LGPD na saúde: 5 medidas que evitam quase todas as sanções da ANPD

Esta é, ao mesmo tempo, a falha mais simples de corrigir e uma das mais punidas. A LGPD exige que a instituição indique um encarregado pelo tratamento de dados pessoais, o chamado DPO, e disponibilize seu canal de contato de forma acessível, tipicamente no site.

A ANPD já notificou dezenas de organizações justamente pela ausência de encarregado e de canal de atendimento aos titulares. É um requisito que não exige tecnologia nem grande investimento, apenas organização, e a sua falta é interpretada como sinal de que a instituição não leva a proteção de dados a sério.

A regulamentação da ANPD fixa o prazo de três dias úteis para comunicar um incidente de segurança relevante à agência e aos titulares. Esse prazo só é cumprível se existir, antes do incidente, um processo definido: quem é acionado, em que ordem, como se avalia o que foi afetado e como se estrutura a comunicação.

Foi exatamente a falha nessa etapa, a comunicação insuficiente do incidente, que gerou os casos mais graves no setor de saúde. Ter o plano pronto e testado é o que separa uma crise administrável de um processo sancionatório.

A LGPD exige o registro das operações de tratamento de dados. Na prática, isso significa saber, a qualquer momento, quais dados a instituição coleta, onde eles ficam, quem tem acesso e com qual finalidade.

Na saúde, esse mapeamento é especialmente importante porque a informação é o ativo central da operação. Prontuário eletrônico, agenda, faturamento, telemedicina e a troca com laboratórios de apoio movimentam dados de alto risco o tempo todo. Sem um mapa atualizado, é impossível demonstrar conformidade, e impossível reagir bem a um incidente.

A LGPD responsabiliza a instituição de saúde pelas operações executadas por seus fornecedores. Se um laboratório de apoio, uma plataforma de telessaúde ou um sistema de prontuário sofre uma falha, a responsabilidade recai também sobre quem contratou o serviço.

Por isso, os contratos com todos os prestadores que acessam dados de pacientes precisam refletir obrigações claras de segurança, finalidade e eliminação de dados. Revisar esses contratos é uma das formas mais eficazes, e mais negligenciadas, de reduzir risco.

Colaboradores que entendem suas responsabilidades e sabem como agir diante de uma situação suspeita são a primeira linha de defesa contra incidentes. Uma recepcionista que reconhece uma tentativa de golpe, um profissional que sabe que não deve enviar exames por canais inseguros: esses comportamentos evitam a maioria dos incidentes.

A ANPD considera o treinamento das equipes como evidência de boas práticas na hora de avaliar a dosimetria de uma eventual sanção. Ou seja: investir em conscientização não só previne incidentes, como também reduz a penalidade caso algo aconteça.

Nenhuma delas depende de tecnologia de ponta ou de grandes orçamentos. Todas dependem de método, organização e continuidade. E é aí que muitas instituições falham, não por falta de intenção, mas por falta de estrutura para manter tudo isso vivo ao longo do tempo.

Na E2C, ajudamos instituições de saúde a implementar essas cinco medidas de forma integrada, do diagnóstico inicial à documentação completa, com respaldo jurídico especializado, e a mantê-las funcionando através da nossa plataforma de gestão contínua.

Conformidade não é um evento pontual. É uma prática que se sustenta.