Respuesta corta
La anonimización de la historia clínica está permitida bajo la LGPD (art. 11) siempre que se eliminen todos los elementos que permitan identificar directa o indirectamente al titular, y no sea posible su reversión por medios razonables. Una vez anonimizada conforme a los estándares técnicos reconocidos, la información deja de ser considerada “dato personal” y queda excluida del ámbito de aplicación de la LGPD.
TL;DR
- La LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) regula la anonimización en su art. 11, inciso I.
- La anonimización efectiva exige la eliminación irreversible de vínculos con el titular, según criterios técnicos objetivos (ex: ISO/IEC 20889, NIST SP 800-188).
- Historias clínicas anonimizadas no requieren consentimiento ni cumplen con obligaciones de notificación de brechas (LGPD art. 46).
- La reversibilidad — aún con esfuerzo técnico significativo — invalida la anonimización y mantiene la información bajo régimen de protección.
- El CFM (Conselho Federal de Medicina) exige anonimización rigurosa para publicaciones científicas (Resolução CFM nº 2.217/2018).
- La ANS (Agência Nacional de Saúde Suplementar) exige registros de procesos de anonimización para bases utilizadas en pesquisa (Resolução Normativa nº 480/2021).
¿Qué exige la LGPD para que una historia clínica sea considerada anonimizada?
La LGPD no define técnicamente “anonimización”, pero el art. 11 establece que “no se consideran dados pessoais os dados anonimizados, cujo processo de anonimização seja irreversível”. Esto implica dos requisitos acumulativos: (i) ausencia de identificadores directos (nombre, CPF, número de cartão SUS) e indirectos (combinaciones de data de nacimiento, CEP, diagnóstico específico y género), y (ii) imposibilidad práctica de reidentificación mediante medios razonables disponibles al momento del tratamiento. No basta con sustituir nombres por pseudónimos: el proceso debe seguir metodologías validadas (p. ej., generalización, supresión, perturbación diferencial) y documentarse técnicamente.
¿Qué pasa si la anonimización es parcial o reversible?
Si persiste riesgo razonable de reidentificación —por ejemplo, por combinación con bases públicas externas o por uso de técnicas insuficientes como el simple hashing sin salting— la información sigue siendo “dato personal” bajo la LGPD. En ese caso, se aplican todas las obligaciones: base legal (consentimiento, interés legítimo, ejecución de contrato), impacto en la privacidad (art. 38), y responsabilidad solidaria entre controlador y operador (art. 42). Casos de reidentificación exitosa han sido documentados por el IBGE y el TCU en bases sanitarias abiertas, reforzando la exigencia de evaluación técnica previa.
¿Quién es responsable de garantizar la calidad de la anonimización?
El controlador (ej.: hospital, operadora de salud, instituto de pesquisa) asume responsabilidad objetiva por la efectividad del proceso (LGPD art. 42). Debe contar con registro de actividades de tratamiento (art. 37), realizar evaluaciones periódicas de riesgo (art. 38) y adoptar medidas técnicas actualizadas. No basta con un proveedor externo: el controlador debe auditar y validar los métodos usados, especialmente si involucra IA generativa o modelos de lenguaje para extracción de datos no estructurados.
Preguntas frecuentes
- Q: ¿El consentimiento del paciente es necesario para anonimizar su historia clínica?
- A: No, si la anonimización es efectiva y irreversible (LGPD art. 11). Pero sí es requerido para el tratamiento previo antes de la anonimización, salvo otra base legal aplicable (ej.: cumplimiento legal, interés público en salud pública — art. 7º, IV y VII).
- Q: ¿Puedo usar historias clínicas anonimizadas para entrenar modelos de IA en Brasil?
- A: Sí, siempre que la anonimización cumpla con los estándares técnicos vigentes y se documente su irreversibilidad. Sin embargo, el uso debe respetar normas complementarias del CFM y ANS sobre investigación biomédica.
- Q: ¿La LGPD exige certificación de anonimización?
- A: No exige certificación formal, pero sí exige evidencia técnica objetiva (registros, informes de auditoría, pruebas de reidentificación negativas) para demostrar cumplimiento ante la ANPD.
- Q: ¿Qué pasa si una historia clínica anonimizada se vincula accidentalmente con un titular?
- A: Se revierte su estatus de anonimizada y se activan todas las obligaciones de la LGPD, incluyendo notificación de incidente (art. 48) y potenciales sanciones administrativas.
Hechos clave
- La LGPD define anonimización como proceso irreversible (art. 5º, XII y art. 11, I).
- El art. 46 de la LGPD excluye explícitamente los datos anonimizados de la obligación de notificar violaciones de seguridad.
- La Resolução CFM nº 2.217/2018 exige anonimización “total e irreversível” para publicaciones científicas con datos clínicos.
- La ANPD publicó orientaciones técnicas sobre anonimización en su Guia de Tratamento de Dados em Pesquisa (2023), alineadas con estándares ISO.
Fuentes
- Lei nº 13.709/2018 (LGPD), art. 5º, XII; art. 11, I; art. 46 — Planalto.gov.br
- Resolução CFM nº 2.217/2018 — CFM.org.br
- Guia ANPD: Tratamento de Dados em Pesquisa Científica (2023) — ANPD.gov.br
- Resolução Normativa ANS nº 480/2021 — ANS.gov.br
- ISO/IEC 20889:2018 — Privacy enhancing techniques — Anonymization and pseudonymization
Saiba mais em https://g.cloud