Profissionais e instituições de saúde manuseiam, todos os dias, a categoria mais delicada de informações previstas na legislação brasileira: os dados pessoais sensíveis. Estão nesse grupo o histórico clínico, resultados de exames, laudos genéticos, material biológico, orientação sexual, dados sobre saúde mental, entre outros. Diferentemente de um nome ou endereço, esses dados, se expostos, podem gerar discriminação, constrangimento e prejuízos irreversíveis ao titular.
Por isso, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) trata essa categoria com rigor especial. Enquanto dados comuns admitem dez bases legais para tratamento, os dados sensíveis contam com um rol mais restrito e específico. Compreender esse enquadramento não é burocracia: é o que separa uma operação regular de uma exposição a sanções administrativas e ações judiciais.
O Que a Lei Considera "Tratamento"
Antes de discutir as hipóteses permitidas, vale esclarecer o alcance do termo. "Tratamento" não se limita ao ato de coletar. Abrange qualquer operação com o dado: armazenar em prontuário eletrônico, transmitir a um laboratório parceiro, analisar para fechar diagnóstico, arquivar por prazo legal ou até descartar.
Em outras palavras, quando uma clínica salva o resultado de uma ressonância no sistema, envia o exame ao radiologista e depois compartilha o laudo com o paciente, cada uma dessas etapas configura tratamento de dado sensível e precisa estar amparada por uma base legal.
As Bases Legais Mais Frequentes na Rotina Médica
A LGPD só autoriza o tratamento de dados sensíveis quando a situação se encaixa em uma das hipóteses do artigo 11. Veja as que mais aparecem no dia a dia de médicos, clínicas e hospitais.
1. Consentimento específico e destacado
Aqui reside um dos erros mais comuns. O consentimento para tratamento de dados é diferente do consentimento para tratamento de saúde. O paciente pode autorizar uma cirurgia sem, com isso, autorizar que seus dados sejam usados para outras finalidades.
A lei exige que esse consentimento seja específico, destacado e voltado a finalidades determinadas. Uma cláusula genérica, escondida no meio de um contrato de adesão, é considerada nula.
Exemplo prático: incluir o código CID (Classificação Internacional de Doenças) em um atestado médico. Nessa situação, o consentimento do paciente costuma ser a única base legal válida, pois revela o diagnóstico a terceiros como o empregador.
2. Cumprimento de obrigação legal ou regulatória
Há dados que o profissional é obrigado a tratar por força de lei ou de norma do Conselho Federal de Medicina. O melhor exemplo é a abertura e a guarda do prontuário: manter esse registro pelo prazo regulamentar é uma imposição legal, não uma escolha. Nesses casos, não se exige consentimento.
3. Exercício regular de direitos
Quando um médico é acionado judicialmente por um paciente, precisa de acesso ao prontuário e a documentos clínicos para exercer seu direito de defesa. Compartilhar essas informações com o advogado e apresentá-las em juízo encontra amparo nessa base legal, ainda que o paciente não autorize.
4. Tutela da saúde
Prevista para procedimentos realizados por profissionais de saúde ou serviços médicos, essa base sustenta boa parte da atividade assistencial. Analisar exames para chegar a um diagnóstico, ajustar uma prescrição, acompanhar a evolução de um quadro — tudo isso é tratamento de dado sensível em benefício direto da saúde do paciente.
5. Proteção da vida ou da incolumidade física
Aplica-se quando há risco concreto à vida ou à integridade do titular ou de terceiros. Imagine o médico do trabalho que identifica em um funcionário uma doença infectocontagiosa capaz de comprometer a saúde de toda a equipe. O silêncio, nesse cenário, colocaria outras pessoas em perigo, e a comunicação passa a ter respaldo legal.
Por Que o Mapeamento de Dados é Indispensável
Saber que existem bases legais não basta. O controlador — seja o hospital, a clínica ou o médico autônomo — precisa saber quais dados entram, circulam e saem da instituição, e associar cada fluxo a uma finalidade e a uma base legal correspondente.
Um hospital de médio porte pode movimentar milhares de registros por dia entre recepção, laboratório, farmácia, faturamento e convênios. Sem um mapeamento estruturado, é comum descobrir que:
- Dados de pacientes são compartilhados com operadoras de plano de saúde sem base definida;
- Fotografias clínicas circulam em grupos de mensagens sem qualquer autorização;
- Prontuários antigos são mantidos além do prazo legal, ampliando o risco em caso de vazamento.
Considere o impacto financeiro: a ANPD pode aplicar multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração. Para uma clínica com faturamento anual de R$ 10 milhões, isso representa até R$ 200 mil por ocorrência — sem contar indenizações individuais movidas por pacientes lesados.
Conformidade Como Estratégia de Proteção
Adequar-se à LGPD vai além de evitar penalidades. Um programa de governança de dados bem estruturado protege a reputação da instituição, reduz litígios e transmite segurança ao paciente, que cada vez mais valoriza o cuidado com suas informações.
Esse trabalho exige análise técnica e precisa. Identificar a base legal correta para cada operação demanda domínio simultâneo da Lei Geral de Proteção de Dados e das particularidades do Direito Médico e da Saúde — áreas que se entrelaçam e não admitem soluções genéricas de prateleira.
O escritório Trad & Cavalcanti Advogados, com atuação nacional em Direito Médico desde 2009, auxilia profissionais e instituições de saúde no mapeamento de dados, na definição das bases legais e na construção de programas de conformidade sob medida. Se sua clínica ou hospital ainda não revisou esses processos, vale a pena conversar com nossa equipe.
Fale diretamente com um sócio
A primeira conversa é sem custo. Conte sua situação e entenda o que o direito pode fazer por você.