LGPD completa 8 anos: hospitais e clínicas precisam agir agora

Em 14 de agosto de 2026, a Lei Geral de Proteção de Dados Pessoais (LGPD) completou oito anos. Publicada em 2018, a Lei nº 13.709 estabeleceu no Brasil regras para o tratamento de dados pessoais e mudou a forma como empresas e instituições públicas e privadas precisam lidar com informações de clientes, pacientes, funcionários e parceiros. Consulte a íntegra da LGPD no Portal da Legislação

Oito anos depois, a discussão já não é apenas sobre privacidade. Para hospitais, clínicas, laboratórios e outras instituições de saúde, proteger dados passou a ser também uma questão de segurança, continuidade da operação e confiança do paciente. Isso acontece porque poucas áreas concentram informações tão sensíveis quanto à saúde..

Quais dados precisam de proteção?

No cotidiano de um hospital ou clínica, uma única pessoa pode ter dezenas de informações registradas em diferentes etapas do atendimento, como:

• Dados de identificação e cadastro;
• Prontuário eletrônico;
• Histórico médico;
• Resultados de exames;
• Diagnósticos;
• Prescrições e medicamentos;
• Informações sobre consultas, internações e procedimentos;
• Dados de convênios e faturamento.

A LGPD classifica informações referentes à saúde como dados pessoais sensíveis, submetidos a regras específicas de proteção. O Ministério da Saúde mantém uma área dedicada à aplicação da legislação no setor e à proteção dos dados pessoais tratados em suas atividades. Confira as orientações do Ministério da Saúde sobre a LGPD.

Por isso, uma instituição precisa saber como os dados são coletados, utilizados, armazenados, compartilhados e protegidos durante todo o seu ciclo de vida.

Caso que mostrou o tamanho do problema

Um dos episódios mais emblemáticos dos últimos anos envolvendo coleta de dados pessoais aconteceu justamente no setor farmacêutico. Em junho de 2026, a Justiça do Maranhão condenou uma rede de farmácias a pagar milhões de reais por danos morais coletivos e determinou que a empresa não condicionasse descontos ao fornecimento de CPF ou outros dados pessoais dos consumidores. A decisão teve repercussão nacional.

O caso mostra que a discussão sobre proteção de dados não está restrita a grandes ataques hackers. Ela também envolve uma pergunta aparentemente simples: Por que uma empresa precisa daquela informação e o que fará com ela?

Para hospitais e clínicas, a questão é ainda mais relevante. Uma instituição precisa saber quem pode acessar determinado dado, por quanto tempo ele será armazenado, qual é a finalidade do tratamento e como agir diante de um incidente. A proteção de dados, portanto, começa muito antes de um eventual vazamento.

Não existe risco zero na segurança de dados 

Quando o assunto é segurança da informação, existe uma premissa importante: não existe risco zero. Nenhuma tecnologia, sistema ou instituição está completamente imune a incidentes. O que diferencia uma operação madura de uma vulnerável é a capacidade de identificar riscos, estabelecer fluxos seguros para o tratamento dos dados e adotar medidas técnicas e administrativas capazes de reduzir a probabilidade e o impacto de ocorrências.

Na saúde, essa responsabilidade é ainda maior. As informações precisam circular entre diferentes profissionais e áreas para que o atendimento aconteça, mas esse fluxo deve ser controlado. Proteger dados envolve:

• Controle de acesso e permissões conforme a função de cada usuário;
• Rastreabilidade e trilhas de auditoria;
• Criptografia e proteção da infraestrutura;
• Backups e mecanismos de continuidade;
• Monitoramento e resposta a incidentes.

Ou seja, não basta impedir que alguém de fora entre no sistema. Também é necessário controlar o que acontece dentro dele. Esse trabalho envolve áreas como Jurídico, Segurança da Informação e Tecnologia da Informação, que precisam atuar de forma integrada.

Acesso, auditoria e infraestrutura

Em uma instituição de saúde, diferentes profissionais precisam de diferentes informações. O médico precisa dos dados clínicos necessários ao atendimento; o setor administrativo trabalha com informações cadastrais; o financeiro, com dados de faturamento; e a farmácia, com informações relacionadas à dispensação de medicamentos.

O princípio é que cada usuário deve ter acesso ao que precisa para exercer sua função. Por isso, sistemas de gestão hospitalar precisam oferecer mecanismos de controle de acesso, permissões por perfil e rastreabilidade.

A auditoria também é fundamental. Quando ocorre uma alteração em um prontuário, a instituição precisa conseguir responder:

• Quando ocorreu o acesso?
• Qual informação foi consultada?
• O que foi alterado?
• Qual usuário realizou a ação?

A própria LGPD estabelece que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas capazes de proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. No caso dos dados de saúde, classificados como sensíveis pela legislação, essa responsabilidade ganha ainda mais peso.

A proteção também depende da infraestrutura. Criptografia, redundância, logs, backups e mecanismos de resposta a incidentes formam camadas complementares de segurança. Por isso, sistemas de gestão hospitalar precisam incorporar esses recursos à sua arquitetura, e não tratá-los como funcionalidades secundárias.

