, nuvem e prontuário eletrônico devem ser escolhidos e usados com segurança; o sigilo profissional continua valendo ao lado da LGPD.
Jurídico
Em ações de vazamento, a discussão costuma envolver a prova do incidente sob a guarda do réu, as medidas de segurança adotadas e o tipo de dado exposto. Dados de saúde têm recebido tratamento mais rigoroso nos tribunais.
O que não muda
- O sigilo médico, previsto no Código de Ética Médica, continua independente da LGPD e se soma a ela.
- O paciente continua tendo direito de acesso ao seu prontuário.
- Obrigações de envio de dados à ANS e às autoridades sanitárias continuam, com base no cumprimento de obrigação legal ou regulatória.
Linha do tempo
- 14/08/2018 Sancionada a LGPD.
- 27/12/2018 Sancionada a Lei 13.787/2018, sobre prontuário.
- 2019 A Lei 13.853/2019 inclui na LGPD a vedação de seleção de riscos pelas operadoras.
- 24/04/2024 A ANPD aprova o regulamento de comunicação de incidentes.
Perguntas frequentes
Hospital precisa de consentimento para tratar dados do paciente?
Nem sempre. A LGPD admite o tratamento de dados de saúde para a tutela da saúde, em procedimento realizado por profissionais e serviços de saúde, sem depender de consentimento. Outras finalidades podem exigir base legal diferente.
A operadora pode usar dados de saúde para precificar o plano?
A LGPD veda às operadoras o tratamento de dados de saúde para seleção de riscos na contratação e na exclusão de beneficiários.
Qual o prazo para comunicar um vazamento?
Pela Resolução CD/ANPD 15/2024, 3 dias úteis contados do conhecimento de que o incidente afetou dados pessoais, ressalvado prazo diferente em lei específica.
Fontes oficiais
Conteúdo informativo, preparado pela Redação a partir das fontes oficiais citadas. Não constitui consulta jurídica nem substitui a análise do caso concreto.