LGPD e saúde digital

Guia permanente

Por que o dado de saúde é especial?

A Lei Geral de Proteção de Dados (Lei 13.709/2018) classifica como dado pessoal sensível o dado referente à saúde ou à vida sexual, o dado genético e o biométrico, entre outros (art. 5º, II). O vazamento ou o uso indevido desse tipo de dado pode gerar discriminação e dano grave, e por isso a lei restringe as hipóteses de tratamento e impõe cuidados reforçados.

Quando é permitido tratar dados de saúde?

O art. 11 da LGPD admite o tratamento de dados sensíveis com consentimento específico e destacado ou, sem consentimento, quando indispensável para, entre outras hipóteses:

• cumprimento de obrigação legal ou regulatória (por exemplo, envio de informações à ANS ou à autoridade sanitária);
• exercício regular de direitos, inclusive em processo judicial e administrativo;
• proteção da vida ou da incolumidade física do titular ou de terceiro;
• tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
• garantia da prevenção à fraude e da segurança do titular em processos de identificação e autenticação.

Diferentemente dos dados comuns, o legítimo interesse e a proteção do crédito não estão entre as bases para dados sensíveis.

Regras específicas para o setor de saúde

• Vantagem econômica (art. 11, § 4º): é vedado comunicar ou compartilhar dados de saúde entre controladores com objetivo de obter vantagem econômica, salvo nas hipóteses ligadas à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, em benefício dos titulares, e para a portabilidade de dados ou transações financeiras e administrativas decorrentes.
• Seleção de riscos (art. 11, § 5º): as operadoras de planos de saúde não podem tratar dados de saúde para seleção de riscos na contratação nem na exclusão de beneficiários.
• Sigilo profissional: o dever de sigilo do Código de Ética Médica se soma à LGPD e não é afastado por ela.

O que fazer em caso de vazamento?

O controlador deve comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante (art. 48). O regulamento da ANPD (Resolução CD/ANPD 15/2024) fixou o prazo de 3 dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, com possibilidade de complementar informações em 20 dias úteis e prazos em dobro para agentes de pequeno porte. As sanções da LGPD vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52). Veja o explicador sobre LGPD e dados de saúde.

Prontuário eletrônico

A Lei 13.787/2018 permite a digitalização do prontuário com o mesmo valor probatório do original, desde que respeitados os requisitos de integridade, autenticidade e confidencialidade, com certificação digital. Os prontuários podem ser eliminados após o prazo mínimo de 20 anos do último registro, observadas as regras da lei. O paciente tem direito de acesso ao seu prontuário.

Telessaúde e telemedicina

A Lei 14.510/2022 tornou permanente a telessaúde, com autonomia do profissional, consentimento do paciente e direito ao atendimento presencial. A Resolução CFM 2.314/2022 define as modalidades de telemedicina e exige registro, sigilo e plataformas adequadas. Veja o explicador da telemedicina.

Inteligência artificial na saúde

A Resolução CFM 2.454/2026, em vigor desde agosto de 2026, admite a IA como apoio à decisão médica, mantém a palavra final com o médico, veda delegar à IA a comunicação de diagnósticos, exige informar o paciente e determina governança e classificação de risco nas instituições. Os dados usados para treinar e operar esses sistemas devem observar a LGPD. Sistemas de IA que se enquadrem como produtos para a saúde também se sujeitam à Anvisa.

O que compõe um programa de conformidade no setor

• mapeamento dos dados e das finalidades, com a base legal de cada tratamento;
• encarregado (DPO) designado e canal de atendimento ao titular;
• controle de acesso ao prontuário e registro de acessos;
• contratos com fornecedores de tecnologia que tratem de segurança, suboperação e incidentes;
• plano de resposta a incidentes compatível com o prazo de 3 dias úteis;
• relatório de impacto à proteção de dados para tratamentos de maior risco, como os que envolvem IA.

Quais são os direitos do paciente e do beneficiário?

O art. 18 da LGPD garante ao titular, entre outros, o direito de confirmar a existência de tratamento, acessar os dados, corrigir dados incompletos ou desatualizados, pedir anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, obter informação sobre compartilhamentos e revogar o consentimento, quando essa for a base legal. Na saúde, esses direitos convivem com deveres de guarda: o prontuário, por exemplo, não pode ser eliminado a pedido antes do prazo legal, porque sua conservação decorre de obrigação legal.

O encarregado (DPO) e o canal com o titular

O controlador deve indicar um encarregado pelo tratamento de dados pessoais, que atua como canal de comunicação com os titulares e com a ANPD (art. 41). Hospitais, operadoras e clínicas costumam integrar o encarregado aos fluxos de ouvidoria, de segurança da informação e de resposta a incidentes, para cumprir os prazos de comunicação.

Compartilhamento entre operadora, hospital e laboratório

A assistência à saúde depende de troca de informações: pedidos de autorização, contas, laudos e auditorias. A LGPD admite esse fluxo quando ligado à prestação de serviços e à assistência à saúde, em benefício do titular, mas o compartilhamento deve se limitar ao necessário para a finalidade, com segurança e registro. Usos para outras finalidades, como marketing, exigem análise própria da base legal e, em geral, não podem se apoiar nas exceções do § 4º do art. 11.

O que mudou recentemente

Perguntas frequentes

Posso enviar exames ao paciente por aplicativo de mensagens?

A LGPD não proíbe ferramentas específicas, mas exige segurança adequada ao risco. Para dados de saúde, convém usar canais com controle de acesso e registro, confirmar a identidade do destinatário e evitar o envio a terceiros sem autorização.

Quem fiscaliza a LGPD na saúde?

A Autoridade Nacional de Proteção de Dados (ANPD). Conselhos profissionais, ANS e órgãos de defesa do consumidor atuam em suas próprias competências, e o titular pode recorrer ao Judiciário.

Preciso de consentimento para atender um paciente?

Para o tratamento de dados necessário ao atendimento, a LGPD admite a base da tutela da saúde, sem depender de consentimento. O consentimento para o procedimento médico é outra coisa, exigida pela ética médica.

Posso usar dados de pacientes para treinar uma IA?

Depende de base legal adequada, de finalidade compatível e de medidas de segurança, como anonimização quando possível. A Resolução CFM 2.454/2026 exige que esses dados observem a LGPD.

O plano de saúde pode pedir exames antes de contratar?

A regulação admite a declaração de saúde e perícia na contratação para identificar doenças preexistentes, mas a LGPD veda o uso de dados de saúde para seleção de riscos.

Para formação em proteção de dados na saúde, veja os cursos.

Guia atualizado em 9 de novembro de 2026 pela Redação Saúde em Juízo, com base nas fontes oficiais linkadas no texto. Conteúdo informativo: não substitui a análise do caso concreto por um advogado. Encontrou um erro? Veja a política de correções.