A Lei Geral de Proteção de Dados (Lei 13.709/18) está em vigor desde setembro de 2020. As sanções começaram a ser aplicadas em agosto de 2021, e os hospitais estão entre os alvos de maior atenção.
Por quê? Porque nenhum setor lida com um volume tão alto de dados pessoais sensíveis quanto a saúde. Prontuários, exames, históricos médicos, dados de internação, tudo isso é protegido pela LGPD. E tratar esses dados de forma incorreta pode custar caro.
Neste guia você vai entender o que a lei exige, o que muda na prática hospitalar e como começar a adequação.
O que é a LGPD?
A LGPD é a lei brasileira que regula como empresas e instituições coletam, armazenam, processam e compartilham dados pessoais. Ela se aplica a qualquer organização que realize algum tipo de tratamento de dados, independentemente do porte ou setor.
O objetivo central da lei é garantir a privacidade e a liberdade dos titulares de dados. Na prática, isso significa que toda instituição precisa ter uma finalidade clara para cada dado que coleta, e precisa proteger esses dados de acessos não autorizados, perdas ou uso indevido.
Conceitos essenciais para entender a LGPD
Antes de falar sobre aplicação prática, é importante dominar os termos que a lei usa. Veja os principais:
| Termo | O que significa | Exemplo no contexto hospitalar |
|---|---|---|
| Titular | A pessoa a quem os dados pertencem | Paciente ou colaborador do hospital |
| Dado pessoal | Informação que identifica ou permite identificar alguém | Nome, CPF, endereço |
| Dado pessoal sensível | Dado sobre saúde, origem étnica, religião, biometria, entre outros | Resultado de exame, histórico médico, guia de paciente |
| Controlador | Quem decide como os dados são tratados | O hospital |
| Operador | Quem trata os dados em nome do controlador | Sistema de gestão hospitalar, empresa de TI |
| Encarregado (DPO) | Canal de comunicação entre controlador, titulares e a ANPD | Profissional indicado pelo hospital para gerir a conformidade |
| Tratamento | Qualquer operação com dados: coleta, armazenamento, compartilhamento, descarte | Cadastro de paciente na recepção |
| Finalidade | O motivo pelo qual os dados são coletados e tratados | Atendimento clínico, faturamento, auditoria |
| Sanção administrativa | Penalidade aplicada por infração à lei | Multa, bloqueio de dados, proibição de atividades |
Por que hospitais têm atenção redobrada na LGPD?
O setor hospitalar processa dados pessoais sensíveis em praticamente todas as suas atividades. Por exemplo:
- Cadastro do paciente na recepção, dado pessoal
- Resultado de exame, dado pessoal sensível
- Guia de faturamento enviada ao convênio, dado pessoal sensível
- Histórico de internação, dado pessoal sensível
- Dados de colaboradores, dado pessoal
Além disso, aqui entra um ponto importante: os regulamentos de saúde obrigam o hospital a manter prontuários por no mínimo 20 anos. Isso significa que o hospital acumula um volume enorme de dados sensíveis ao longo do tempo, e precisa garantir a proteção de todos eles durante esse período.
O que a LGPD exige na prática?
A lei não define uma fórmula única de adequação. Mas ela estabelece princípios e obrigações claras. Veja o que o hospital precisa garantir:
1. Finalidade clara para cada dado coletado: Todo dado coletado precisa ter uma razão definida. Por exemplo: coletar o CPF do paciente para emissão de nota fiscal é uma finalidade legítima. Usar esse CPF para outros fins sem consentimento não é.
2. Consentimento ou base legal: A coleta e o tratamento de dados precisam ter respaldo, seja o consentimento do titular ou outra base legal prevista na lei, como cumprimento de obrigação legal ou proteção da vida.
3. Segurança técnica e administrativa: O hospital precisa adotar medidas para proteger os dados contra acesso não autorizado, perda, alteração ou vazamento. Isso vale para dados digitais e físicos.
4. Resposta aos direitos dos titulares: Pacientes e colaboradores têm direitos garantidos pela lei, e o hospital precisa estar preparado para atendê-los
Quais são os direitos dos titulares de dados?
Todo paciente ou colaborador cujos dados o hospital trata tem direito a:
- Confirmação: saber se o hospital trata seus dados
- Acesso: consultar quais dados estão armazenados
- Correção: corrigir dados incompletos, inexatos ou desatualizados
- Portabilidade: solicitar a transferência dos dados para outro serviço
- Eliminação: pedir a exclusão de dados desnecessários ou tratados ilegalmente
- Informação sobre compartilhamento: saber com quem os dados foram compartilhados
- Revogação do consentimento: retirar a autorização dada anteriormente
- Oposição: contestar um tratamento que considera irregular
Mas aqui entra um ponto importante: esses direitos têm limites. Por exemplo, se um paciente solicitar a exclusão do seu histórico médico, o hospital não pode simplesmente apagar, a legislação de saúde obriga a manutenção dos dados por no mínimo 20 anos. Nesses casos, o hospital fornece os dados ao paciente, mas não os elimina.
