A lei de proteção de dados do paciente no Brasil é a Lei Geral de Proteção de Dados Pessoais, a LGPD (Lei nº 13.709/2018). Ela classifica qualquer informação sobre a sua saúde como dado pessoal sensível. Isso inclui diagnósticos, exames, receitas, prontuário, histórico de internações e até o simples fato de você ter passado por uma consulta. Hospitais, clínicas, laboratórios, farmácias, operadoras de planos de saúde e o próprio SUS só podem usar esses dados em situações previstas na lei. Também precisam protegê-los e dizer a você, quando pedir, o que fazem com eles. Essas regras somam-se ao sigilo profissional que médicos e outros profissionais de saúde já tinham que respeitar.
A seguir você vê quais são seus direitos na prática, como pedir acesso às suas informações, onde a lei costuma ser desrespeitada e o que fazer se houver vazamento ou uso indevido.
Por que os dados de saúde recebem proteção especial
A LGPD separa os dados pessoais comuns, como nome, endereço e CPF, de um grupo considerado sensível. Nesse grupo entram dados de saúde, genéticos, biométricos e sobre vida sexual, entre outros. O motivo é simples: se essas informações vazarem ou forem mal usadas, a pessoa pode sofrer discriminação no trabalho, constrangimento social, recusa de serviços ou golpes.
Por isso as regras para dados sensíveis são mais rígidas. Na maior parte dos casos, quem trata esse tipo de informação precisa de uma base legal específica, deve usar os dados apenas para a finalidade informada e tem de adotar medidas de segurança proporcionais ao risco.
O que conta como dado de saúde
- Prontuário médico, odontológico, psicológico ou de qualquer outra área da saúde;
- Resultados de exames laboratoriais e de imagem;
- Receitas, laudos, atestados e relatórios;
- Histórico de medicamentos comprados ou dispensados;
- Registros de vacinação e de atendimentos no SUS;
- Informações de aplicativos e dispositivos de saúde, como frequência cardíaca, ciclo menstrual ou glicemia;
- Guias de autorização, pedidos de reembolso e demais registros de uso do plano de saúde.
Quando o serviço de saúde pode usar seus dados sem pedir consentimento
Muita gente acha que a LGPD exige assinar um termo de consentimento para tudo. Não é assim. A lei prevê várias situações em que o dado sensível pode ser tratado sem consentimento. Na área da saúde, as mais comuns são:
- Tutela da saúde: procedimentos feitos por profissionais de saúde, serviços de saúde ou autoridade sanitária. É o que permite ao hospital registrar seu atendimento no prontuário;
- Proteção da vida: em uma emergência, a equipe pode acessar e compartilhar informações para salvar o paciente;
- Cumprimento de obrigação legal ou regulatória: notificação compulsória de doenças, guarda do prontuário pelo prazo exigido e envio de informações a órgãos reguladores;
- Políticas públicas: uso pela administração pública, como no SUS, para executar programas de saúde;
- Estudos por órgão de pesquisa: com anonimização dos dados sempre que possível;
- Exercício regular de direitos: em processos judiciais ou administrativos.
Fora dessas hipóteses, o caminho costuma ser o consentimento específico e destacado, dado para uma finalidade clara. Um exemplo é autorizar o uso do seu histórico para receber ofertas de um programa de fidelidade. Esse consentimento pode ser revogado a qualquer momento.
Seus direitos como titular dos dados
A LGPD dá ao titular, que é você, um conjunto de direitos que valem para qualquer instituição que trate seus dados, pública ou privada. Na prática da saúde, eles funcionam assim:
| Direito | O que significa na saúde |
|---|---|
| Confirmação e acesso | Saber se a clínica, o hospital ou o plano tem dados seus e receber cópia deles |
| Correção | Pedir ajuste de dados incompletos, inexatos ou desatualizados, como alergias, contato ou nome social |
| Informação sobre compartilhamento | Saber com quais empresas ou órgãos seus dados foram compartilhados |
| Anonimização, bloqueio ou eliminação | Pedir a exclusão de dados desnecessários ou tratados em desacordo com a lei |
| Revogação do consentimento | Retirar uma autorização dada antes, como para marketing ou programas de desconto |
| Portabilidade | Solicitar a transferência de dados a outro fornecedor, conforme regulamentação |
| Revisão de decisões automatizadas | Pedir revisão de decisões tomadas só por sistemas, como análises automáticas de risco |
Uma ressalva importante sobre o prontuário
Pedir a eliminação de dados não apaga o prontuário. As normas do Conselho Federal de Medicina e a Lei nº 13.787/2018, que trata da digitalização de prontuários, exigem que ele seja guardado por um prazo mínimo, em regra de 20 anos a partir do último registro. Isso é uma obrigação legal, e por isso o direito à eliminação não se aplica a ele enquanto o prazo estiver correndo. Já o direito de acesso e cópia do prontuário é garantido ao paciente, e também a representantes legais ou familiares nas situações previstas nas normas éticas.
