LGPD em clínicas e hospitais: o que muda na prática

A LGPD não criou um regulamento separado para a saúde. Ela colocou dado de saúde na categoria de dado pessoal sensível, no Art. 11 da Lei nº 13.709/2018, com hipóteses de tratamento mais estreitas. O efeito prático concentra-se em quatro pontos: base legal declarada, perfil de acesso por função, registro de cada consulta e prazo de retenção cumprido.

Serviços de saúde já trabalham com sigilo profissional há muito mais tempo do que a lei existe. O que a LGPD acrescenta é a exigência de demonstrar o controle, e não apenas exercê-lo.

Essa é a diferença que aparece em uma auditoria, em um pedido de titular ou em um questionamento de convênio. A pergunta deixa de ser se o acesso é restrito e passa a ser como o serviço prova que era.

O que a lei chama de dado pessoal sensível

O Art. 11 trata de dado referente à saúde e à vida sexual, além de origem racial ou étnica, convicção religiosa, opinião política, filiação sindical e dado genético ou biométrico. A classificação vale para o registro clínico, para o resultado de exame, para o laudo e para o histórico de atendimento do paciente.

Uma imagem diagnóstica é dado sensível por dupla razão. O conteúdo é clínico, e o cabeçalho do arquivo carrega a identificação de quem foi examinado.

Vale registrar o que a classificação não faz. Ela não proíbe o tratamento. Ela estreita as hipóteses e eleva a exigência de segurança e de registro.

Controlador e operador: quem responde pelo quê

A lei separa dois papéis. Controlador é quem decide sobre as finalidades e os meios do tratamento. Operador é quem trata em nome do controlador.

Em quase todo arranjo de saúde, o serviço é o controlador e o fornecedor do sistema é o operador. Isso significa que a escolha de finalidade, de prazo e de quem acessa o quê continua sendo do hospital, da santa casa ou da clínica.

O contrato com o fornecedor distribui obrigações técnicas, define o local de armazenamento, prevê o dever de sigilo e estabelece a devolução dos dados ao término. Ele não transfere a posição de controlador. Perante o paciente e perante o conselho profissional, quem atendeu responde.

As bases que sustentam o atendimento

O Art. 11 prevê hipóteses próprias para dado sensível. Três aparecem com frequência na rotina de um serviço de saúde.

Tutela da saúde. Exercida por profissionais de saúde, serviços de saúde ou autoridade sanitária. É a hipótese que sustenta o registro clínico, o exame e o laudo produzidos no atendimento.

Cumprimento de obrigação legal ou regulatória. É o que sustenta a retenção do prontuário pelo prazo mínimo definido em norma e o envio de informação a sistemas de vigilância em saúde.

Consentimento do titular. Fornecido de forma específica e destacada, para finalidades específicas. Serve a usos que estão fora do atendimento, como participação em pesquisa ou envio de comunicação não relacionada ao cuidado.

O trabalho prático é fazer o mapeamento: listar cada finalidade de tratamento do serviço e anotar ao lado a hipótese que a sustenta. É um documento curto, e é o primeiro que uma autoridade pede.

Os direitos do titular no balcão

A LGPD dá ao titular um conjunto de direitos, e alguns chegam à recepção como pedido concreto.

1. Confirmação e acesso. O paciente pode pedir os dados que o serviço tem sobre ele. O prazo de resposta e o formato precisam estar definidos em procedimento interno.
2. Correção. Dado incompleto ou desatualizado é corrigido mediante solicitação. Em prontuário, a correção se dá por retificação registrada, sem apagar o histórico.
3. Informação sobre compartilhamento. Com quem o serviço compartilha dado do paciente: convênio, laboratório de apoio, sistema de vigilância.
4. Revogação de consentimento. Aplica-se ao que foi tratado com base em consentimento, e não ao registro clínico sustentado por outra hipótese.

O direito de eliminação merece atenção especial em saúde. Ele não alcança o que a lei ou a norma do conselho manda reter. Quando o pedido chega, a resposta correta explica a base da retenção e o prazo aplicável.

Perfis de acesso: a medida que mais aparece

Controle de acesso é a medida técnica que a LGPD cobra com mais frequência em serviços de saúde, porque é a que mais reduz risco com menos esforço.

