Proteção de dados de saúde e conformidade RGPD para profissionais

Os dados de saúde ocupam um lugar especial no panorama regulatório europeu. Qualificados como dados sensíveis de categoria especial pelo RGPD (artigo 9), eles estão sujeitos a um regime de proteção reforçado que se aplica a todos os profissionais que os tratam: estabelecimentos de saúde, seguradoras, editores de software de saúde, laboratórios, serviços de assistência domiciliar, atores de e-health e telemedicina. Em 2026, o panorama regulatório se tornou ainda mais denso — com a entrada em vigor progressiva do Espaço Europeu de Dados de Saúde (EEDS), as recomendações atualizadas da CNIL e as sanções recorde aplicadas na UE, a conformidade não é mais opcional. Este artigo descreve, ponto por ponto, as obrigações aplicáveis e as melhores práticas a adotar para proteger seus tratamentos.

O que é um dado de saúde no sentido do RGPD?

O RGPD (Regulamento n.º 2016/679, artigo 4 §15) define dados de saúde como "dados pessoais relativos à saúde física ou mental de uma pessoa natural, incluindo a prestação de serviços de cuidados de saúde, que revelem informações sobre o estado de saúde dessa pessoa".

Um perímetro mais amplo do que parece

Esta definição abrange muito mais do que os prontuários médicos clássicos. Estão inclusos:

• Os antecedentes médicos, diagnósticos, prescrições e resultados de análises;
• Os dados coletados por objetos conectados (relógios, sensores de glicemia, aplicativos de rastreamento menstrual);
• Os dados administrativos que permitem inferir um estado de saúde (taxa de reembolso, frequência de consultas);
• Os números de seguro social (NIR) quando cruzados com informações médicas.

Na França, a CNIL esclareceu, em particular em sua deliberação de referência sobre repositórios de dados de saúde (EDS), que a noção deve ser interpretada em sentido amplo. Assim, uma simples foto que revele uma deficiência visível ou um dado biométrico (impressão retiniana) entra no âmbito de aplicação.

Por que uma proteção reforçada?

A sensibilidade particular dos dados de saúde reside em seu potencial discriminatório. Revelar o estado de saúde de uma pessoa pode afetar seu acesso ao emprego, seguros, crédito ou expor sua vida privada. A CNIL estima que as violações envolvendo dados de saúde representavam, em 2024, mais de 36% das notificações que recebeu — sendo a primeira categoria de dados violados.

As bases legais específicas para o tratamento de dados de saúde

O artigo 9 §1 do RGPD estabelece um princípio de proibição de tratamento de dados sensíveis, com exceções limitadas e numeradas. Para os profissionais de saúde, as bases legais que podem ser utilizadas são principalmente:

O consentimento explícito (art. 9 §2 a)

O consentimento deve ser livre, específico, informado e inequívoco, expresso por um ato positivo claro. No setor de saúde, essa base é frequentemente inadequada para os cuidados de rotina (desequilíbrio de poder médico/paciente), mas permanece imprescindível para tratamentos com fins de pesquisa, marketing ou uso de aplicativos de saúde de consumo.

Boa prática 2026: recorrer à assinatura eletrônica na saúde para obter o consentimento dos pacientes de forma rastreável e com registro de data e hora, facilitando a prova em caso de auditoria.

Os cuidados e a medicina preventiva (art. 9 §2 h)

Esta é a base legal principal para profissionais de saúde que tratam dados no contexto da relação de cuidado. Aplica-se desde que o tratamento seja realizado por — ou sob responsabilidade de — um profissional sujeito ao sigilo profissional.

O interesse público e a pesquisa (art. 9 §2 i e j)

Os tratamentos com fins de saúde pública (vigilância epidemiológica, farmacovigilância) ou pesquisa científica podem basear-se nessas exceções. Na França, a Lei de Informática e Liberdades (art. 65 a 68) e o decreto regulando o Sistema Nacional de Dados de Saúde (SNDS) definem as condições de acesso.