Como pedir acesso ou correção dos seus dados: passo a passo
Se você quer saber o que uma instituição de saúde guarda sobre você, ou pedir uma correção, o processo costuma ser simples.
Como exercer seus direitos sobre dados de saúde
1. Encontre o canal
Procure na política de privacidade o contato do encarregado de dados (DPO).
2. Faça o pedido por escrito
Identifique-se, diga qual direito quer exercer e guarde o comprovante.
3. Acompanhe o prazo
A declaração completa de acesso deve sair em até 15 dias do pedido.
4. Escale se preciso
Sem resposta, procure a ANPD, o Procon, a ANS ou a ouvidoria do SUS.
- Localize o encarregado. Toda instituição que trata dados pessoais deve indicar um encarregado pela proteção de dados, também chamado de DPO, e divulgar o contato dele, normalmente no site ou na política de privacidade. No SUS, o pedido pode ser feito pelo canal da secretaria de saúde ou pela ouvidoria.
- Formalize o pedido. Use e-mail, formulário ou requerimento protocolado. Informe nome completo, CPF e o que você quer: cópia dos dados, correção, lista de compartilhamentos ou revogação de consentimento.
- Confirme a identidade. É normal que a instituição peça documento para comprovar que é você. Isso protege seus próprios dados.
- Observe o prazo. A LGPD prevê resposta imediata em formato simplificado ou, em até 15 dias, uma declaração clara e completa sobre os dados tratados.
- Guarde tudo. Protocolos, prints e e-mails servem de prova se você precisar recorrer depois.
Planos de saúde, farmácias e empregadores: onde surgem os problemas
Operadoras de planos de saúde
A LGPD tem uma regra específica para as operadoras. Elas não podem usar dados de saúde para seleção de riscos na contratação de qualquer modalidade de plano, nem na contratação ou exclusão de beneficiários. O tratamento de dados para autorizar procedimentos, pagar prestadores e cumprir as exigências da ANS continua permitido. O que a lei proíbe é usar seu histórico para dificultar a entrada no plano ou empurrar você para fora dele.
Farmácias e programas de desconto
Pedir o CPF no balcão em troca de desconto é prática comum. A LGPD não proíbe programas de fidelidade, mas exige transparência. A farmácia precisa informar com clareza para que usa seus dados, com quem compartilha e por quanto tempo guarda. A lei também proíbe, como regra, o compartilhamento de dados de saúde entre empresas com o objetivo de obter vantagem econômica. As exceções envolvem a própria prestação de serviços de saúde, a assistência farmacêutica e situações em benefício do titular. Você pode recusar o cadastro e pode revogar o consentimento depois.
Empregador e atestados
Pelas normas éticas da medicina, o código do diagnóstico (CID) só deve constar no atestado com autorização do paciente. O empregador recebe o atestado para justificar a ausência e deve tratar essa informação com sigilo, guardando-a apenas pelo tempo necessário e sem expor o conteúdo a colegas. Resultados de exames ocupacionais também são dados sensíveis e ficam sob a guarda do serviço de medicina do trabalho.
LGPD e sigilo médico: qual a diferença
As duas proteções se complementam, mas não são a mesma coisa.
- Sigilo profissional: é um dever ético e legal do profissional de saúde. Ele não pode revelar o que soube no atendimento, salvo por justa causa, dever legal ou autorização do paciente. A violação pode gerar processo no conselho de classe e até responsabilidade penal.
- LGPD: vale para a instituição como um todo e para todo o ciclo dos dados, da coleta ao descarte, passando por armazenamento, sistemas, compartilhamento e segurança. Atinge recepção, setor de TI, empresas terceirizadas e fornecedores de software.