Como começar a adequação à LGPD no hospital?
O processo de adequação não é simples — mas tem um caminho claro. Veja as etapas principais:
Passo 1: Monte o time responsável. A LGPD exige a nomeação de um Encarregado (também chamado de DPO — Data Protection Officer). Além dele, a boa prática é formar um Comitê Gestor de Proteção de Dados com pessoas de diferentes áreas: TI, jurídico, RH, faturamento e gestão.
Passo 2: Mapeie os dados. Levante quais dados são coletados, onde estão armazenados, quem acessa, com quem são compartilhados e qual é a finalidade de cada um. Esse mapeamento é a base de todo o processo de adequação.
Passo 3: Revise os processos internos. Identifique onde existem riscos: coleta de dados sem finalidade clara, compartilhamento sem contrato adequado, dados físicos sem controle de acesso.
Passo 4: Implemente medidas de segurança. Tanto técnicas (controle de acesso, criptografia, backup seguro) quanto administrativas (políticas internas, treinamentos, gestão de senhas).
Passo 5: Cuide dos dados físicos. Aqui entra um alerta que muita gente ignora: a LGPD se aplica a dados físicos também. Prontuários em papel, fichas de cadastro e documentos impressos precisam de controle de acesso e descarte seguro.
Passo 6: Treine toda a equipe. Tecnologia e processos não funcionam sem pessoas capacitadas. Todos os colaboradores, independentemente do cargo, precisam entender o básico sobre proteção de dados.
Passo 7: Verifique seus parceiros e fornecedores. Se um fornecedor de software ou serviço trata dados do hospital, ele também precisa estar adequado à LGPD. Isso precisa estar previsto em contrato.
Quanto custa não se adequar?
A pergunta certa. O Artigo 52 da Lei 13.709/18 prevê sanções que incluem:
- Multa simples de até 2% do faturamento anual da instituição, limitada a R$ 50 milhões por infração
- Multa diária pelo período de descumprimento
- Eliminação forçada dos dados envolvidos na infração
- Proibição parcial ou total de atividades relacionadas ao tratamento de dados
Por exemplo: um hospital com faturamento anual de R$ 10 milhões pode receber uma multa de até R$ 200 mil por uma única infração. Multiplicado por múltiplas infrações, o impacto financeiro pode ser devastador.
Além da multa, o dano à reputação com pacientes e parceiros pode ser ainda mais custoso no longo prazo.
Checklist: sua instituição está adequada à LGPD?
- O hospital tem um encarregado (DPO) nomeado formalmente?
- Existe um mapeamento de todos os dados coletados e tratados?
- Cada dado coletado tem uma finalidade clara e documentada?
- Os contratos com fornecedores e parceiros incluem cláusulas de proteção de dados?
- A equipe passou por treinamento sobre LGPD?
- Há processos definidos para responder às solicitações dos titulares?
- Os dados físicos (prontuários em papel, fichas) têm controle de acesso e descarte seguro?
- Existe um plano de resposta a incidentes de segurança (vazamento de dados)?
- As medidas técnicas de segurança (controle de acesso, criptografia) estão implementadas?
- Os dados são mantidos pelo prazo mínimo exigido pela legislação de saúde?
Se você marcou menos de 7 itens, a instituição tem vulnerabilidades relevantes de conformidade.
Perguntas frequentes sobre LGPD na saúde
A LGPD se aplica a clínicas e laboratórios pequenos? Sim. A lei se aplica a qualquer pessoa jurídica que trate dados pessoais, independentemente do porte. Clínicas, consultórios e laboratórios estão incluídos.
O paciente pode pedir para apagar seu histórico médico? Não necessariamente. O direito à eliminação de dados tem exceções. A legislação de saúde obriga o hospital a manter prontuários por no mínimo 20 anos. Nesses casos, o hospital pode fornecer os dados ao paciente, mas não é obrigado a eliminá-los.
Prontuário eletrônico já garante conformidade com a LGPD? Não sozinho. O prontuário eletrônico ajuda com segurança e controle de acesso. Mas a conformidade depende também de processos, treinamentos, contratos com fornecedores e políticas internas.
Quem fiscaliza o cumprimento da LGPD? A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável por fiscalizar, orientar e aplicar as sanções previstas na lei.
Por onde começar se a instituição ainda não iniciou a adequação? O primeiro passo é o mapeamento de dados, entender o que é coletado, onde está e para que serve. A partir daí, as demais etapas ficam mais claras.
Resumo rápido
A LGPD afeta diretamente hospitais, clínicas e laboratórios, que lidam diariamente com dados pessoais sensíveis. A lei exige finalidade clara para cada dado, medidas de segurança técnicas e administrativas, respeito aos direitos dos titulares e conformidade com parceiros e fornecedores.
Não se adequar pode resultar em multas de até R$ 50 milhões por infração, além de danos à reputação. O caminho começa com mapeamento, time responsável e treinamento de toda a equipe.
O próximo passo é aprofundar o tema com especialistas em segurança da informação e jurídico, a adequação à LGPD é um processo contínuo, não um projeto com data de fim.
