Conformidade HDS para dados de saúde: guia para associações e ONGs

As associações beneficentes, as ONGs humanitárias, as estruturas médico-sociais sem fins lucrativos compartilham um ponto comum frequentemente subestimado: a partir do momento em que tratam ou armazenam dados de saúde de caráter pessoal, elas se inserem no marco legal do armazenamento de dados de saúde (HDS). Porém, este setor acumula um atraso estrutural em matéria de conformidade, por falta de recursos internos dedicados e sensibilização insuficiente. Este artigo o guia passo a passo para compreender o que implica a certificação HDS, identificar suas obrigações reais e ativar uma conformidade operacional — mesmo com uma equipe de TI limitada.

O que é certificação HDS e por que as associações estão envolvidas?

A definição legal dos dados de saúde

No sentido do RGPD (artigo 4, §15), os dados de saúde são dados de caráter pessoal relacionados à saúde física ou mental de uma pessoa, revelando informações sobre seu estado de saúde. Esta definição é intencionalmente ampla. Ela cobre não apenas os prontuários médicos no sentido clínico, mas também:

• Os dados de beneficiários coletados durante campanhas de rastreamento
• As informações sobre deficiências declaradas em processos de assistência social
• Os dados nutricionais ou de saúde mental coletados em um contexto de acompanhamento psicossocial
• Os resultados de testes ou avaliações médicas no âmbito de programas humanitários

Uma associação de luta contra vícios, uma rede de apoio a pessoas idosas dependentes ou uma ONG que gerencia consultas médicas de campo coletam todas dados que se enquadram nesta categoria.

O dispositivo HDS: obrigação legal, não opção

A lei nº 2016-41 de 26 de janeiro de 2016 (lei de modernização do sistema de saúde) estabeleceu a obrigação de armazenamento certificado HDS para toda entidade que armazena dados de saúde de caráter pessoal para terceiros — incluindo associações e ONGs. O referencial de certificação, definido pelo decreto nº 2018-137 de 26 de fevereiro de 2018, especifica as atividades cobertas e os requisitos técnicos e organizacionais a satisfazer.

Contrariamente a uma ideia equivocada, a isenção não se aplica apenas pelo fato de ser uma estrutura sem fins lucrativos. O que importa é a natureza dos dados tratados e o fato de o armazenamento ser realizado para terceiros (um médico, um paciente, uma estrutura parceira).

As seis atividades HDS e seu escopo para estruturas associativas

A certificação HDS cobre seis atividades distintas, organizadas em dois blocos:

Bloco de infraestrutura (atividades 1 a 3)

• Atividade 1: A disponibilização e manutenção em condição operacional dos locais físicos (datacenters)
• Atividade 2: A disponibilização e manutenção em condição operacional da infraestrutura de hardware
• Atividade 3: A disponibilização e manutenção em condição operacional da infraestrutura virtual

Bloco de software e serviços gerenciados (atividades 4 a 6)

• Atividade 4: A disponibilização e manutenção em condição operacional da plataforma de hospedagem de aplicações
• Atividade 5: A administração e exploração do sistema de informação de saúde
• Atividade 6: O backup externo dos dados de saúde

Para uma associação, as atividades mais frequentemente envolvidas são as atividades 4 a 6, particularmente quando ela utiliza uma solução SaaS de terceiros para gerenciar seus prontuários de beneficiários ou quando externaliza o backup de suas bases de dados. É portanto essencial verificar que todo prestador SaaS ou cloud que manipule seus dados de saúde esteja bem certificado HDS para as atividades correspondentes.

Neste contexto, o recurso a uma solução de assinatura eletrônica no setor de saúde certificada HDS permite proteger os fluxos documentais sensíveis — consentimentos informados, formulários de admissão, receitas desmaterializadas — sem expor a associação a um risco de não conformidade.

Como ativar concretamente a conformidade HDS em sua associação?

Etapa 1: Mapear seus tratamentos de dados de saúde

Antes de qualquer ação técnica, é necessário realizar um inventário preciso de todos os tratamentos envolvendo dados de saúde. Este exercício se inscreve diretamente na obrigação de manutenção do registro de tratamentos prevista pelo artigo 30 do RGPD.

