Conformidade HDS para dados de saúde: guia para associações e ONGs

As associações de caridade, as ONGs humanitárias, as estruturas médico-sociais sem fins lucrativos compartilham um ponto comum frequentemente subestimado: assim que tratam ou armazenam dados de saúde de caráter pessoal, estão sujeitas ao marco regulatório de armazenamento de dados de saúde (HDS). Ora, este setor acumula um atraso estrutural em matéria de conformidade, por falta de recursos internos dedicados e de uma sensibilização insuficiente. Este artigo o guia passo a passo para compreender o que implica a certificação HDS, identificar suas obrigações reais e ativar uma conformidade operacional — mesmo com uma equipe de TI limitada.

O que é certificação HDS e por que as associações estão envolvidas?

A definição legal dos dados de saúde

No sentido do RGPD (artigo 4, §15), os dados de saúde são dados de caráter pessoal relativos à saúde física ou mental de uma pessoa, revelando informações sobre seu estado de saúde. Esta definição é deliberadamente ampla. Cobre não apenas os registros médicos em sentido clínico, mas também:

• Os dados de beneficiários coletados durante campanhas de rastreamento
• As informações sobre deficiências declaradas em arquivos de assistência social
• Os dados nutricionais ou de saúde mental coletados em contexto de acompanhamento psicossocial
• Os resultados de testes ou avaliações médicas no âmbito de programas humanitários

Uma associação de combate às dependências, uma rede de ajuda a pessoas idosas dependentes ou uma ONG gerenciando consultas médicas de campo coletam todas dados que entram nesta categoria.

O dispositivo HDS: obrigação legal, não opção

A Lei nº 2016-41 de 26 de janeiro de 2016 (lei de modernização do sistema de saúde) instituiu a obrigação de armazenamento certificado HDS para toda entidade que armazena dados de saúde de caráter pessoal por conta de terceiros — inclusive associações e ONGs. O referencial de certificação, definido pelo Decreto nº 2018-137 de 26 de fevereiro de 2018, especifica as atividades cobertas e as exigências técnicas e organizacionais a satisfazer.

Contrariamente a uma ideia recebida, a isenção não se aplica apenas pelo fato de ser uma estrutura sem fins lucrativos. O que importa é a natureza dos dados tratados e o fato de que o armazenamento seja realizado por conta de terceiros (um médico, um paciente, uma estrutura parceira).

As seis atividades HDS e seu alcance para estruturas associativas

A certificação HDS cobre seis atividades distintas, organizadas em dois blocos:

Bloco infraestrutura (atividades 1 a 3)

• Atividade 1: A disponibilização e a manutenção em condição operacional dos sites físicos (datacenters)
• Atividade 2: A disponibilização e a manutenção em condição operacional da infraestrutura de hardware
• Atividade 3: A disponibilização e a manutenção em condição operacional da infraestrutura virtual

Bloco software e serviços gerenciados (atividades 4 a 6)

• Atividade 4: A disponibilização e a manutenção em condição operacional da plataforma de hospedagem de aplicações
• Atividade 5: A administração e exploração do sistema de informação de saúde
• Atividade 6: O backup externalizado dos dados de saúde

Para uma associação, as atividades mais frequentemente envolvidas são as atividades 4 a 6, particularmente quando usa uma solução SaaS de terceiros para gerenciar seus registros de beneficiários ou quando externaliza o backup de suas bases de dados. É portanto essencial verificar que todo provedor SaaS ou cloud manipulando seus dados de saúde está bem certificado HDS para as atividades correspondentes.

Neste contexto, o recurso a uma solução de assinatura eletrônica no setor de saúde certificada HDS permite proteger os fluxos documentários sensíveis — consentimentos informados, formulários de admissão, receitas desmaterializadas — sem expor a associação a risco de não conformidade.

Como ativar concretamente a conformidade HDS em sua associação?

Etapa 1: Mapear seus tratamentos de dados de saúde

Antes de qualquer abordagem técnica, é necessário proceder a um inventário preciso de todos os tratamentos envolvendo dados de saúde. Este exercício se inscreve diretamente na obrigação de manutenção do registro de tratamentos prevista pelo artigo 30 do RGPD.

