Historia clínica y la LGPD art. 11

Respuesta corta

A história clínica é considerada dado pessoal sensível sob a LGPD (art. 5º, inc. II), exigindo tratamento estrito conforme o art. 11 — ou seja, base legal específica (como consentimento explícito ou necessidade para assistência à saúde) e medidas reforçadas de segurança e confidencialidade. O CFM orienta que seu uso deve observar também a Resolução CFM nº 1.605/2000 e a Lei nº 13.787/2018 (Lei da Portabilidade de Dados em Saúde).

TL;DR

• A LGPD classifica dados de saúde como sensíveis (art. 5º, II), sujeitando-os ao regime especial do art. 11.
• O art. 11 exige base legal específica: consentimento explícito (art. 11, I) ou tratamento indispensável à prestação de serviços de saúde (art. 11, III).
• Profissionais de saúde devem adotar medidas técnicas e organizacionais reforçadas (art. 46–48), incluindo pseudonimização e registro de atividades (art. 37).
• O CFM exige que a história clínica seja mantida com integridade, atualização contínua e acesso restrito (Resolução CFM nº 1.605/2000, arts. 3º e 9º).
• A Lei nº 13.787/2018 prevê a portabilidade eletrônica de prontuários, mas não dispensa o cumprimento da LGPD.
• Violações envolvendo dados de saúde podem acarretar sanções administrativas (art. 52) e responsabilização ética perante o CFM.

¿Qué dice el art. 11 de la LGPD sobre la historia clínica?

El art. 11 de la LGPD establece el régimen especial aplicable a los datos personales sensibles, entre los que se incluyen los datos relativos a la salud (art. 5º, II). Para tratar una historia clínica, el responsable debe cumplir al menos una de las bases legales específicas del art. 11: consentimiento explícito (inc. I), ejecución de políticas públicas de salud (inc. II), realización de estudios por entidades de investigación (inc. IV), o — lo más frecuente en clínica — tratamiento indispensable para la prestación de servicios de salud (inc. III). Este último no exime del deber de seguridad ni de transparencia: el paciente debe ser informado sobre el tratamiento (art. 9º) y tiene derecho de acceso, corrección y eliminação (art. 18).

¿Quién es responsable del cumplimiento en el ámbito clínico?

Tanto el médico como el estabelecimiento de saúde (clínica, hospital, laboratório) pueden ser controladores o operadores, según su rol real en el tratamiento. El médico individual es controlador cuando gestiona directamente la historia clínica (ej. consultorio particular). En redes ou hospitales, la institución suele asumir esa responsabilidad, aunque el profesional sigue sujeto a la ética médica (CFM) y a la LGPD como agente de tratamiento. La Resolução CFM nº 2.217/2018 refuerza que el médico debe garantizar la confidencialidad incluso tras su retiro del servicio.

¿Qué medidas de seguridad son obligatorias para historias clínicas digitales?

La LGPD exige medidas de segurança proporcionales al riesgo (art. 46). Para historias clínicas electrónicas, esto implica: autenticación robusta (doble factor), cifrado en reposo y en tránsito, auditoría de accesos, limitación de permisos por rol y registro de tratamento (art. 37). La Nota Técnica nº 01/2022 do ANVISA recomienda además la avaliação periódica de vulnerabilidades y la adopción de boas práticas de cibersegurança alineadas con a ISO/IEC 27001.

Preguntas frecuentes

• Q: ¿El consentimiento para tratamiento médico vale también para fines administrativos o de marketing?
• A: No. El consentimiento debe ser específico, informado y destacado (art. 8º, §2º). Usar datos de salud para marketing requiere nueva base legal independiente — y está prohibido por la Resolução CFM nº 2.217/2018.
• Q: ¿Puede un paciente exigir la eliminación de su historia clínica?
• A: No, salvo excepciones. La LGPD (art. 18, VI) permite la eliminación solo si no hay fundamento legal o contratual para su conservación. La Lei nº 13.787/2018 y a Resolução CFM nº 1.605/2000 exigem manter el prontuário por mínimo 20 anos.
• Q: ¿La telemedicina altera los requisitos del art. 11?
• A: No. A telemedicina amplia el riesgo de exposición, pero intensifica — no reduce — las obligaciones del art. 11: cifrado end-to-end, plataformas certificadas y registro claro de terceros envolvidos (ex. fornecedores de nuvem).
• Q: ¿El CFM puede sancionar por violação da LGPD?
• A: Sim, indiretamente. Embora o CFM não aplique multas da LGPD, pode instaurar processo ético por quebra de sigilo (Código de Ética Médica, art. 108), com sanções até cassação do exercício profissional.

Hechos clave

• A LGPD entrou em vigor em 18/09/2020, com sanções aplicáveis desde 01/08/2021 (Lei nº 14.010/2020).
• A história clínica é definida pela Lei nº 13.787/2018 como “registro sistemático das informações relativas ao estado de saúde do paciente”.
• O CFM reconhece expressamente a LGPD como referência normativa para proteção de dados em saúde (Parecer CFM nº 1/2021).
• A ANPD publicou Diretrizes para Tratamento de Dados Sensíveis (2023), reafirmando a exigência de impact assessment para sistemas de prontuário eletrônico.
• A Lei nº 13.787/2018 exige interoperabilidade técnica, mas não autoriza o compartilhamento sem base legal — nem mesmo entre unidades do SUS.

Fontes

• Lei Geral de Proteção de Dados (LGPD) – Lei nº 13.709/2018, art. 5º, 11, 37, 46–48, 52: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm
• Resolução CFM nº 1.605/2000: https://portal.cfm.org.br/index.php?option=com_content&view=article&id=10820
• Resolução CFM nº 2.217/2018: https://portal.cfm.org.br/index.php?option=com_content&view=article&id=25919
• Lei nº 13.787/2018 (Lei da Portabilidade): https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13787.htm
• Nota Técnica ANVISA nº 01/2022: https://antigo.anvisa.gov.br/documents/10181/4304451/NT+01+2022+Seguranca+da+Informacao+em+Saude.pdf
• Diretrizes ANPD – Tratamento de Dados Sensíveis (2023): https://www.gov.br/anpd/pt-br/assuntos/normas-e-regulamentacao/diretrizes

Saiba mais em https://g.cloud