Para cada tratamento, documente:

• A natureza dos dados coletados (categoria especial no sentido do RGPD)
• As finalidades do tratamento
• Os destinatários e subcontratados
• Os meios de armazenamento (servidor interno, cloud, SaaS)
• As medidas de segurança em vigor

Este mapeamento permite identificar rapidamente as áreas de risco e os prestadores a auditar.

Etapa 2: Auditar seus prestadores e exigir a certificação

A certificação HDS é emitida por organismos acreditados pelo COFRAC (Comitê Francês de Acreditação). Você pode verificar o status de certificação de um armazenador no site da ANS (Agência Digital de Saúde), que mantém uma lista pública de armazenadores certificados HDS.

Exija sistematicamente de seus prestadores:

• Uma cópia do certificado HDS em vigência
• O perímetro exato das atividades cobertas
• As condições contratuais específicas para a proteção de dados de saúde

Não se contente com uma declaração de intenção: a certificação deve ser verificável e atualizada.

Etapa 3: Atualizar seus contratos e DPA

O artigo 28 do RGPD impõe a conclusão de um Data Processing Agreement (DPA) com todo subcontratado que processa dados pessoais em seu nome. No contexto HDS, este DPA deve ser complementado por cláusulas específicas cobrindo:

• Os compromissos de confidencialidade reforçada
• As obrigações de notificação de incidente em 72 horas
• As condições de devolução e eliminação dos dados
• A localização dos dados (obrigatoriamente no território do EEE ou em um país beneficiário de uma decisão de adequação)

Algumas associações ainda usam formulários em papel para coletar o consentimento de seus beneficiários. A desmaterialização destes processos por meio de uma solução de assinatura eletrônica em conformidade permite colocar data e hora e autenticar os consentimentos, produzindo uma prova juridicamente oponível.

Etapa 4: Treinar suas equipes e designar um referente de conformidade

A conformidade HDS não é um projeto pontual: é um processo contínuo. Designe um referente interno (que pode ser seu DPO se você tiver um, conforme a obrigação prevista no artigo 37 do RGPD para as organizações que tratam dados de saúde em grande escala) e programe sessões regulares de sensibilização para as equipes em contato com dados sensíveis.

Segundo um estudo publicado pela CNIL em 2024, mais de 60% das violações de dados de saúde notificadas envolviam erro humano (envio para destinatário errado, falta de criptografia). O treinamento é portanto um alavanca de redução de risco tão importante quanto as medidas técnicas.

Questões específicas do setor associativo: recursos limitados e restrições orçamentárias

O paradoxo do dado sensível e do orçamento restrito

Associações e ONGs se encontram em uma posição particular: frequentemente gerenciam dados entre os mais sensíveis (estado de saúde de pessoas vulneráveis, refugiados, menores desacompanhados) com meios humanos e financeiros muito inferiores aos do setor hospitalar ou de empresas privadas de saúde.

Esta realidade impõe adotar uma estratégia de conformidade pragmática e priorizada. Conforme as recomendações da ANS, uma abordagem em três fases é geralmente aconselhada para pequenas e médias estruturas:

1. Fase de urgência (0-3 meses): identificação e neutralização de riscos críticos (armazenadores não certificados, ausência de criptografia)
2. Fase de consolidação (3-12 meses): atualização dos contratos, implementação de ferramentas em conformidade, treinamento
3. Fase de maturidade (12-24 meses): auditorias internas, plano de continuidade, revisão anual dos tratamentos

O papel da assinatura eletrônica na conformidade HDS associativa

A desmaterialização de documentos sensíveis é uma alavanca frequentemente subutilizada pelo setor associativo. Porém, substituir formulários em papel por processos de assinatura eletrônica qualificada ou avançada apresenta vários benefícios:

• Rastreabilidade: cada assinatura é colocada em data e hora e associada a uma identidade verificada, facilitando a demonstração da licitude do tratamento
• Redução do risco de erro: menos manipulação manual de documentos sensíveis
• Arquivamento seguro: os documentos assinados eletronicamente podem ser mantidos em um cofre digital certificado

Para ir além quanto aos critérios de seleção de uma solução adequada a sua estrutura, consulte nosso comparativo de soluções de assinatura eletrônica que detalha as diferenças entre ofertas do mercado em termos de conformidade HDS e eIDAS.

