Proteção de dados de saúde e conformidade LGPD para profissionais

Os dados de saúde ocupam um lugar à parte na paisagem regulatória europeia. Qualificados como dados sensíveis de categoria especial pelo RGPD (artigo 9), estão sujeitos a um regime de proteção reforçado que se aplica a todos os profissionais que os tratam: estabelecimentos de saúde, mutuais, editores de softwares de saúde, laboratórios, serviços de apoio domiciliar, atores da e-saúde e telemedicina. Em 2026, a paisagem regulatória se densificou ainda mais — entre a entrada em vigor progressiva do Espaço Europeu de Dados de Saúde (EEDS), as recomendações atualizadas da CNIL e as sanções recordes proferidas na UE, a conformidade deixou de ser uma opção. Este artigo descreve, ponto por ponto, as obrigações aplicáveis e as melhores práticas a adotar para proteger seus tratamentos.

O que é um dado de saúde no sentido do RGPD?

O RGPD (Regulamento nº 2016/679, artigo 4 §15) define dados de saúde como "dados pessoais relativos à saúde física ou mental de uma pessoa natural, incluindo a prestação de serviços de cuidados de saúde, que revelam informações sobre o estado de saúde dessa pessoa".

Um perímetro mais amplo do que parece

Esta definição abrange muito mais do que os registros médicos clássicos. Estão inclusos:

• Os antecedentes médicos, diagnósticos, prescrições e resultados de análises;
• Os dados coletados por objetos conectados (relógios, sensores de glicemia, aplicativos de acompanhamento menstrual);
• Os dados administrativos que permitem inferir um estado de saúde (taxa de reembolso, frequência de consultas);
• Os números de seguridade social (NIR) quando cruzados com informações médicas.

Na França, a CNIL esclareceu, particularmente em sua deliberação de referência relativa aos repositórios de dados de saúde (EDS), que a noção deve ser interpretada em sentido amplo. Assim, uma simples foto revelando uma deficiência visível ou um dado biométrico (impressão retiniana) entra no escopo.

Por que uma proteção reforçada?

A sensibilidade particular dos dados de saúde reside em seu potencial discriminatório. Revelar o estado de saúde de uma pessoa pode afetar seu acesso ao emprego, seguro, crédito ou expor sua vida privada. A CNIL estima que as violações envolvendo dados de saúde representavam, em 2024, mais de 36% das notificações que recebeu — sendo a primeira categoria de dados violados.

As bases legais específicas para o tratamento de dados de saúde

O artigo 9 §1 do RGPD estabelece um princípio de proibição do tratamento de dados sensíveis, com exceções limitadamente enumeradas. Para profissionais de saúde, as bases legais mobilizáveis são principalmente:

O consentimento explícito (art. 9 §2 a)

O consentimento deve ser livre, específico, informado e inequívoco, expresso por um ato positivo claro. No setor de saúde, essa base é frequentemente inadequada para cuidados rotineiros (desequilíbrio de poder médico/paciente), mas permanece essencial para tratamentos com fins de pesquisa, marketing ou uso de aplicativos de saúde voltados ao público geral.

Boa prática 2026: recorrer à assinatura eletrônica na saúde para coletar o consentimento dos pacientes de forma rastreável e com carimbo de tempo, facilitando a prova em caso de controle.

Os cuidados e a medicina preventiva (art. 9 §2 h)

Esta é a base legal principal para profissionais de saúde que tratam dados no contexto da relação de cuidado. Aplica-se sob a condição de que o tratamento seja realizado por — ou sob a responsabilidade de — um profissional sujeito ao sigilo médico.

O interesse público e a pesquisa (art. 9 §2 i e j)

Os tratamentos para fins de saúde pública (vigilância epidemiológica, farmacovigilância) ou pesquisa científica podem se apoiar nessas exceções. Na França, a Lei de Informática e Liberdades (art. 65 a 68) e o decreto regulamentando o Sistema Nacional de Dados de Saúde (SNDS) definem as condições de acesso.

