LGPD na saúde exige mais do que restringir o acesso aos prontuários eletrônicos. Hospitais, clínicas e laboratórios precisam combinar governança, segurança da informação, monitoramento, backup e recuperação para preservar as informações e a continuidade do atendimento.
A transformação digital ampliou o uso de prontuários eletrônicos, telemedicina e sistemas hospitalares integrados. Com isso, cresceu a importância de controlar quem acessa diagnósticos, exames e históricos clínicos e de preparar os serviços para falhas e ataques cibernéticos.
A LGPD na saúde envolve pessoas, processos e tecnologia. Conheça os principais riscos e as medidas que ajudam a proteger pacientes sem comprometer a assistência.
1. O que a LGPD determina sobre os dados de saúde?
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) classifica informações referentes à saúde como dados pessoais sensíveis (artigo 5º, inciso II). Prontuários, laudos e resultados de exames exigem cuidados reforçados porque sua exposição pode prejudicar a privacidade e os direitos dos pacientes.
Os princípios do artigo 6º incluem finalidade, necessidade, segurança, prevenção e responsabilização e prestação de contas. Já o artigo 46 estabelece a adoção de medidas técnicas e administrativas para proteger dados pessoais contra acesso não autorizado e outras formas de tratamento inadequado ou ilícito.
1.1. Bases legais e responsabilidades
O artigo 11 prevê hipóteses específicas para tratar dados sensíveis. O consentimento, quando aplicável, deve ser específico e destacado, mas não é a única hipótese legal. A norma também admite tratamento, nas condições previstas, para cumprimento de obrigação legal ou regulatória, proteção da vida e tutela da saúde em procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária.
Cada finalidade precisa de avaliação própria: utilizar dados durante uma consulta não autoriza automaticamente seu emprego em publicidade.
As instituições também devem mapear operações de tratamento e definir responsabilidades. O controlador toma decisões sobre o tratamento; o operador atua em seu nome, seguindo as instruções aplicáveis. Um fornecedor de nuvem não é automaticamente operador em todas as atividades: a classificação depende das operações efetivamente realizadas.
1.2. Retenção de prontuários e avaliação de riscos
A Lei nº 13.787/2018 prevê que prontuários podem ser eliminados depois do prazo mínimo de 20 anos, contado do último registro, observadas regras específicas e eventuais prazos diferenciados. Isso não significa descarte automático: o procedimento deve preservar o sigilo e respeitar outras exigências aplicáveis. O Parecer CFM nº 19/2026 esclarece que prontuários físicos podem ser eliminados após esse prazo mesmo sem digitalização prévia, quando atendidas as condições de segurança, registro formal e demais requisitos.
A destruição de documentos físicos originais após digitalização é uma questão distinta e depende dos requisitos legais do processo, incluindo análise por comissão permanente de revisão de prontuários e avaliação de documentos.
Para operações que possam gerar alto risco aos titulares, a ANPD recomenda avaliar a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD). O relatório também poderá ser exigido pela autoridade, conforme a legislação e as circunstâncias.
2. Quais são os principais riscos para prontuários eletrônicos e sistemas clínicos?
A segurança de dados hospitalares apresenta desafios próprios: vários profissionais acessam sistemas diferentes, e muitas aplicações dependem umas das outras.
2.1. Acessos indevidos e terceiros
Permissões excessivas, senhas compartilhadas e contas de ex-colaboradores ampliam os riscos de acesso não autorizado. Um funcionário administrativo, por exemplo, não deve consultar todo o histórico clínico quando suas atribuições exigem apenas dados cadastrais.
Fornecedores de manutenção remota também precisam de acessos limitados, identificáveis e revogáveis.
2.2. Ransomware, erros e sistemas legados
Ransomware pode bloquear sistemas e, em alguns casos, vir acompanhado de tentativa de exfiltração de dados. Falhas de configuração, mensagens fraudulentas, exclusões acidentais e corrupção de bancos de dados também podem comprometer registros.
Equipamentos médicos conectados e aplicações antigas podem ter limitações de atualização. Nesses casos, inventário, segmentação e controles compensatórios são especialmente importantes.
2.3. Interrupção do atendimento
Prontuários, resultados laboratoriais, exames de imagem e prescrições podem depender de integrações. A indisponibilidade de um componente pode afetar diferentes etapas do atendimento, mesmo sem vazamento. A infraestrutura que sustenta sistemas hospitalares também precisa ser avaliada.