Por isso um vazamento causado por falha em um sistema de agendamento pode ser um problema de LGPD mesmo que nenhum médico tenha quebrado o sigilo.
O que fazer em caso de vazamento ou uso indevido
Quando acontece um incidente de segurança que possa causar risco ou dano relevante aos titulares, a instituição deve comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os pacientes afetados. Se você desconfiar de vazamento, ou receber ligações e mensagens que mostram que alguém conhece seu diagnóstico, siga estes passos:
- Registre as evidências: prints, gravações, e-mails, data e horário dos contatos.
- Peça explicações por escrito ao encarregado de dados da instituição envolvida.
- Fique atento a golpes: criminosos usam dados de saúde para se passar por hospitais ou planos e pedir pagamentos. Confirme sempre pelos canais oficiais.
- Reclame nos órgãos competentes: ANPD para questões de proteção de dados, Procon para relações de consumo, ANS no caso de planos de saúde e ouvidoria do SUS para serviços públicos.
- Avalie a via judicial: exposição indevida de dados de saúde pode gerar pedido de indenização por danos morais e materiais. Converse com um advogado ou com a Defensoria Pública para analisar o seu caso.
A ANPD pode aplicar sanções que vão de advertência a multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Também pode determinar o bloqueio ou a eliminação dos dados envolvidos. Essas sanções administrativas não substituem o direito do paciente de buscar reparação na Justiça.
Erros comuns de pacientes (e como evitá-los)
- Enviar exames por aplicativo para qualquer número. Confirme se o contato é mesmo da clínica antes de mandar documentos.
- Aceitar termos sem ler. Em aplicativos de saúde e programas de farmácia, verifique para que os dados serão usados e se há compartilhamento com parceiros.
- Postar receitas e laudos nas redes. Fotos de documentos médicos costumam mostrar nome, CPF, número do cartão do plano e diagnóstico.
- Achar que nada pode ser feito. Pedir acesso e informações sobre compartilhamento é um direito gratuito, e a instituição tem obrigação de responder.
- Confundir eliminação com sumiço do prontuário. O prontuário tem prazo legal de guarda. O que se pode pedir é a eliminação de dados excedentes, como cadastros de marketing.
Perguntas frequentes
Qual é a lei de proteção de dados do paciente?
É a LGPD, Lei nº 13.709/2018. Ela trata dados de saúde como dados sensíveis, com regras mais rígidas. Essas regras se somam ao sigilo profissional previsto nos códigos de ética das profissões de saúde e às normas sobre prontuário.
O hospital precisa do meu consentimento para registrar meu atendimento?
Não. O registro no prontuário entra na hipótese de tutela da saúde e no cumprimento de obrigação legal. O consentimento é exigido para usos que fogem dessas finalidades, como marketing.
Posso pedir cópia do meu prontuário?
Sim. O paciente tem direito de acesso e cópia do próprio prontuário. Faça o pedido por escrito à instituição. Alguns serviços cobram apenas o custo de reprodução, e vale conferir a política do local e as orientações do conselho profissional.
A farmácia pode exigir meu CPF para vender o remédio?
Para conceder desconto em programa de fidelidade, a farmácia pode pedir o CPF, mas deve explicar a finalidade e o uso dos dados. Não informar o CPF não deveria impedir a compra pelo preço normal. Em caso de abuso, procure o Procon.
O plano de saúde pode usar meu histórico para negar a contratação?
A LGPD proíbe as operadoras de usar dados de saúde para seleção de riscos na contratação ou na exclusão de beneficiários. Regras específicas sobre doenças preexistentes seguem as normas da ANS.
Familiares podem ter acesso às minhas informações de saúde?
Em regra, só com sua autorização ou nas situações previstas em lei e nas normas éticas, como representação legal de menores e incapazes ou casos de paciente falecido, conforme regras do conselho profissional. Na dúvida, registre por escrito quem pode receber informações sobre você.
Conhecer a lei de proteção de dados do paciente ajuda a cobrar transparência de quem cuida da sua saúde. Diante de qualquer dúvida concreta sobre vazamento, recusa de acesso ou uso indevido de informações, procure orientação jurídica especializada ou a Defensoria Pública.
As informações publicadas têm caráter informativo e não substituem a orientação de advogado, defensor público ou profissional de saúde.