As obrigações concretas dos responsáveis pelo tratamento

Seja um consultório médico ou um editor de solução de saúde digital, as obrigações estão estruturadas em torno de cinco pilares.

1. O registro dos tratamentos (art. 30)

Todo responsável pelo tratamento ou subcontratado deve manter um registro documentando cada tratamento: finalidade, base legal, categorias de dados, períodos de retenção, destinatários, medidas de segurança. A CNIL exige que este registro esteja atualizado e apresentável sem atraso durante um controle.

2. A análise de impacto relativa à proteção de dados (AIPD / art. 35)

Os tratamentos de dados de saúde em larga escala ou com fins de perfilização requerem obrigatoriamente uma AIPD (chamada DPIA em inglês). A CNIL publicou uma lista de tratamentos obrigatoriamente sujeitos a AIPD, incluindo repositórios de dados de saúde, aplicativos móveis de acompanhamento de estado de saúde e dispositivos médicos conectados.

Sobre o valor jurídico dos documentos eletrônicos neste contexto, os prestadores devem garantir que seus mecanismos de coleta atendam aos requisitos probatórios.

3. A designação de um delegado de proteção de dados (DPO)

A designação de um DPO é obrigatória para:

• Profissionais de saúde reunidos em agrupamento (hospitais, casas de repouso, estruturas de cuidado com mais de 50 pessoas);
• Mutuais e seguradoras de saúde;
• Editores de softwares de saúde que tratam dados em larga escala.

Desde 2024, a CNIL intensificou seus controles sobre a efetividade do papel do DPO, verificando em particular sua independência real e seus recursos.

4. A segurança dos sistemas de informação (art. 32)

As medidas técnicas e organizacionais devem ser proporcionais ao risco. A CNIL recomenda particularmente:

• A criptografia ponto a ponto dos dados armazenados e em trânsito;
• A pseudonimização sempre que a finalidade o permitir;
• A implementação de controles de acesso rigorosos (autenticação multifatorial);
• Backups regulares testados e desconectados da rede principal;
• Um plano de continuidade de atividade (PCA) específico para dados de saúde.

Desde a entrada em aplicação da diretiva NIS 2 (transposta para a lei francesa pela Lei de 26 de março de 2025), as entidades essenciais do setor de saúde — incluindo hospitais, fabricantes de dispositivos médicos e alguns laboratórios — estão sujeitas a requisitos de cibersegurança ainda mais rigorosos, com notificação obrigatória de incidentes maiores à ANSSI em 24 horas.

5. A notificação de violações de dados (art. 33 e 34)

Toda violação de dados de saúde deve ser notificada à CNIL no prazo de 72 horas após sua descoberta. Se a violação for capaz de gerar risco elevado aos direitos e liberdades das pessoas, os pacientes afetados também devem ser informados sem atraso injustificado.

Em 2024, a CNIL impôs multas por atraso na notificação, relembrando que a reatividade é em si uma obrigação de conformidade.

O armazenamento de dados de saúde: uma obrigação especificamente francesa

Na França, a Lei de 26 de janeiro de 2016 (art. L. 1111-8 do Código de Saúde Pública) impõe que dados de saúde pessoais sejam armazenados junto a um provedor certificado HDS (Hébergeur de Données de Santé — Provedor de Dados de Saúde). Esta certificação, emitida por organismos acreditados COFRAC com base na norma ISO 27001 e no referencial HDS da ANS, abrange seis atividades distintas.

Quem é afetado pela certificação HDS?

Estão inclusos todos os atores que armazenam, administram ou exploram sistemas de informação contendo dados de saúde em nome de terceiros: provedores de nuvem, editores de REM (registro eletrônico médico), plataformas de telemedicina, e — desde 2023 — editores de aplicativos de saúde voltados ao público geral desde que preservem dados identificáveis.

O uso de um provedor HDS certificado não isenta o responsável pelo tratamento de suas próprias obrigações: deve imperativamenteFormalizar um contrato de subcontratação conforme ao artigo 28 do RGPD, detalhando as instruções dadas ao provedor, as garantias de segurança e as modalidades de auditoria.

