Durante anos, a Lei Geral de Proteção de Dados (LGPD) foi tratada por muitas instituições de saúde como uma norma sem consequências práticas. Essa percepção acabou. A Autoridade Nacional de Proteção de Dados (ANPD) mudou de patamar e colocou o setor de saúde no centro da sua agenda de fiscalização.
Para hospitais, clínicas e laboratórios, isso significa uma coisa simples: o tempo de se preparar é agora, antes que a fiscalização chegue.
O que mudou na ANPD
Três movimentos recentes transformaram o cenário regulatório:
A ANPD deixou de ser um órgão com estrutura reduzida e se tornou uma agência reguladora, com autonomia técnica, decisória, administrativa e orçamento próprio. Isso lhe deu capacidade real de fiscalizar e punir.
A agência passou a publicar um painel público de fiscalização, no qual os processos em andamento ficam visíveis. Na prática, um cliente, um concorrente ou um jornalista consegue ver que uma instituição está sendo investigada antes mesmo de qualquer decisão. O dano à reputação começa muito antes da multa.
E a fiscalização deixou de ser apenas reativa, caso a caso. A ANPD passou a investigar setores inteiros de uma só vez, a partir de temas prioritários definidos publicamente.
Por que a saúde está na mira
No documento que define as prioridades de fiscalização para o biênio, a ANPD listou de forma explícita os setores que serão observados de perto. A saúde é um deles, abrangendo clínicas médicas, odontológicas, laboratórios, planos de saúde e telemedicina.
A razão é direta. Dados de saúde são classificados pela LGPD como dados pessoais sensíveis, a categoria que exige o nível mais alto de proteção. Prontuários, exames, diagnósticos e histórico clínico circulam por toda a cadeia assistencial, do agendamento ao faturamento, da telemedicina à troca com laboratórios de apoio. É justamente esse perfil de alto risco que a agência decidiu priorizar.
A régua subiu
Um ponto importante é que a ANPD sinalizou que vai avaliar a efetividade das práticas, não apenas a existência formal de políticas e documentos. Ter uma política de privacidade guardada numa gaveta digital não basta. A instituição precisa demonstrar que a proteção de dados funciona na rotina.
Outro detalhe que costuma passar despercebido: uma multa é aplicada por infração, não por processo. Um único incidente pode gerar várias infrações somadas: falta de encarregado de dados, base legal inadequada, vazamento e não notificação podem se transformar em quatro penalidades diferentes, cada uma com teto de até 2% do faturamento, limitado a R$ 50 milhões.
O que fazer antes da fiscalização chegar
A recomendação técnica é tratar o segundo semestre de 2026 como uma janela de prontidão. Isso envolve, na prática:
Revisar o mapeamento de dados e o registro das operações de tratamento, entendendo quais dados são coletados, onde ficam armazenados, quem tem acesso e com qual finalidade.
Reavaliar as bases legais de cada fluxo clínico e produzir os relatórios de impacto (RIPD) das operações de maior risco.
Testar o plano de resposta a incidentes contra o prazo legal de três dias úteis para comunicação à ANPD.
Revisar os contratos com fornecedores, laboratórios de apoio e plataformas de telessaúde, garantindo cláusulas claras de segurança e finalidade.
E, sobretudo, garantir que exista um encarregado de dados nomeado, acessível e com autoridade real dentro da organização.
O ponto de partida
Preparar uma instituição de saúde para esse cenário exige método. A combinação entre uma análise de maturidade, a organização das evidências e um acompanhamento contínuo é o que transforma uma exigência regulatória em rotina sustentável.
Na E2C, ajudamos hospitais, clínicas e laboratórios a percorrer exatamente esse caminho, do diagnóstico técnico à conformidade documentada, com respaldo jurídico especializado em saúde. Se a sua instituição ainda não sabe onde está exposta, o primeiro passo é um diagnóstico.
Este conteúdo tem caráter informativo e não substitui a análise individualizada de cada caso.