Para cada tratamento, documente:

• A natureza dos dados coletados (categoria especial no sentido do RGPD)
• As finalidades do tratamento
• Os destinatários e subcontratados
• Os meios de armazenamento (servidor interno, cloud, SaaS)
• As medidas de segurança em vigor

Este mapeamento permite identificar rapidamente as áreas de risco e os provedores a auditar.

Etapa 2: Auditar seus provedores e exigir certificação

A certificação HDS é concedida por organismos credenciados pelo COFRAC (Comitê Francês de Acreditação). Você pode verificar o status de certificação de um hospedeiro no site da ANS (Agência do Numérico em Saúde), que mantém uma lista pública dos hospedeiros certificados HDS.

Exija sistematicamente de seus provedores:

• Uma cópia do certificado HDS em vigência
• O perímetro exato das atividades cobertas
• As condições contratuais específicas para proteção de dados de saúde

Não se contente com uma declaração de intenção: a certificação deve ser verificável e atualizada.

Etapa 3: Atualizar seus contratos e DPA

O artigo 28 do RGPD impõe a conclusão de um Data Processing Agreement (DPA) com todo subcontratado que trata dados pessoais por sua conta. No contexto HDS, este DPA deve ser complementado por cláusulas específicas cobrindo:

• Os compromissos de confidencialidade reforçada
• As obrigações de notificação de incidente em 72 horas
• As condições de devolução e apagamento dos dados
• A localização dos dados (imperativamente no território do EEE ou em país que beneficia de decisão de adequação)

Algumas associações ainda usam formulários em papel para coletar consentimento de seus beneficiários. A desmaterialização destes processos via uma solução de assinatura eletrônica conforme permite marcar hora e autenticar os consentimentos, produzindo prova legalmente oponível.

Etapa 4: Formar suas equipes e designar um referente de conformidade

A conformidade HDS não é um projeto pontual: é um processo contínuo. Designe um referente interno (que pode ser seu DPO se tiver um, em conformidade com a obrigação prevista no artigo 37 do RGPD para organismos tratando dados de saúde em grande escala) e preveja sessões de sensibilização regular para as equipes em contato com dados sensíveis.

Segundo um estudo publicado pela CNIL em 2024, mais de 60% das violações de dados de saúde notificadas envolviam erro humano (envio a destinatário errado, ausência de criptografia). A formação é portanto um alavanca de redução de risco tão importante quanto as medidas técnicas.

Os desafios específicos ao setor associativo: recursos limitados e restrições orçamentárias

O paradoxo do dado sensível e do orçamento restrito

As associações e ONGs se encontram em posição particular: frequentemente gerenciam dados entre os mais sensíveis (estado de saúde de pessoas vulneráveis, refugiados, menores desacompanhados) com recursos humanos e financeiros muito inferiores aos do setor hospitalar ou das empresas privadas de saúde.

Esta realidade impõe adotar uma estratégia de conformidade pragmática e priorizada. Segundo as recomendações da ANS, uma abordagem em três fases é geralmente aconselhada para pequenas e médias estruturas:

1. Fase de urgência (0-3 meses): identificação e neutralização dos riscos críticos (hospedeiros não certificados, ausência de criptografia)
2. Fase de consolidação (3-12 meses): atualização dos contratos, implantação de ferramentas conformes, formação
3. Fase de maturidade (12-24 meses): auditorias internas, plano de continuidade, revisão anual dos tratamentos

O papel da assinatura eletrônica na conformidade HDS associativa

A desmaterialização de documentos sensíveis é um alavanca frequentemente subutilizada pelo setor associativo. Contudo, substituir formulários em papel por processos de assinatura eletrônica qualificada ou avançada apresenta várias vantagens:

• Rastreabilidade: cada assinatura é marcada hora e associada a uma identidade verificada, facilitando a demonstração da legalidade do tratamento
• Redução do risco de erro: menos manipulação manual de documentos sensíveis
• Arquivamento seguro: os documentos assinados eletronicamente podem ser conservados em um cofre digital certificado

Para aprofundar os critérios de seleção de uma solução adaptada a sua estrutura, consulte nosso comparativo das soluções de assinatura eletrônica que detalha as diferenças entre ofertas do mercado em termos de conformidade HDS e eIDAS.