O Espaço Europeu de Dados de Saúde (EEDS): que impactos em 2026?

O regulamento EEDS (adotado no final de 2025 e cujas primeiras disposições entram em aplicação progressivamente até 2027) estabelece o marco para acesso transfronteiriço a dados de saúde para pesquisa, inovação e saúde pública. Para profissionais franceses, dois impactos imediatos:

1. A obrigação de respeitar o direito à portabilidade reforçada (formato estruturado, legível por máquina) para registros de pacientes;
2. A proibição de tratar dados de saúde primários com fins de direcionamento publicitário, mesmo com consentimento — uma restrição mais rigorosa que o RGPD isolado.

Essas evoluções tornam indispensável uma atualização das políticas de privacidade e dos contratos de subcontratação antes do final de 2026. Para profissionais que utilizam ferramentas de assinatura eletrônica conformes eIDAS, a rastreabilidade dos consentimentos e autorizações constitui um ativo considerável para demonstrar conformidade durante uma auditoria.

Direitos dos pacientes e exercício dos direitos RGPD

Os pacientes dispõem de todos os direitos RGPD (acesso, retificação, exclusão, limitação, portabilidade, oposição), com alguns ajustes setoriais.

O direito de acesso aos dados de saúde

Um paciente pode solicitar acesso a seu registro médico completo (art. L. 1111-7 CSP). O profissional tem um prazo de 8 dias (48 horas para dados recentes, internações recentes) e 2 meses para dados mais antigos. A CNIL e o Defensor dos Direitos ambos sancionaram estabelecimentos que recusaram ou atrasaram essas solicitações.

O direito à exclusão e suas limitações

O "direito ao esquecimento" é regido por prazos legais de retenção: 20 anos para registros médicos de adultos, 28 anos se o ato foi realizado antes da maioridade. Esses prazos legais prevalecem sobre qualquer solicitação de exclusão antecipada — o responsável pelo tratamento deve explicar isso claramente ao paciente.

A gestão de solicitações por via eletrônica

Para estabelecimentos que desmaterializaram seus processos, as solicitações de exercício de direitos podem ser transmitidas e processadas via formulários seguros. O carimbo de tempo eletrônico qualificado das solicitações e respostas constitui uma boa prática permitindo provar o respeito dos prazos regulatórios durante um controle CNIL.

Marco legal aplicável à proteção de dados de saúde

A conformidade de profissionais de saúde e seus parceiros tecnológicos repousa em uma articulação de textos europeus e nacionais que é necessário dominar.

RGPD — Regulamento (UE) nº 2016/679 de 27 de abril de 2016: pedra angular do dispositivo, qualifica dados de saúde como dados sensíveis (art. 4 §15), proíbe seu tratamento exceto exceções limitadamente listadas (art. 9 §2), impõe AIPD (art. 35), designação de DPO (art. 37), notificação de violações (art. 33-34) e medidas de segurança proporcionais (art. 32). As sanções previstas chegam a 20 milhões de euros ou 4% do faturamento anual mundial — sendo retido o valor mais elevado.

Lei de Informática e Liberdades (Lei nº 78-17 de 6 de janeiro de 1978 modificada): transpondo o RGPD em direito francês, autoriza a CNIL a adotar referenciais setoriais específicos para saúde e define as modalidades de acesso ao SNDS.

Código de Saúde Pública — art. L. 1111-7 e L. 1111-8: consagram o direito de acesso do paciente a seu registro médico e a obrigação de armazenamento junto a um HDS certificado.

Referencial HDS (Hébergeur de Données de Santé): publicado pela Agência de Saúde Digital (ANS), define seis atividades de certificação cobrindo infraestrutura física, plataforma e softwares aplicativos.

