LGPD em hospitais: o que o prontuário eletrônico precisa ter

Dados de saúde são a categoria mais sensível prevista na Lei Geral de Proteção de Dados. Não é uma classificação arbitrária: dados clínicos revelam informações que podem expor o paciente a discriminação, constrangimento ou prejuízo caso sejam tratados de forma inadequada. O prontuário eletrônico é, dentro de um hospital, o sistema que mais toca esses dados, em volume e em profundidade. Isso torna a escolha e a operação desse sistema uma questão de conformidade legal direta, não apenas uma questão de tecnologia.

Para diretores e gestores hospitalares, entender o que a LGPD exige do prontuário eletrônico não é um exercício teórico. É um requisito prático que determina como o hospital se protege de incidentes, de investigações e, em última instância, de responsabilidade legal.

O que a LGPD classifica como dado sensível de saúde

O artigo 11 da LGPD estabelece um regime de tratamento diferenciado para os chamados dados sensíveis, categoria que inclui dados referentes à saúde. Esse tratamento diferenciado significa que as hipóteses que autorizam o uso desses dados são mais restritas do que as que se aplicam a dados pessoais comuns, e que as exigências de cuidado na guarda e no uso desses dados são proporcionalmente maiores.

Um ponto que costuma gerar confusão é o consentimento. Diferente do que muitos gestores assumem, o consentimento do paciente não é sempre necessário para o tratamento de dados de saúde dentro de um hospital. A própria lei prevê exceções para tratamento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária, quando esse tratamento é necessário para a execução de procedimentos por profissionais de saúde. Isso não elimina a responsabilidade do hospital, apenas muda a base legal sobre a qual o tratamento de dados ocorre.

É exatamente por isso que o hospital assume o papel de controlador dos dados tratados no prontuário eletrônico. Controlador, na linguagem da LGPD, é quem toma as decisões sobre o tratamento dos dados pessoais, e é sobre o controlador que recai a maior parte da responsabilidade legal em caso de uso indevido ou incidente de segurança.

O que o prontuário eletrônico precisa ter tecnicamente

Conformidade com a LGPD não é uma cláusula em um contrato. É um conjunto de características técnicas que precisam estar presentes na arquitetura do sistema, e que um gestor hospitalar deveria saber identificar antes de assinar qualquer contrato com um fornecedor.

Log de auditoria imutável

Todo acesso e toda alteração feita no prontuário precisa ser registrada de forma que não possa ser editada ou apagada posteriormente. Isso significa saber, para qualquer registro, quem acessou, o que foi feito e em que momento. Sem esse log, o hospital não tem como demonstrar, diante de uma investigação ou de uma reclamação do paciente, que o acesso aos dados foi adequado.

Autenticação forte

Um sistema que aceita apenas usuário e senha simples não oferece proteção suficiente para dados dessa sensibilidade. A autenticação de dois fatores deveria ser tratada como requisito obrigatório, não como funcionalidade opcional, porque é a barreira mais eficaz contra acesso indevido em caso de credenciais comprometidas.

Criptografia em trânsito e em repouso

Os dados precisam estar protegidos tanto enquanto se movem entre sistemas quanto enquanto estão armazenados. Um fornecedor que não consegue explicar com clareza como isso é implementado na própria arquitetura provavelmente não tratou a questão com a seriedade necessária.

Isolamento de dados entre instituições

Em sistemas que atendem mais de um hospital na mesma infraestrutura, é essencial que os dados de cada instituição sejam completamente isolados dos dados das demais. Nenhuma informação de um hospital deveria ser, em qualquer circunstância, acessível a partir de outro.

Controle de acesso por papel

Médico, enfermeiro e recepção precisam enxergar informações diferentes, de acordo com o que cada função efetivamente exige para realizar o trabalho. Esse princípio, chamado de acesso por papel, é uma das formas mais diretas de reduzir a exposição de dados sensíveis sem comprometer o cuidado clínico.

O contrato com o fornecedor e a divisão de responsabilidades

Na relação entre hospital e fornecedor de prontuário eletrônico, o fornecedor normalmente assume o papel de operador dos dados, enquanto o hospital permanece como controlador. Essa distinção parece técnica, mas tem consequências práticas diretas: o hospital continua sendo responsável pelo tratamento adequado dos dados mesmo quando o incidente de segurança se origina na infraestrutura do fornecedor.

Por isso, o contrato entre hospital e fornecedor deveria prever, de forma explícita, a finalidade do tratamento de dados, as medidas de segurança adotadas, a existência ou não de sub-operadores envolvidos no processamento dos dados e o procedimento exato a ser seguido em caso de incidente de segurança. Um contrato que trata esses pontos de forma genérica deixa o hospital exposto no momento em que precisa, de fato, exigir uma resposta do fornecedor.

Incidente de segurança: o que o hospital é obrigado a fazer

Quando ocorre um incidente que pode acarretar risco ou dano relevante aos titulares dos dados, a LGPD exige que o hospital comunique o fato à Autoridade Nacional de Proteção de Dados em prazo razoável, e que essa comunicação inclua a descrição da natureza dos dados afetados, as medidas técnicas adotadas para proteção dos dados e os riscos relacionados ao incidente.

Esse processo de comunicação depende diretamente da qualidade dos registros internos do hospital. É exatamente aqui que um log de auditoria robusto se torna mais do que uma exigência técnica: ele se torna a evidência que protege o hospital durante uma investigação, ao demonstrar exatamente o que aconteceu, quem teve acesso e quais medidas já estavam em vigor antes do incidente ocorrer.

Existe uma diferença prática entre ter a LGPD escrita no contrato e ter a LGPD incorporada na arquitetura do sistema. A primeira protege o fornecedor em uma negociação. A segunda protege o hospital no momento em que algo realmente acontece.

Como avaliar se o fornecedor está em conformidade

Antes de contratar qualquer prontuário eletrônico, é possível e recomendável submeter o fornecedor a um conjunto de perguntas concretas que revelam o nível real de maturidade em proteção de dados:

• Como funciona o log de auditoria, e é possível exportar esse log para uma investigação externa caso seja necessário?
• Quais sub-operadores ou parceiros têm acesso, mesmo que indireto, aos dados armazenados na plataforma?
• Existe documentação formal de segurança da informação que possa ser apresentada ao hospital e, se necessário, à própria ANPD?
• Qual é o procedimento exato em caso de incidente de segurança, e em quanto tempo o hospital seria notificado?

Um fornecedor maduro tem essas respostas prontas, normalmente documentadas. Um fornecedor que nunca parou para estruturar essas respostas, mesmo que o produto pareça funcionalmente completo, representa um risco de conformidade que tende a se manifestar exatamente no pior momento possível.

O hospital responde mesmo quando o problema é do fornecedor

É importante reforçar esse ponto porque ele costuma ser subestimado: a responsabilidade do hospital como controlador não desaparece quando o incidente tem origem técnica no lado do fornecedor. Essa é a razão pela qual a escolha do prontuário eletrônico não pode ser tratada apenas como uma decisão de tecnologia ou de orçamento. É também, e talvez principalmente, uma decisão de gestão de risco institucional.

Na prática, isso significa que o processo de seleção de um prontuário eletrônico deveria envolver, desde o início, não apenas a área de tecnologia do hospital, mas também a direção clínica e, sempre que possível, o encarregado de proteção de dados da instituição. Quanto mais cedo essas áreas participam da avaliação do fornecedor, menor a chance de assinar um contrato que pareça adequado no papel, mas que deixe o hospital exposto exatamente no ponto em que a proteção de dados deveria ser mais forte.