As associações que já usam uma ferramenta de gestão RH ou de gestão de registros de beneficiários frequentemente têm interesse em verificar se sua solução atual integra nativamente a assinatura eletrônica conforme. Nosso guia de assinatura eletrônica em empresa aborda estes critérios de integração em detalhes.

Enfim, se já implantou uma solução de assinatura mas deseja migrar para um provedor certificado HDS, nossa oferta de migração permite transferir seus dados e workflows sem interrupção de serviço.

Marco regulatório aplicável ao armazenamento de dados de saúde para associações e ONGs

Textos fundadores do marco HDS

A regulamentação francesa sobre armazenamento de dados de saúde repousa em uma sobreposição de textos cuja maestria é indispensável para toda associação manipulando dados médicos ou médico-sociais.

Lei nº 2016-41 de 26 de janeiro de 2016 (lei de modernização do sistema de saúde): ela inscreveu no Código de Saúde Pública (artigo L. 1111-8) a obrigação de recorrer a um hospedeiro certificado HDS para toda pessoa física ou jurídica que armazena dados de saúde de caráter pessoal por conta de pessoas concernidas ou entidades que os tratam.

Decreto nº 2018-137 de 26 de fevereiro de 2018: ele especifica as atividades sujeitas a certificação, as modalidades de concessão e revogação da certificação, bem como as exigências aplicáveis aos organismos certificadores (acreditação COFRAC obrigatória).

Portaria de 8 de agosto de 2017: ela fixa o referencial de segurança aplicável aos sistemas de informação de saúde, que serve de base técnica para a avaliação HDS.

Articulação com o RGPD

O Regulamento (UE) 2016/679 (RGPD) constitui o marco geral de proteção de dados pessoais. Suas disposições se aplicam cumulativamente aos requisitos HDS:

• Artigo 9: os dados de saúde são categorias especiais de dados cujo tratamento é proibido em princípio, salvo exceções listadas (consentimento explícito, necessidade para cuidados de saúde, interesse público, etc.)
• Artigo 28: todo recurso a subcontratado armazenando dados de saúde deve ser objeto de contrato escrito detalhado (DPA)
• Artigo 32: a associação é obrigada a implementar medidas técnicas e organizacionais apropriadas (criptografia, pseudonimização, controle de acesso)
• Artigo 33: toda violação de dados de saúde deve ser notificada à CNIL em prazo de 72 horas
• Artigo 35: uma Análise de Impacto relativa à Proteção de Dados (AIPD) é obrigatória assim que o tratamento é suscetível de engendrar risco elevado para os direitos das pessoas

Riscos jurídicos em caso de não conformidade

O descumprimento do marco HDS expõe a associação a vários níveis de sanções:

• Sanções administrativas CNIL: até 20 milhões de euros ou 4% do faturamento anual mundial (artigo 83, §5 do RGPD) para as violações mais graves. Para associações, a CNIL avalia o montante levando em conta os recursos disponíveis, mas sanções simbólicas mas públicas já foram pronunciadas contra pequenas estruturas.
• Responsabilidade penal: o artigo 226-13 do Código Penal prevê até um ano de prisão e 15.000 euros de multa por violação de segredo médico.
• Responsabilidade civil: os beneficiários prejudicados podem engajar a responsabilidade da associação sobre a base dos artigos 1240 e seguintes do Código Civil em caso de prejuízo demonstrável.
• Suspensão de autorização: as associações autorizadas por autoridades públicas (ARS, conselho departamental) podem ver sua autorização revogada em caso de descumprimento grave da proteção de dados de saúde.

É importante também notar que a diretiva NIS2 (diretiva UE 2022/2555, transposta na França pela Lei nº 2024-449 de 21 de maio de 2024) estende as obrigações de cibersegurança a um espectro ampliado de entidades, potencialmente incluindo certas grandes associações gerenciando infraestruturas críticas de saúde.