As obrigações concretas dos responsáveis pelo tratamento

Seja um consultório médico ou um editor de solução de saúde digital, as obrigações são estruturadas em torno de cinco pilares.

1. O registro de tratamentos (art. 30)

Todo responsável pelo tratamento ou processador deve manter um registro documentando cada tratamento: finalidade, base legal, categorias de dados, períodos de retenção, destinatários, medidas de segurança. A CNIL exige que este registro esteja atualizado e apresentável sem demora durante uma auditoria.

2. A análise de impacto relativa à proteção de dados (AIPD / art. 35)

Os tratamentos de dados de saúde em larga escala ou para fins de criação de perfis exigem obrigatoriamente uma AIPD (denominada DPIA em inglês). A CNIL publicou uma lista de tratamentos obrigatoriamente sujeitos a AIPD, incluindo repositórios de dados de saúde, aplicativos móveis de rastreamento de saúde e dispositivos médicos conectados.

Quanto a o valor jurídico dos documentos eletrônicos neste contexto, os prestadores devem garantir que seus mecanismos de coleta atendam aos requisitos probatórios.

3. A designação de um encarregado de proteção de dados (DPO)

A designação de um DPO é obrigatória para:

• Profissionais de saúde reunidos em agrupamento (hospitais, asilos, estruturas de cuidado com mais de 50 pessoas);
• Seguradoras e mutuais de saúde;
• Editores de software de saúde que tratam dados em larga escala.

Desde 2024, a CNIL intensificou controles sobre a efetividade do papel do DPO, verificando em particular sua independência real e seus recursos.

4. A segurança dos sistemas de informação (art. 32)

As medidas técnicas e organizacionais devem ser proporcionais ao risco. A CNIL recomenda particularmente:

• A criptografia de ponta a ponta dos dados armazenados e em trânsito;
• A pseudonimização sempre que a finalidade permitir;
• A implementação de controles de acesso rigorosos (autenticação multifator);
• Backups regulares testados e desconectados da rede principal;
• Um plano de continuidade de negócios (PCA) específico para dados de saúde.

Desde a entrada em vigor da diretiva NIS 2 (transposta para a lei francesa pela lei de 26 de março de 2025), as entidades essenciais do setor de saúde — incluindo hospitais, fabricantes de dispositivos médicos e certos laboratórios — estão sujeitas a requisitos de cibersegurança ainda mais rigorosos, com notificação obrigatória de incidentes graves à ANSSI em 24 horas.

5. A notificação de violações de dados (art. 33 e 34)

Qualquer violação de dados de saúde deve ser notificada à CNIL dentro de 72 horas após sua descoberta. Se a violação puder resultar em risco elevado para os direitos e liberdades das pessoas, os pacientes afetados devem ser informados sem atraso injustificado.

Em 2024, a CNIL aplicou multas por atrasos na notificação, relembrando que a rapidez é em si mesma uma obrigação de conformidade.

O alojamento de dados de saúde: uma obrigação especificamente francesa

Na França, a lei de 26 de janeiro de 2016 (art. L. 1111-8 do Código de Saúde Pública) impõe que os dados de saúde pessoais sejam alojados junto a um hospedeiro certificado HDS (Hospedeiro de Dados de Saúde). Esta certificação, emitida por organismos acreditados COFRAC com base na norma ISO 27001 e no referencial HDS da ANS, cobre seis atividades distintas.

Quem é coberto pela certificação HDS?

Estão cobertos todos os atores que alojam, administram ou exploram sistemas de informação contendo dados de saúde em nome de terceiros: provedores de nuvem, editores de DMP (prontuário médico compartilhado), plataformas de telemedicina e — desde 2023 — editores de aplicativos de saúde de consumo quando conservam dados identificadores.

A utilização de um hospedeiro HDS certificado não exonera o responsável pelo tratamento de suas próprias obrigações: ele deve obrigatoriamente formalizar um contrato de processamento conforme o artigo 28 do RGPD, detalhando as instruções dadas ao hospedeiro, garantias de segurança e modalidades de auditoria.