As associações que já utilizam uma ferramenta de gestão de RH ou gestão de prontuários de beneficiários frequentemente têm interesse em verificar se sua solução atual integra nativamente assinatura eletrônica em conformidade. Nosso guia de assinatura eletrônica em empresa aborda estes critérios de integração em detalhe.

Finalmente, se você já implantou uma solução de assinatura mas deseja migrar para um prestador certificado HDS, nossa oferta de migração permite transferir seus dados e fluxos de trabalho sem interrupção de serviço.

Marco legal aplicável ao armazenamento de dados de saúde para associações e ONGs

Textos fundadores do marco HDS

A regulação francesa sobre armazenamento de dados de saúde repousa em um conjunto de textos cuja compreensão é indispensável para toda associação manipulando dados médicos ou médico-sociais.

Lei nº 2016-41 de 26 de janeiro de 2016 (lei de modernização do sistema de saúde): ela inscreveu no Código de Saúde Pública (artigo L. 1111-8) a obrigação de recorrer a um armazenador certificado HDS para toda pessoa física ou jurídica que armazena dados de saúde de caráter pessoal para a conta de pessoas interessadas ou entidades que os tratam.

Decreto nº 2018-137 de 26 de fevereiro de 2018: ele especifica as atividades sujeitas a certificação, as modalidades de emissão e revogação da certificação, bem como os requisitos aplicáveis aos organismos certificadores (acreditação COFRAC obrigatória).

Portaria de 8 de agosto de 2017: ela estabelece o referencial de segurança aplicável aos sistemas de informação de saúde, que serve de base técnica para a avaliação HDS.

Articulação com o RGPD

O Regulamento (UE) 2016/679 (RGPD) constitui o marco geral de proteção de dados pessoais. Suas disposições se aplicam cumulativamente aos requisitos HDS:

• Artigo 9: os dados de saúde são categorias especiais de dados cujo tratamento é proibido em princípio, salvo exceções listadas (consentimento explícito, necessidade para cuidados de saúde, interesse público, etc.)
• Artigo 28: todo recurso a um subcontratado armazenando dados de saúde deve ser objeto de um contrato escrito detalhado (DPA)
• Artigo 32: a associação é obrigada a implementar medidas técnicas e organizacionais apropriadas (criptografia, pseudonimização, controle de acesso)
• Artigo 33: toda violação de dados de saúde deve ser notificada à CNIL em 72 horas
• Artigo 35: uma Análise de Impacto relativa à Proteção de Dados (AIPD) é obrigatória assim que o tratamento for suscetível de engendrar um risco elevado para os direitos das pessoas

Riscos jurídicos em caso de não conformidade

O não cumprimento do marco HDS expõe a associação a vários níveis de sanções:

• Sanções administrativas CNIL: até 20 milhões de euros ou 4% do faturamento anual mundial (artigo 83, §5 do RGPD) para as violações mais graves. Para as associações, a CNIL avalia o montante levando em conta os recursos disponíveis, mas sanções simbólicas mas públicas já foram pronunciadas contra pequenas estruturas.
• Responsabilidade penal: o artigo 226-13 do Código Penal prevê até um ano de prisão e 15.000 euros de multa por violação do sigilo médico.
• Responsabilidade civil: os beneficiários prejudicados podem engajar a responsabilidade da associação com base nos artigos 1240 e seguintes do Código Civil em caso de dano demonstrável.
• Suspensão de agrément: as associações agredidas por autoridades públicas (ARS, conselho departamental) podem ter seu agrément retirado em caso de incumprimento grave à proteção de dados de saúde.

Também é importante notar que a diretiva NIS2 (diretiva UE 2022/2555, transposta na França pela lei nº 2024-449 de 21 de maio de 2024) estende as obrigações de cibersegurança a um espectro ampliado de entidades, potencialmente incluindo certas grandes associações que gerenciam infraestruturas críticas de saúde.