Diretiva NIS 2 — Diretiva (UE) 2022/2555, transposta na França pela Lei de 26 de março de 2025: submete as entidades essenciais do setor de saúde (hospitais com mais de 30 mil pacientes/ano, fabricantes de dispositivos médicos classe IIb e III, laboratórios de referência) a obrigações de cibersegurança reforçadas, particularmente notificação à ANSSI em 24 horas em caso de incidente significativo, e implementação de planos de resposta a incidentes testados anualmente.

Regulamento eIDAS nº 910/2014 e eIDAS 2.0 (Regulamento (UE) 2024/1183): regulam o valor jurídico de assinaturas eletrônicas usadas para consentimentos, atos médicos desmaterializados e contratos com prestadores. A assinatura eletrônica avançada ou qualificada é recomendada para qualquer ato cuja validade probatória possa ser contestada.

Regulamento EEDS (Regulamento europeu sobre o Espaço Europeu de Dados de Saúde, 2025): reforça os direitos dos pacientes sobre seus dados primários e regula o uso de dados secundários para pesquisa, com criação de organismos de acesso a dados de saúde em cada Estado-membro.

Riscos jurídicos concretos: além das multas administrativas CNIL, os responsáveis pelo tratamento se expõem a ações de responsabilidade civil (art. 82 RGPD), a perseguições penais (art. 226-17 do Código Penal, pena máxima de 5 anos de prisão e 300 mil € de multa para pessoa jurídica), e a danos reputacionais cujo impacto econômico frequentemente excede o valor da multa em si.

Cenários de uso: conformidade RGPD e dados de saúde na prática

Cenário 1 — Um agrupamento de clínicas privadas com aproximadamente 1.200 leitos

Um agrupamento de clínicas privadas de tamanho intermediário (aproximadamente 1.200 leitos distribuídos em três unidades) tratava consentimentos de pacientes em formulários em papel, armazenados em armários de arquivo pouco seguros. Durante uma auditoria interna preparatória para um controle CNIL, várias lacunas foram identificadas: impossibilidade de localizar rapidamente um consentimento datado de mais de dois anos, falta de rastreabilidade para consentimentos relativos a videomonitoramento médico e transmissões a terceiros (seguradoras, médicos correspondentes).

A administração implantou uma solução de assinatura eletrônica qualificada integrada ao sistema de informação hospitalar. Resultados medidos em seis meses: o prazo de processamento de solicitações de acesso ao registro passou de 14 para 4 dias úteis (redução de 71%), o tempo para localizar um consentimento caiu para menos de 2 minutos contra 45 minutos em média anteriormente, e o agrupamento obteve sua certificação HDS para a camada aplicativa.

Cenário 2 — Um editor de solução de telemedicina para especialistas liberais

Uma empresa editando uma plataforma de consulta à distância para especialistas liberais (aproximadamente 4.000 médicos usuários ativos) estava exposta a um risco significativo: seus servidores eram armazenados junto a um prestador de nuvem americano sem cláusula contratual conforme ao artigo 28 do RGPD, e sem certificação HDS. A plataforma coletava, porém, relatos de consulta, receitas e fotos clínicas.

Após uma análise de impacto (AIPD) conduzida com um DPO externo, a empresa migrou para um provedor certificado HDS localizado na França, revisou todos seus contratos de subcontratação e integrou um mecanismo de consentimento informado com carimbo de tempo antes de cada consulta. Também implementou um procedimento de notificação interna de incidentes em menos de 12 horas, permitindo respeitar o prazo regulatório de 72 horas para a CNIL. O custo da conformidade foi estimado em 180.000 € — para comparar com os 400.000 € de multa proferida pela CNIL contra um ator comparável do setor no mesmo ano.

Cenário 3 — Uma rede de farmácias independentes

Um agrupamento de cerca de quarenta farmácias independentes usava um software de gestão centralizado tratando históricos de receitas e dados de fidelização (vinculados a perfis de saúde implícitos). Sem DPO designado e sem registro de tratamento atualizado, o agrupamento não era capaz de responder a uma solicitação de exercício de direitos de um paciente em 30 dias.