O Espaço Europeu de Dados de Saúde (EEDS): quais impactos em 2026?

O regulamento EEDS (adotado no final de 2025 e cujas primeiras disposições entram em vigor progressivamente até 2027) estabelece o marco para acesso transfronteiriço a dados de saúde para pesquisa, inovação e saúde pública. Para profissionais franceses, dois impactos imediatos:

1. A obrigação de respeitar o direito à portabilidade reforçada (formato estruturado, legível por máquina) para os prontuários de pacientes;
2. A proibição de tratar dados de saúde primários para fins de direcionamento publicitário, mesmo com consentimento — uma restrição mais rigorosa do que apenas o RGPD.

Essas evoluções tornam imprescindível uma atualização das políticas de privacidade e contratos de processamento antes do final de 2026. Para profissionais que utilizam ferramentas de assinatura eletrônica conformes com eIDAS, a rastreabilidade de consentimentos e autorizações constitui uma vantagem considerável para demonstrar conformidade durante uma auditoria.

Direitos dos pacientes e exercício dos direitos do RGPD

Os pacientes têm todos os direitos do RGPD (acesso, retificação, exclusão, limitação, portabilidade, objeção), com alguns ajustes setoriais.

O direito de acesso aos dados de saúde

Um paciente pode solicitar acesso a todo seu prontuário médico (art. L. 1111-7 CSP). O profissional tem um prazo de 8 dias (48 horas para dados recentes, hospitalizações recentes) e de 2 meses para dados mais antigos. A CNIL e o Defensor de Direitos já sancionaram estabelecimentos que recusaram ou atrasaram essas demandas.

O direito à exclusão e seus limites

O "direito ao esquecimento" é regulado por períodos legais de retenção: 20 anos para prontuários médicos de adultos, 28 anos se o ato foi realizado antes da maioridade. Esses períodos legais prevalecem sobre qualquer demanda de exclusão antecipada — o responsável pelo tratamento deve explicar isso claramente ao paciente.

A gestão de demandas por via eletrônica

Para estabelecimentos que desmaterializaram seus processos, as demandas de exercício de direitos podem ser transmitidas e processadas por meio de formulários seguros. O registro de data e hora eletrônico qualificado das demandas e respostas constitui uma boa prática que permite comprovar o respeito aos prazos regulatórios durante uma auditoria da CNIL.

Marco legal aplicável à proteção de dados de saúde

A conformidade dos profissionais de saúde e seus parceiros tecnológicos repousa em uma articulação de textos europeus e nacionais que devem ser dominados.

RGPD — Regulamento (UE) n.º 2016/679 de 27 de abril de 2016: pedra angular do dispositivo, qualifica dados de saúde como sensíveis (art. 4 §15), proíbe seu tratamento exceto exceções limitadas (art. 9 §2), impõe AIPD (art. 35), designação de DPO (art. 37), notificação de violações (art. 33-34) e medidas de segurança proporcionais (art. 32). As sanções previstas atingem 20 milhões de euros ou 4% do faturamento global anual — o valor mais elevado sendo retido.

Lei de Informática e Liberdades (lei n.º 78-17 de 6 de janeiro de 1978 modificada): transpõe o RGPD para o direito francês, autoriza a CNIL a adotar referenciais setoriais específicos para saúde e define as modalidades de acesso ao SNDS.

Código de Saúde Pública — art. L. 1111-7 e L. 1111-8: consagram o direito de acesso do paciente a seu prontuário médico e a obrigação de alojamento junto a um hospedeiro HDS certificado.

Referencial HDS (Hospedeiro de Dados de Saúde): publicado pela Agência de Saúde Digital (ANS), define seis atividades de certificação cobrindo infraestrutura física, plataforma e softwares aplicativos.

