Por que dados de saúde exigem tratamento especial
A Lei Geral de Proteção de Dados (Lei 13.709/2018) classifica dados de saúde como dados pessoais sensíveis (Art. 5, II). Isso significa que seu tratamento está sujeito a regras mais restritivas que dados pessoais comuns — como nome, email ou telefone.
A razão é simples: a exposição indevida de dados de saúde pode causar discriminação (planos de saúde, empregadores, seguradoras), constrangimento social e danos irreversíveis à dignidade do titular. Um vazamento de CPF é grave; um vazamento de diagnóstico de HIV, transtorno psiquiátrico ou dependência química é devastador.
O cenário de enforcement em 2025-2026
A ANPD (Autoridade Nacional de Proteção de Dados) intensificou a fiscalização:
| Indicador | 2024 | 2025 | Tendência |
|---|---|---|---|
| Multas aplicadas | R$ 18M | R$ 47M | +161% |
| Casos envolvendo saúde | 14% | 23% | +64% |
| Sanções a healthtechs | 3 | 11 | +267% |
| Determinações de adequação | 42 | 89 | +112% |
Os casos mais comuns envolvem: compartilhamento de dados com operadoras sem base legal adequada, ausência de consentimento para IA, falha na anonimização de dados de pesquisa, e vazamentos por falha de segurança.
Bases legais para tratamento de dados de saúde
O Art. 11 da LGPD lista as hipóteses em que dados sensíveis podem ser tratados. Para healthtechs, as mais relevantes são:
1. Consentimento (Art. 11, I)
O titular (paciente) autoriza de forma livre, informada, inequívoca e específica o tratamento. Requisitos:
- Deve ser granular: autorizar prontuário ≠ autorizar IA ≠ autorizar pesquisa
- Deve ser revogável: o paciente pode retirar a qualquer momento
- Deve ser documentado: registro com timestamp, IP, versão do termo
- Não pode ser condição de atendimento: recusar IA não impede a consulta
2. Tutela da saúde (Art. 11, II, f)
Tratamento necessário para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Aplica-se a:
- Prontuário eletrônico (registro do atendimento)
- Prescrições e receitas
- Encaminhamentos e interconsultas
- Notificações compulsórias (vigilância epidemiológica)
Atenção: esta base legal NÃO cobre automaticamente: análise de IA, compartilhamento com terceiros, marketing, ou pesquisa.
3. Obrigação legal/regulatória (Art. 11, II, a)
Quando o tratamento é exigido por lei ou regulamento. Exemplos:
- Retenção de prontuário por 20 anos (Resolução CFM 1.821/07)
- Fichas de notificação compulsória (Portaria MS 204/2016)
- Registros de imunização (PNI)
- Faturamento TISS para operadoras
Implementação técnica na BeansTech
Nas plataformas de saúde da BeansTech (dodr.ai, ExameTech, ProntuarioTech, portaldodentista.ai), implementamos as seguintes medidas técnicas:
Criptografia
- Em repouso: AES-256-GCM via Google Cloud KMS (chaves gerenciadas pelo cliente - CMEK)
- Em trânsito: TLS 1.3 obrigatório, HSTS com preload
- Em uso: Confidential Computing para processamento de IA (dados criptografados mesmo em memória)
Controle de acesso (RBAC + ABAC)
Papéis definidos por função clínica:
| Papel | Acesso |
|---|---|
| Médico responsável | Prontuário completo do paciente |
| Médico interconsultor | Apenas dados relevantes à interconsulta |
| Enfermeiro | Sinais vitais, medicações, anotações de enfermagem |
| Recepcionista | Dados cadastrais, agenda — sem dados clínicos |
| Administrador | Métricas agregadas, sem dados individuais |
| IA/Sistema | Dados anonimizados ou com consentimento específico |
Cada acesso gera log de auditoria imutável (quem, quando, o quê, por quê).
Anonimização e pseudonimização
Para uso em IA e pesquisa, aplicamos:
- Google Cloud DLP — detecção e remoção automática de 50+ tipos de informação pessoal (nome, CPF, CRM, endereço, telefone)
- k-anonimato (k ≥ 5) — garantia de que cada registro não identifica menos de 5 pessoas
- Differential privacy — ruído estatístico adicionado a queries agregadas
- Tokenização — substituição reversível (apenas com chave) de identificadores
Direito ao esquecimento vs. obrigação de retenção
A tensão entre o direito do paciente à exclusão (LGPD Art. 18, VI) e a obrigação de manter o prontuário por 20 anos (CFM 1.821/07) é resolvida assim:
- Dados clínicos — retidos por 20 anos com base legal regulatória, mas com acesso restrito
- Dados de marketing/CRM — excluídos em 72h mediante solicitação
- Dados de IA/analytics — anonimizados irreversivelmente (não são mais dados pessoais)
- Após 20 anos — exclusão automática via política de ciclo de vida do Cloud Storage
Checklist de conformidade para healthtechs
Se você está construindo ou operando uma healthtech no Brasil, verifique:
- DPO nomeado — com conhecimento em saúde digital e publicado no site
- RIPD elaborado — Relatório de Impacto à Proteção de Dados para IA
- Consentimento granular — separado por finalidade (atendimento, IA, pesquisa, marketing)
- Criptografia end-to-end — AES-256 em repouso, TLS 1.3 em trânsito
- Logs de auditoria — quem acessou, quando, o quê (imutável, 5 anos)
- Política de retenção — prazos definidos por tipo de dado
- Plano de resposta a incidentes — notificação ANPD em 72h
- Treinamento da equipe — todos que acessam dados sensíveis
- Contratos com terceiros — cláusulas LGPD com subprocessadores (GCP, labs, operadoras)
- Portabilidade — exportação em formato FHIR Bundle ou PDF/A
Como a BeansTech ajuda
Nossas plataformas de saúde já implementam todas essas medidas nativamente. Clínicas e hospitais que adotam dodr.ai, ExameTech ou ProntuarioTech herdam a conformidade LGPD sem precisar construir do zero.
A infraestrutura compartilhada significa:
- Processamento exclusivo na região southamerica-east1 (São Paulo)
- Google Cloud com certificações SOC 2, ISO 27001, ISO 27701
- DLP automatizado em toda entrada de dados
- Consentimento gerenciado com versionamento
- Portal de direitos do titular (acesso, correção, exclusão)
Precisa adequar sua clínica à LGPD? Entre em contato para uma avaliação gratuita de conformidade.