Cenários de uso: a conformidade HDS na prática para associações e ONGs

Cenário 1: Uma associação de auxílio domiciliar gerenciando 500 prontuários de beneficiários

Uma associação que intervém junto a pessoas idosas dependentes em vários departamentos gerencia aproximadamente 500 prontuários ativos incluindo informações sobre patologias, receitas em vigor e avaliações de dependência (grade GIR). Estes dados são armazenados em um software de gestão associativa hospedado por um prestador cloud não certificado HDS.

Após uma auditoria interna desencadeada por uma solicitação de acesso de um beneficiário, a associação identifica esta não conformidade. Ela inicia uma migração para um armazenador certificado HDS para as atividades 4 e 5, conclui um DPA em conformidade com seu prestador de software e implementa uma solução de assinatura eletrônica para desmaterializar os formulários de consentimento e os planos de apoio personalizados.

Resultados observados: redução de 70% no prazo de processamento de consentimentos (de média 12 dias em formato papel para menos de 4 dias), eliminação completa dos riscos ligados à perda ou envio errado de documentos em papel, e obtenção de uma cobertura de seguro cyber reforçada graças à conformidade documentada.

Cenário 2: Uma ONG internacional coordenando missões médicas de campo

Uma ONG especializada em cuidados médicos de emergência coleta, no âmbito de suas missões, dados de saúde de populações beneficiárias em vários países, incluindo dados transmitidos para um servidor centralizado na França. A equipe de TI é composta por duas pessoas voluntárias.

Diante da impossibilidade de manter uma infraestrutura interna certificada HDS, a ONG opta por uma arquitetura 100% SaaS com um armazenador certificado HDS cobrindo as atividades 1 a 6. Ela implementa um processo de assinatura eletrônica para os protocolos médicos e formulários de consentimento adaptados a zonas de baixa conectividade (assinatura em modo offline sincronizado).

Resultados observados: conformidade HDS e RGPD alcançada em menos de 6 meses sem recrutamento adicional de TI, economia estimada em 40% em comparação com uma infraestrutura hospedada internamente, e capacidade de responder a chamadas de projetos institucionais (AFD, União Europeia) exigindo certificação de conformidade de dados.

Cenário 3: Uma rede associativa gerenciando centros de saúde comunitários

Um agrupamento associativo que reúne vários centros de saúde comunitários (aproximadamente 8.000 pacientes ativos) utiliza um software de prontuário compartilhado entre os diferentes locais. A coordenação entre locais implica trocas de dados de saúde por correio eletrônico não seguro, em violação direta do referencial HDS.

A associação inicia uma reforma de seu sistema de informação com apoio de um prestador certificado HDS, implementa uma mensagem eletrônica segura de saúde (MSSanté), e desmaterializa todos seus formulários de admissão e consentimento por meio de uma plataforma de assinatura eletrônica em conformidade com eIDAS. Uma AIPD é conduzida para cada tratamento de risco elevado.

Resultados observados: zero violação de dados notificada à CNIL nos 18 meses seguintes à conformidade (contra dois incidentes menores no período anterior), prazo médio de admissão reduzido em 35%, e melhoria na taxa de conclusão de prontuários de pacientes em 22% graças à eliminação de formulários em papel incompletos.

Conclusão

Ativar a conformidade HDS para dados de saúde no setor associativo e ONG não é uma opção reservada às grandes estruturas hospitalares: é uma obrigação legal que se impõe a toda entidade, independentemente de seu tamanho ou status jurídico, assim que ela armazena ou processa dados de saúde de caráter pessoal. O desconhecimento do marco não exonera da responsabilidade.

A boa notícia: uma abordagem estruturada em quatro etapas — mapeamento, auditoria de prestadores, atualização contratual, treinamento — permite alcançar um nível sólido de conformidade mesmo com recursos limitados. A desmaterialização de consentimentos e documentos sensíveis por meio de uma solução de assinatura eletrônica certificada constitui uma alavanca particularmente eficaz para reduzir riscos enquanto melhora a eficiência operacional.

Certyneo propõe uma plataforma de assinatura eletrônica em conformidade com eIDAS, adaptada às restrições do setor associativo e hospedada em uma infraestrutura certificada HDS. Entre em contato com nossa equipe para uma auditoria gratuita de sua situação documentar e descubra como proteger seus fluxos de dados de saúde desde hoje.