A ANPD reconhece que incidentes podem afetar a disponibilidade, inclusive em ambientes hospitalares. Por isso, proteger informações clínicas significa cuidar da confidencialidade, integridade e disponibilidade.
3. Como proteger dados sensíveis de pacientes na prática?
Não existe um único recurso capaz de tornar um prontuário eletrônico seguro. A proteção deve integrar prevenção, detecção e resposta, com medidas compatíveis com os riscos e a realidade assistencial.
3.1. Controles de acesso e autenticação
Defina permissões por função e necessidade de uso, aplique autenticação multifator em acessos críticos e revise periodicamente contas administrativas, remotas e de terceiros.
Em emergências, mecanismos de acesso excepcional (break-glass) podem permitir consultas justificadas fora do perfil habitual, com identificação individual, registro de motivo e análise posterior. Segurança não deve impedir a assistência necessária, mas acessos excepcionais precisam ser rastreáveis.
3.2. Criptografia e proteção dos sistemas
Avalie criptografia para dados em trânsito e em repouso, incluindo bancos de dados e cópias de segurança, com gestão apropriada de chaves.
Mantenha inventário de ativos, priorização de vulnerabilidades, proteção de endpoints e servidores, segmentação de redes e correções planejadas. Em sistemas clínicos, mudanças devem considerar homologação e compatibilidade com dispositivos e aplicações. Soluções de proteção de endpoints e resposta a ameaças podem complementar esses controles.
3.3. Monitoramento e auditoria
Registre acessos e alterações relevantes, proteja os logs contra manipulação e defina responsáveis por analisar alertas. A rastreabilidade ajuda a investigar consultas indevidas e identificar sinais de comprometimento.
A Rede Nacional de Dados em Saúde (RNDS), do Ministério da Saúde, ilustra a importância de interoperabilidade acompanhada de requisitos de segurança e privacidade no compartilhamento de informações clínicas.
3.4. Treinamento e ciclo de vida dos dados
Capacite equipes sobre phishing, uso de credenciais e compartilhamento seguro. Mantenha regras para classificação, retenção, descarte e transmissão de informações, com atenção às necessidades assistenciais e às normas aplicáveis.
Essas são medidas práticas para reduzir a exposição e orientar como evitar vazamentos de dados de pacientes, sem prometer risco zero.
4. Backup, recuperação de dados e continuidade dos serviços de saúde
Uma estratégia de backup para hospitais deve proteger informações essenciais contra exclusão acidental, falhas e ataques. Cópias automatizadas, segregadas e protegidas por controles próprios reduzem a possibilidade de perda simultânea dos dados de produção e de suas cópias.
Quando aplicáveis, recursos de imutabilidade dificultam alterações e exclusões indevidas. Contudo, imutabilidade não substitui testes de restauração, monitoramento ou isolamento.
4.1. Backup e Disaster Recovery não são a mesma coisa
O backup permite recuperar dados. Já o Disaster Recovery (DR) envolve a retomada coordenada de ambientes e serviços, incluindo servidores, aplicações, bancos de dados e integrações.
Defina objetivos de recuperação conforme cada serviço crítico:
RPO (Recovery Point Objective) é a perda máxima de dados tolerável, expressa em tempo.
RTO (Recovery Time Objective) é o tempo-alvo para restaurar um serviço após a interrupção.
Uma aplicação de prescrição pode demandar objetivos diferentes daqueles de um sistema administrativo. Os parâmetros devem refletir riscos assistenciais, dependências técnicas e capacidade efetiva de recuperação.
4.2. Testar também é proteger o paciente
Realize testes periódicos para confirmar a integridade das cópias, a restauração das aplicações e o funcionamento das integrações. Após um ataque, é necessário verificar a confiabilidade do ambiente recuperado para evitar reinfecção.
Além da recuperação tecnológica, o hospital precisa de procedimentos de contingência assistencial: como atender, registrar e reconciliar informações durante uma indisponibilidade?
Recuperar sistemas não elimina um eventual vazamento já ocorrido. Por isso, recuperação de desastres na saúde e resposta a incidentes devem ser planejadas de forma complementar.