Diretiva NIS 2 — Diretiva (UE) 2022/2555, transposta na França pela lei de 26 de março de 2025: submete as entidades essenciais do setor de saúde (hospitais com mais de 30.000 pacientes/ano, fabricantes de dispositivos médicos classe IIb e III, laboratórios de referência) a obrigações reforçadas de cibersegurança, em particular notificação à ANSSI em 24 horas em caso de incidente significativo, e implementação de planos de resposta testados anualmente.

Regulamento eIDAS n.º 910/2014 e eIDAS 2.0 (Regulamento (UE) 2024/1183): regulam o valor jurídico de assinaturas eletrônicas usadas para consentimentos, atos médicos desmaterializados e contratos com prestadores. A assinatura eletrônica avançada ou qualificada é recomendada para qualquer ato cujo valor probatório possa ser contestado.

Regulamento EEDS (Regulamento europeu sobre o Espaço Europeu de Dados de Saúde, 2025): reforça os direitos dos pacientes sobre seus dados primários e regulamenta o uso de dados secundários para pesquisa, com a criação de organismos de acesso a dados de saúde em cada Estado-membro.

Riscos jurídicos concretos: além das multas administrativas da CNIL, os responsáveis pelo tratamento se expõem a ações de responsabilidade civil (art. 82 RGPD), a perseguições criminais (art. 226-17 do Código Penal, pena máxima de 5 anos de prisão e 300.000 € de multa para pessoa moral), e a danos reputacionais cujo impacto econômico frequentemente supera o valor da multa em si.

Cenários de uso: conformidade RGPD e dados de saúde na prática

Cenário 1 — Um agrupamento de clínicas privadas gerenciando aproximadamente 1.200 leitos

Um agrupamento de clínicas privadas de tamanho intermediário (aproximadamente 1.200 leitos distribuídos em três locais) tratava consentimentos de pacientes em formulários de papel, armazenados em arquivos físicos pouco seguros. Durante uma auditoria interna preparatória para uma inspeção da CNIL, várias lacunas foram identificadas: impossibilidade de localizar rapidamente um consentimento datado de mais de dois anos, ausência de rastreabilidade para consentimentos relativos a videovigilância médica e transmissões a terceiros (seguradoras, médicos correspondentes).

A administração implementou uma solução de assinatura eletrônica qualificada integrada ao sistema de informação hospitalar. Resultados medidos em seis meses: o prazo de processamento de demandas de acesso ao prontuário caiu de 14 para 4 dias úteis (redução de 71%), o tempo de busca de um consentimento caiu para menos de 2 minutos contra 45 minutos em média anteriormente, e o agrupamento obteve sua certificação HDS para a camada aplicativa.

Cenário 2 — Um editor de solução de telemedicina para especialistas liberais

Uma empresa editando uma plataforma de consulta à distância para especialistas liberais (aproximadamente 4.000 médicos usuários ativos) estava exposta a um risco importante: seus servidores eram hospedados por um provedor de nuvem americano sem cláusula contratual conforme ao artigo 28 do RGPD, e sem certificação HDS. A plataforma coletava porém relatórios de consulta, prescrições e fotos clínicas.

Após uma análise de impacto (AIPD) conduzida com um DPO externo, a empresa migrou para um hospedeiro certificado HDS implantado na França, revisou todos seus contratos com processadores e integrou um mecanismo de consentimento informado com registro de data e hora anterior a cada consulta. Também implementou um procedimento de notificação interna de incidentes em menos de 12 horas, permitindo cumprir o prazo regulatório de 72 horas para a CNIL. O custo da conformidade foi estimado em 180.000 € — em comparação aos 400.000 € de multa aplicada pela CNIL contra um ator comparável do setor no mesmo ano.

Cenário 3 — Uma rede de farmácias independentes

Um agrupamento de aproximadamente quarenta farmácias independentes utilizava um software de gestão centralizado tratando históricos de prescrições e dados de fidelidade (ligados a perfis de saúde implícitos). Sem DPO designado e sem registro de tratamentos atualizado, o agrupamento não era capaz de responder a uma demanda de exercício de direitos de um paciente em 30 dias.