Um serviço de imagem costuma trabalhar com cinco perfis. Administração enxerga cadastro, relatório e configuração. Corpo clínico enxerga exame, histórico e laudo. Equipe técnica enxerga o exame em produção e o envio ao arquivo. Recepção enxerga agendamento e situação do resultado, sem abrir a imagem. Paciente enxerga apenas o que é dele.

Cada pessoa com o próprio login. É a condição para que o registro de consulta identifique gente, e não setor. Um usuário compartilhado por plantão anula toda a trilha construída acima dele.

O registro de consulta e o prazo de retenção

Trilha de auditoria é o registro de qual usuário abriu qual exame, em que data e a partir de qual operação. Ela serve a dois momentos distintos.

No primeiro, alguém precisa apurar um acesso indevido. Sem registro, a apuração termina em versões. Com registro, termina em fato.

No segundo, o serviço precisa demonstrar controle a um auditor, a um convênio ou à autoridade nacional de proteção de dados. O registro é a evidência.

O prazo de retenção do próprio registro precisa acompanhar o prazo de guarda do exame. Trilha que cobre apenas os meses recentes não demonstra nada sobre um exame arquivado há anos.

Segurança técnica e local dos servidores

Três medidas aparecem em quase toda avaliação de conformidade em saúde.

Criptografia em trânsito. Protege o dado entre o navegador do usuário e o servidor.

Criptografia em repouso. Protege o arquivo armazenado, inclusive as cópias de longo prazo.

Local de armazenamento declarado. Servidores localizados no Brasil simplificam a análise, porque afastam a discussão de transferência internacional prevista na lei. É uma cláusula de contrato, não uma promessa comercial.

Some-se a isso um plano de resposta a incidente escrito antes de precisar dele: quem é avisado, em qual ordem, o que é registrado e como a comunicação ao titular e à autoridade é preparada.

Comparativo das abordagens de controle de acesso

Critério	Confiança na equipe, sem perfil definido	Usuário compartilhado por setor	Perfil por função com registro de consulta
Quem vê o exame	Toda a equipe com acesso ao sistema	Todo o setor, sob um login	Só o perfil autorizado
Identificação do acesso	Não existe	Identifica o setor	Identifica a pessoa
Apuração de acesso indevido	Por depoimento	Por escala de plantão	Pelo registro do sistema
Resposta a pedido de titular	Levantamento manual	Levantamento manual	Consulta ao histórico
Desligamento de colaborador	Troca de senha geral	Troca de senha do setor	Desativação do login
Evidência para auditoria	Procedimento escrito	Procedimento escrito	Registro exportável
Esforço de manutenção	Baixo no início	Baixo	Cadastro por pessoa

A terceira coluna custa um cadastro a mais por colaborador. É o preço de conseguir responder, meses depois, quem abriu o exame de um paciente específico.

Um roteiro curto para começar

Serviços que estão organizando o tema costumam avançar bem em cinco passos.

1. Mapear finalidades e anotar a hipótese do Art. 11 que sustenta cada uma.
2. Escrever a política de retenção, com o prazo de cada tipo de registro.
3. Definir os perfis de acesso por função e dar login individual a cada pessoa.
4. Verificar se o sistema registra consulta por exame e por usuário, e por quanto tempo guarda esse registro.
5. Documentar as medidas de segurança e o local dos servidores nas cláusulas do contrato.

Nenhum dos cinco depende de projeto longo. Os dois primeiros são documentos internos, e os três seguintes se resolvem na configuração do sistema em uso.

O que a nossa solução cobre

A SiteIncrível desenvolve software de gestão desde 2012, em Borborema, São Paulo, com atendimento remoto em todo o Brasil para hospitais, santas casas, clínicas de diagnóstico por imagem, laboratórios e secretarias de Saúde.

A Gestão de Exames de Imagem trabalha com perfis de acesso separados por função e trilha de auditoria por exame e por usuário, criptografia em trânsito e em repouso com servidores no Brasil, arquivamento em DICOM com guarda de longo prazo pelo período exigido em norma, prontuário cronológico por paciente, laudos em PDF vinculados ao exame, portal do paciente com login próprio e aviso de resultado, e relatórios por período em CSV e PDF.

Para a obrigação de guarda e o que precisa estar em contrato, veja guarda de exames e prontuário. Para o panorama de sistemas do setor, veja melhores sistemas de gestão para hospitais e clínicas. Os perfis que atendemos estão em para quem atendemos.

Para revisar os perfis de acesso e a política de retenção do seu serviço, entre em contato.