Um projeto de conformidade distribuído ao longo de oito meses permitiu designar um DPO compartilhado (solução comum e válida para agrupamentos de PMEs), documentar 23 tratamentos distintos no registro, revisar a política de períodos de retenção (os dados de fidelização eram retidos 10 anos sem justificativa), e treinar todo o pessoal farmacêutico nos procedimentos corretos em caso de solicitação de um paciente ou de um fiscal. O risco de multa estimado ex-ante superava 150.000 €.

Perguntas frequentes

Os dados de saúde coletados por um aplicativo móvel estão sujeitos ao RGPD?

Sim, desde que o aplicativo colete dados permitindo inferir o estado de saúde de uma pessoa (frequência cardíaca, acompanhamento menstrual, glicemia, alimentação), esses dados constituem dados de saúde no sentido do artigo 4 §15 do RGPD. O editor é responsável pelo tratamento e deve obter consentimento explícito, armazenar os dados junto a um prestador certificado HDS e realizar uma AIPD se o tratamento é em larga escala.

Um médico liberal exercendo sozinho deve designar um DPO?

Não, a designação de um DPO não é obrigatória para um médico liberal exercendo sozinho ou em consultório com poucos praticantes, exceto se os tratamentos envolvem dados de saúde em larga escala. No entanto, esse médico permanece responsável pelo tratamento e deve manter um registro dos tratamentos, aplicar o princípio de minimização de dados e ser capaz de responder às solicitações de exercício de direitos de seus pacientes dentro dos prazos regulatórios.

Que sanções a CNIL pode impor em caso de violação de dados de saúde?

A CNIL dispõe de poder de sanção administrativa podendo atingir 20 milhões de euros ou 4% do faturamento anual mundial, sendo retido o valor mais elevado. Além da multa, pode proferir uma injunção de conformidade com multa diária, ou tornar a decisão pública. No plano penal, o artigo 226-17 do Código Penal prevê até 5 anos de prisão e 300.000 € de multa para pessoas jurídicas.

Um subcontratado (software, nuvem) é responsável em caso de vazamento de dados de saúde?

Sim. O RGPD (art. 28 e 82) estabelece responsabilidade conjunta do responsável pelo tratamento e do subcontratado perante as pessoas afetadas. O subcontratado é diretamente responsável se agiu fora das instruções do responsável pelo tratamento ou se não respeitou suas próprias obrigações RGPD. É, portanto, essencial formalizar um contrato de subcontratação preciso e garantir que o provedor seja certificado HDS para dados de saúde.

A certificação HDS é obrigatória para todos os atores do digital em saúde?

A certificação HDS é obrigatória para qualquer prestador que armazene, administre ou explore sistemas de informação contendo dados de saúde pessoais em nome de um terceiro. Aplica-se portanto a provedores de nuvem, editores de SaaS médico e plataformas de telemedicina. Por outro lado, um profissional de saúde que armazena seus próprios dados (sem confiar a terceiros) não está diretamente sujeito a essa obrigação, mas permanece sujeito às medidas de segurança do artigo 32 do RGPD.

Conclusão

A proteção de dados de saúde constitui, em 2026, um dos desafios regulatórios mais complexos e mais monitorados do setor digital. Entre o RGPD, a Lei de Informática e Liberdades, a obrigação de armazenamento HDS, a diretiva NIS 2 e o surgimento do Espaço Europeu de Dados de Saúde, os profissionais devem manter vigilância permanente e estruturar sua conformidade em torno de cinco pilares: registro de tratamentos, AIPD, DPO, segurança técnica e gestão de direitos dos pacientes.

Certyneo acompanha os atores de saúde na desmaterialização segura de seus processos: coleta de consentimentos com carimbo de tempo, assinatura eletrônica qualificada de contratos com prestadores, rastreabilidade probatória de cada ato. Descubra como nossa solução pode fortalecer sua conformidade RGPD visitando nosso espaço dedicado aos profissionais de saúde ou iniciando gratuitamente na Certyneo.