É nesse contexto que o ERP Datasigh Web se apresenta como uma solução voltada à gestão em saúde. A plataforma utiliza infraestrutura AWS com redundância geográfica, criptografia de dados e auditoria de acessos e alterações. Além disso, o sistema tem aderência às diretrizes da NGS2 da SBIS e oferece recursos voltados à proteção de informações sensíveis.

Essa estrutura contribui para que hospitais e clínicas tenham mais controle sobre o ciclo de vida das informações, desde o acesso pelos profissionais até o registro das operações realizadas no sistema.

LGPD entrou em uma nova fase

Durante os primeiros anos da LGPD, muitas empresas encararam a adequação como um processo gradual. O pensamento era, em grande medida, de orientação: entender a legislação, estruturar processos, revisar políticas e criar mecanismos para atender às novas exigências.

Em 2026, porém, esse cenário mudou. A tendência deixa de ser “vamos esperar sua instituição se ajustar” e caminha para “vamos atuar sobre quem não se adequou”.

A Autoridade Nacional de Proteção de Dados (ANPD) vem ampliando sua atuação regulatória e fiscalizatória, com regulamentações, processos de fiscalização e aplicação de sanções.

Para hospitais e clínicas, essa mudança é especialmente relevante. Essas organizações tratam diariamente dados pessoais sensíveis e precisam demonstrar não apenas que possuem políticas, mas que adotam medidas técnicas e administrativas efetivas para protegê-los.

Esperar um incidente para organizar a segurança pode ser uma estratégia cara e arriscada. A instituição precisa se antecipar, conhecer os fluxos de tratamento de dados, identificar vulnerabilidades, controlar acessos, manter registros, preparar respostas a incidentes e utilizar tecnologias capazes de incorporar segurança à própria operação.

A pergunta deixou de ser apenas: “Estamos nos adequando à LGPD?”. Passou a ser: “Se a fiscalização olhar hoje para a forma como tratamos os dados dos nossos pacientes, conseguimos demonstrar que estamos fazendo o necessário para protegê-los?”

Segurança integrada à gestão em saúde com Datasigh Web

O Datasigh Web é uma plataforma de gestão para instituições de saúde que integra áreas clínicas, administrativas e financeiras em um ambiente 100% web. Além do prontuário eletrônico, reúne recursos para agendamento, farmácia, estoque, faturamento, financeiro e indicadores, reduzindo controles paralelos e bases desconectadas.

Na segurança e proteção de dados, oferece:

• Controle de acessos e permissões por perfil e função;
• Rastreabilidade e auditoria de acessos e alterações;
• Criptografia e infraestrutura AWS com redundância geográfica;
• Recursos voltados à LGPD e aderência às diretrizes da NGS2 da SBIS;
• Assinatura digital ICP-Brasil para documentos que exigem autenticidade e validade jurídica.

Como healthtech brasileira, a Datasigh conhece os processos envolvidos no tratamento de dados nas instituições de saúde e desenvolve sua tecnologia considerando as diferentes etapas desse fluxo. Assim, os recursos de segurança são integrados às operações clínicas, administrativas e financeiras, equilibrando proteção e disponibilidade das informações para os profissionais autorizados.

A proposta não é prometer risco zero, mas oferecer uma infraestrutura capaz de mitigar riscos, reduzir vulnerabilidades, controlar acessos e proteger dados pessoais e sensíveis.

Essa abordagem considera que segurança não é uma camada isolada do sistema. Ela precisa estar presente nos processos, nas permissões, na infraestrutura, na gestão dos usuários e na circulação das informações.

Para hospitais e clínicas, isso representa contar com um ambiente mais controlado e confiável para o tratamento de dados, contribuindo para que cada profissional tenha acesso às informações necessárias ao atendimento, enquanto a instituição mantém mecanismos de proteção.

Após oito anos de LGPD, segurança de dados já não é uma preocupação futura. É uma questão de gestão, responsabilidade e qualidade no atendimento.

A tecnologia utilizada pela sua instituição está preparada para proteger os dados das pessoas que confiaram sua saúde a ela? Converse com um consultor Datasigh e conheça a plataforma.

• Instagram
• Facebook
• LinkedIn
• Youtube

Perguntas frequentes sobre LGPD na saúde

1. A LGPD se aplica a clínicas de pequeno porte?
Sim. A LGPD se aplica a pessoas físicas e jurídicas que realizam tratamento de dados pessoais, independentemente do porte da instituição. Clínicas menores também precisam adotar medidas compatíveis com os riscos e com a natureza dos dados que tratam.

2. O paciente pode solicitar informações sobre o uso de seus dados?
Sim. A LGPD garante ao titular direitos relacionados aos seus dados pessoais, incluindo informações sobre o tratamento realizado e, em determinadas situações, acesso aos próprios dados. A instituição deve estabelecer procedimentos para receber e responder a essas solicitações.

3. Quem é responsável pelos dados pessoais dentro de uma instituição de saúde?
A responsabilidade envolve diferentes agentes e funções. A instituição que determina as finalidades e os meios do tratamento atua como controladora, enquanto fornecedores que tratam dados em seu nome podem atuar como operadores. Por isso, contratos, processos internos e definição clara de responsabilidades são fundamentais para a governança de dados.