Cenários de uso: a conformidade HDS na prática para associações e ONGs

Cenário 1: Uma associação de auxílio domiciliar gerenciando 500 registros de beneficiários

Uma associação atuante junto a pessoas idosas dependentes em vários departamentos gerencia aproximadamente 500 registros ativos incluindo informações sobre patologias, prescrições em curso e avaliações de dependência (grade GIR). Estes dados são armazenados em um software de gestão associativa hospedado por um provedor de cloud não certificado HDS.

Após uma auditoria interna desencadeada por solicitação de acesso de um beneficiário, a associação identifica esta não conformidade. Ela engaja uma migração para um hospedeiro certificado HDS para as atividades 4 e 5, conclui um DPA conforme com seu provedor de software e implanta uma solução de assinatura eletrônica para desmaterializar os formulários de consentimento e os planos de ajuda personalizados.

Resultados observados: redução de 70% no prazo de processamento de consentimentos (de 12 dias em média em formato papel para menos de 4 dias), eliminação total de riscos relacionados à perda ou envio errado de documentos em papel, e obtenção de cobertura de seguro cibernético reforçada graças à conformidade documentada.

Cenário 2: Uma ONG internacional coordenando missões médicas de campo

Uma ONG especializada em cuidados médicos de emergência coleta, no âmbito de suas missões, dados de saúde sobre populações beneficiárias em vários países, inclusive dados transmitidos para um servidor centralizado na França. A equipe de TI é composta por duas pessoas voluntárias.

Diante da impossibilidade de manter uma infraestrutura interna certificada HDS, a ONG opta por uma arquitetura 100% SaaS com um hospedeiro certificado HDS cobrindo as atividades 1 a 6. Ela implementa um processo de assinatura eletrônica para os protocolos médicos e formulários de consentimento adaptados a zonas de baixa conectividade (assinatura em modo offline sincronizado).

Resultados observados: conformidade HDS e RGPD atingida em menos de 6 meses sem recrutamento de TI adicional, economia estimada de 40% comparada a uma infraestrutura hospedada internamente, e capacidade de responder a editais institucionais (AFD, União Europeia) exigindo certificação de conformidade dos dados.

Cenário 3: Uma rede associativa gerenciando centros de saúde comunitários

Um agrupamento associativo federando vários centros de saúde comunitários (aproximadamente 8.000 pacientes ativos) usa um software de registro de paciente compartilhado entre os diferentes sites. A coordenação entre sites implica trocas de dados de saúde por messageria não segura, em violação direta do referencial HDS.

A associação engaja uma refundição de seu sistema de informação com apoio de um provedor certificado HDS, implementa uma messageria segura de saúde (MSSanté), e desmaterializa todos os seus formulários de admissão e consentimento via uma plataforma de assinatura eletrônica conforme eIDAS. Uma AIPD é conduzida para cada tratamento de risco elevado.

Resultados observados: zero violação de dados notificada à CNIL nos 18 meses após conformidade (contra dois incidentes menores no período anterior), prazo médio de admissão reduzido de 35%, e melhoria da taxa de conclusão de registros de pacientes de 22% graças à eliminação de formulários em papel incompletos.

Conclusão

Ativar conformidade HDS para dados de saúde no setor associativo e ONG não é uma opção reservada a grandes estruturas hospitalares: é uma obrigação legal que se impõe a toda entidade, qualquer que seja seu tamanho ou status jurídico, assim que armazena ou trata dados de saúde de caráter pessoal. O desconhecimento do marco não exonera da responsabilidade.

A boa notícia: uma abordagem estruturada em quatro etapas — mapeamento, auditoria dos provedores, atualização contratual, formação — permite atingir nível sólido de conformidade mesmo com recursos limitados. A desmaterialização de consentimentos e documentos sensíveis via uma solução de assinatura eletrônica certificada constitui um alavanca particularmente eficaz para reduzir riscos ao mesmo tempo em que melhora a eficiência operacional.

Certyneo oferece uma plataforma de assinatura eletrônica conforme eIDAS, adaptada aos constrangimentos do setor associativo e hospedada em infraestrutura certificada HDS. Contate nossa equipe para uma auditoria gratuita de sua situação documentária e descubra como proteger seus fluxos de dados de saúde ainda hoje.