5. Como a infraestrutura em nuvem pode contribuir para a segurança dos dados clínicos?
Uma infraestrutura em nuvem para saúde pode oferecer controle de acesso, redundância, monitoramento, segmentação e recursos de recuperação. Esses benefícios dependem da arquitetura, da configuração e da gestão do ambiente.
A nuvem privada pode ser considerada quando uma instituição precisa avaliar requisitos específicos de isolamento, governança e desempenho. Entretanto, migrar dados para a nuvem não garante conformidade com a LGPD.
5.1. Responsabilidades e governança do ambiente
Antes da contratação, avalie contratos, níveis de serviço, local de armazenamento, possíveis transferências internacionais, gestão de identidades e procedimentos de resposta a incidentes.
As responsabilidades técnicas variam conforme o modelo de serviço contratado. A instituição e seus fornecedores devem definir quem configura, monitora, protege, restaura e comunica incidentes, sem presumir que terceirizar infraestrutura transfere automaticamente todas as obrigações legais.
5.2. Onde entram as soluções da PWS Cloud?
A PWS Cloud reúne capacidades que podem integrar uma estratégia de segurança e continuidade. Suas soluções de Cibersegurança apoiam a proteção e o monitoramento de ambientes; Backup contribui para preservar e recuperar informações; e Disaster Recovery apoia o planejamento da retomada de sistemas críticos.
O Cloud Core oferece uma opção de infraestrutura em nuvem privada para cargas de trabalho que exigem avaliação específica de capacidade, desempenho e governança.
São recursos complementares às medidas jurídicas, organizacionais e administrativas exigidas de cada instituição. Para aprofundar o tema, leia também o conteúdo da PWS Cloud sobre continuidade de negócio na saúde.
6. Checklist para fortalecer a proteção de dados em instituições de saúde
Um diagnóstico inicial deve buscar evidências de funcionamento, e não apenas a existência formal de políticas:
Dados e sistemas: há inventário dos prontuários, integrações, responsáveis e fluxos de compartilhamento?
Acesso: existem revisões documentadas de permissões e contas de terceiros?
Autenticação: há cobertura de autenticação multifator para acessos críticos?
Vulnerabilidades: as falhas são avaliadas, priorizadas e corrigidas conforme o risco?
Auditoria: os registros permitem investigar quem consultou ou alterou informações?
Backups: existem relatórios de execução, proteção e integridade das cópias?
Recuperação: testes documentados comprovam restauração e cumprimento dos objetivos definidos?
Pessoas: treinamentos e regras de descarte e compartilhamento são revisados?
Incidentes: há responsáveis, procedimentos de comunicação e contingência assistencial testados?
Os resultados devem orientar um plano de melhorias com prioridades e responsáveis definidos.
7. Perguntas frequentes sobre LGPD na saúde
7.1. Todo hospital precisa de consentimento para tratar dados de saúde?
Não. O consentimento é uma das hipóteses previstas no artigo 11 da LGPD, mas há outras bases legais aplicáveis conforme a finalidade e as condições do tratamento.
7.2. Armazenar prontuários na nuvem garante adequação à LGPD?
Não. É necessário avaliar os contratos, as operações de tratamento, os controles de segurança e as responsabilidades de cada parte.
7.3. Quando um incidente deve ser comunicado à ANPD?
Quando o incidente estiver confirmado, envolver dados pessoais sujeitos à LGPD e puder causar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 prevê, como regra geral, comunicação pelo controlador à ANPD e aos titulares em três dias úteis, contados do conhecimento do incidente, ressalvadas normas específicas e prazos diferenciados aplicáveis.
O operador deve informar o controlador sem demora injustificada. Cada ocorrência exige avaliação documentada e medidas apropriadas de contenção, investigação e resposta.
8. Conclusão: segurança da informação também faz parte da qualidade do atendimento
A LGPD na saúde deve integrar a gestão de riscos e a rotina tecnológica de hospitais, clínicas e laboratórios. Controlar acessos, proteger dados sensíveis, monitorar sistemas e testar a recuperação são ações complementares para preservar a confiança dos pacientes e a continuidade assistencial.
Sua instituição sabe quanto tempo levaria para recuperar os prontuários eletrônicos após uma falha crítica? Avaliar os controles atuais e a capacidade de recuperação é um passo importante para identificar prioridades de melhoria.
Conheça as soluções da PWS Cloud e avalie como fortalecer a proteção e a resiliência da infraestrutura que sustenta seus serviços de saúde.