Um projeto de conformidade estendido por oito meses permitiu designar um DPO compartilhado (solução comum e lícita para agrupamentos de PME), documentar 23 tratamentos distintos no registro, revisar a política de períodos de retenção (dados de fidelidade eram conservados 10 anos sem justificativa), e treinar todo o pessoal de farmácia em boas práticas em caso de demanda de um paciente ou inspetor. O risco estimado de multa antes era superior a 150.000 €.

Perguntas frequentes

Os dados de saúde coletados por um aplicativo móvel estão sujeitos ao RGPD?

Sim, desde que o aplicativo colha dados permitindo inferir o estado de saúde de uma pessoa (frequência cardíaca, rastreamento menstrual, glicemia, alimentação), esses dados constituem dados de saúde no sentido do artigo 4 §15 do RGPD. O editor é responsável pelo tratamento e deve obter consentimento explícito, alojar os dados junto a um prestador certificado HDS e realizar uma AIPD se o tratamento for em larga escala.

Um médico liberal exercendo sozinho deve designar um DPO?

Não, a designação de um DPO não é obrigatória para um médico liberal exercendo sozinho ou em consultório com poucos profissionais, exceto se os tratamentos envolverem dados de saúde em larga escala. No entanto, esse médico permanece responsável pelo tratamento e deve manter um registro de tratamentos, aplicar o princípio de minimização de dados e ser capaz de responder a demandas de exercício de direitos de seus pacientes nos prazos regulatórios.

Que sanções a CNIL pode aplicar em caso de violação de dados de saúde?

A CNIL dispõe de poder de sanção administrativa podendo atingir 20 milhões de euros ou 4% do faturamento global anual, o valor mais elevado sendo retido. Além da multa, ela pode pronunciar uma injeção de conformidade com pena compulsória, ou tornar a decisão pública. No plano criminal, o artigo 226-17 do Código Penal prevê até 5 anos de prisão e 300.000 € de multa para pessoas morais.

Um processador (software, nuvem) é responsável em caso de vazamento de dados de saúde?

Sim. O RGPD (art. 28 e 82) estabelece responsabilidade conjunta do responsável pelo tratamento e do processador perante as pessoas afetadas. O processador é diretamente responsável se agiu fora das instruções do responsável pelo tratamento ou se não cumpriu suas próprias obrigações do RGPD. É portanto essencial formalizar um contrato de processamento preciso e garantir que o hospedeiro está certificado HDS para dados de saúde.

A certificação HDS é obrigatória para todos os atores da saúde digital?

A certificação HDS é obrigatória para qualquer prestador que aloje, administre ou explore sistemas de informação contendo dados de saúde pessoais em nome de terceiros. Ela se impõe portanto a provedores de nuvem, editores de SaaS médico e plataformas de telemedicina. No entanto, um profissional de saúde alojando seus próprios dados (sem confiá-los a terceiros) não está diretamente submetido a esta obrigação, mas permanece obrigado às medidas de segurança do artigo 32 do RGPD.

Conclusão

A proteção de dados de saúde constitui, em 2026, um dos desafios regulatórios mais complexos e mais supervisionados do setor digital. Entre o RGPD, a Lei de Informática e Liberdades, a obrigação de alojamento HDS, a diretiva NIS 2 e o surgimento do Espaço Europeu de Dados de Saúde, os profissionais devem manter vigilância permanente e estruturar sua conformidade em torno de cinco pilares: registro de tratamentos, AIPD, DPO, segurança técnica e gestão dos direitos dos pacientes.

A Certyneo acompanha os atores da saúde na desmaterialização segura de seus processos: coleta de consentimentos com registro de data e hora, assinatura eletrônica qualificada de contratos com prestadores, rastreabilidade probatória de cada ato. Descubra como nossa solução pode reforçar sua conformidade RGPD visitando nosso espaço dedicado aos profissionais de saúde ou iniciando gratuitamente na Certyneo.