1. O que é
A Lei 13.709/2018 trata dado de saúde como dado pessoal sensível, com regras mais restritas de tratamento.
2. Quem é obrigado
Toda organização que trata dado de paciente. Em um laboratório ou clínica isso alcança praticamente toda a operação: cadastro, agenda, prontuário, resultado, faturamento, comunicação com o paciente e troca com terceiros.
3. Prazo
A lei está em vigor desde 2020. O que mudou recentemente não foi a obrigação, foi a postura da autoridade.
4. O que exatamente é exigido
Três elementos estruturam a adequação de quem trata dado de saúde.
Encarregado ou canal de comunicação com o titular
O artigo 41 da LGPD trata da indicação do encarregado pelo controlador, e a Resolução CD/ANPD 18/2024 detalha sua atuação. A necessidade de indicação deve ser avaliada conforme o enquadramento do agente de tratamento e a regulamentação aplicável.
A Resolução CD/ANPD 2/2022 dispensa o agente de tratamento de pequeno porte de indicar encarregado (artigo 11), e quem não indicar deve manter um canal de comunicação com o titular. A dispensa não alcança o agente que realiza tratamento de alto risco (artigo 3º, inciso I). Pelo artigo 4º, alto risco exige ao menos um critério geral e um critério específico, e o uso de dado pessoal sensível, como o dado de saúde, está entre os critérios específicos. Para laboratórios e clínicas, o enquadramento precisa ser analisado caso a caso.
Registro das operações de tratamento
Finalidade, base legal e categoria do dado, com identificação do que é sensível.
Relatório de impacto
O artigo 38 da LGPD permite à ANPD determinar ao controlador a elaboração de relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente às suas operações de tratamento.
Regra específica que o setor precisa ler com atenção. O artigo 11, parágrafo 4º, veda como regra a comunicação ou o uso compartilhado de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, com ressalvas previstas na própria lei, entre elas a prestação de serviços de saúde e a portabilidade quando autorizada pelo titular. Modelo de negócio que envolve compartilhamento de base clínica precisa ser lido contra esse dispositivo.
5. Como o cumprimento é medido, e por quem
Pela ANPD. As Resoluções CD/ANPD 30/2025 e 31/2025, publicadas em dezembro de 2025, instituíram o Mapa de Temas Prioritários para o biênio 2026 e 2027 e atualizaram a Agenda Regulatória 2025 e 2026.
Dados de saúde estão entre as categorias priorizadas, ao lado de biométricos e financeiros, no eixo de direitos dos titulares. Analistas do setor leem o conjunto como uma transição da fase orientativa para a fase de responsabilização. Essa última frase é observação de mercado, não texto normativo.
Confira a íntegra das Resoluções 30 e 31 de 2025 antes de citar metas quantitativas de fiscalização: os números que circulam em publicações de mercado precisam ser confrontados com o texto e com as notas técnicas da própria ANPD.
6. Onde os erros podem aparecer
Encarregado indicado no papel, sem canal funcional para o titular. Política de privacidade publicada no site que descreve tratamentos que não existem, ou omite os que existem. Retenção indefinida: nada é descartado porque ninguém definiu prazo. Contrato com fornecedor que recebe dado de paciente sem cláusula de proteção. Base de marketing montada a partir de base assistencial.
7. A adequação em etapas
- Etapa 1. Listar onde há dado de paciente. Sistemas, planilhas, e-mails, aplicativos de mensagem, papéis. Tamanho: um a dois dias.
- Etapa 2. Para cada item, escrever finalidade e base legal. Uma linha cada. Tamanho: um dia.
- Etapa 3. Verificar encarregado ou canal do titular. Conforme o enquadramento, nome do encarregado ou canal de comunicação publicado, e se ele efetivamente responde. Tamanho: meio dia.
- Etapa 4. Definir prazo de retenção para um tipo de dado. Comece pelo mais volumoso. Tamanho: uma semana.
- Etapa 5. Revisar contratos com quem recebe dado de paciente. Laboratório de apoio, fornecedor de sistema, empresa de cobrança. Tamanho: contínuo, por contrato.
8. Por onde começar hoje
Liste os lugares onde existe dado de paciente na sua organização, incluindo os que não são sistemas.
Inclua planilhas, e-mails e conversas de aplicativo de mensagem, que ficam de fora quando o inventário é feito só a partir dos sistemas. Esse é o inventário sobre o qual todo o resto da adequação é construído.
Fontes
- Lei 13.709, de 14 de agosto de 2018.
- ANPD, Resolução CD/ANPD 2, de 27 de janeiro de 2022, artigos 3º, 4º e 11.
- ANPD, Resolução CD/ANPD 18/2024.
- ANPD, Resolução CD/ANPD 30/2025.
- ANPD, Resolução CD/ANPD 31/2025.
Antes de agir com base nesta página. Esta página trata da estrutura do dado. A leitura jurídica de um caso concreto é de advogado, e a Nexis não emite parecer sobre conformidade legal.