Clínicas, consultórios e laboratórios lidam todos os dias com a categoria de dado mais protegida pela LGPD. Prontuário, resultado de exame, receita e registro de teleconsulta revelam a condição de saúde de uma pessoa, e um vazamento desse tipo afeta o paciente de forma difícil de reverter. Este guia explica o que a lei exige e como o gestor pode organizar a proteção de forma prática.

Por que dado de saúde tem tratamento especial

A LGPD classifica o dado referente à saúde como dado pessoal sensível (art. 5º, II). Essa classificação tem consequências diretas para a clínica.

A primeira é que as hipóteses de tratamento são restritas (art. 11). O dado sensível não pode ser usado com a mesma liberdade de um cadastro comum. Cada uso, do agendamento ao envio de resultado, precisa estar apoiado em uma das hipóteses previstas na lei. Usar dados de pacientes para finalidades que não se encaixam nessas hipóteses é um risco jurídico, mesmo sem nenhum incidente de segurança.

A segunda é o dever de adotar medidas de segurança (art. 46). A clínica precisa adotar medidas concretas para proteger os dados dos pacientes, e isso inclui sistemas, pessoas e processos.

A lei não fala em pentest, mas você precisa demonstrar as medidas

A LGPD não usa a palavra "pentest" e não obriga um tipo específico de teste. O que ela exige é que as medidas de segurança existam e funcionem. Em caso de incidente ou de questionamento, a clínica precisa mostrar o que fez.

É aí que entra a avaliação de segurança feita por empresa especializada. Um teste de intrusão bem documentado mostra quais controles foram verificados, o que foi encontrado e o que foi corrigido. É uma forma concreta de demonstrar que a clínica levou a sério o art. 46. Explicamos essa relação em detalhe na página de pentest para LGPD.

Comunicação de incidente: prazo curto

A Resolução CD/ANPD nº 15/2024 prevê que o incidente de segurança relevante seja comunicado à ANPD e aos titulares dos dados, em regra em até 3 dias úteis.

Três dias úteis passam rápido. Nesse período, a clínica precisa entender o que aconteceu, quais pacientes foram afetados e quais dados foram expostos. Sem preparo prévio, a equipe gasta esse tempo descobrindo quem deve ser acionado. Por isso vale definir antes:

• Quem é o responsável por decidir se o incidente é relevante e por conduzir a comunicação.
• Como contatar rapidamente o fornecedor do sistema de prontuário, da plataforma de telemedicina e da hospedagem.
• Onde ficam os registros de acesso que permitem saber o que foi consultado e por quem.
• Qual empresa apoiará a investigação técnica, se necessário.

Um plano de resposta a incidentes preparado antes do problema reduz o risco de perder o prazo ou de comunicar informações incompletas.

Prontuário eletrônico: onde estão os riscos

O prontuário concentra o dado mais sensível da clínica. A maior parte dos problemas não vem de ataques sofisticados, mas de acesso mal controlado. Pontos de gestão para revisar:

• Perfis de acesso: recepção, enfermagem, corpo clínico e faturamento não precisam ver as mesmas informações. Cada perfil deve acessar apenas o necessário para sua função.
• Contas individuais: senhas compartilhadas entre profissionais impedem saber quem acessou cada prontuário.
• Registro de acessos: o sistema deve guardar quem consultou ou alterou cada registro, e alguém deve revisar esses registros periodicamente.
• Desligamentos: o acesso de quem sai da clínica deve ser removido no mesmo dia.
• Autenticação multifator: principalmente para acesso remoto e para contas administrativas.
• Contrato com o fornecedor: verifique onde os dados ficam, como são feitas as cópias de segurança e como o fornecedor comunica incidentes à clínica.

Telemedicina: a consulta também gera dados

A teleconsulta cria novos pontos de tratamento de dados: a própria chamada de vídeo, o chat, os arquivos enviados pelo paciente, as gravações quando existem e os documentos emitidos ao final. Cada um deles precisa estar protegido.

• Use plataformas contratadas para finalidade de saúde, e não aplicativos pessoais de mensagem dos profissionais.
• Confirme que o link da consulta não permite a entrada de terceiros e que o paciente é identificado antes do atendimento.
• Defina se as consultas são gravadas, com base em qual hipótese legal, onde ficam as gravações e por quanto tempo.
• Oriente os profissionais que atendem de casa sobre o uso de redes e equipamentos.

Quando a plataforma de telemedicina é contratada, a clínica continua responsável pelos dados dos pacientes atendidos. Peça ao fornecedor informações sobre onde os dados ficam armazenados, quem da equipe dele tem acesso e como ele avisa a clínica em caso de incidente, já que o prazo de comunicação começa a correr para a clínica.

Portal do paciente: exposto à internet

O portal onde o paciente agenda, vê resultados e baixa documentos é, em geral, o sistema mais exposto da clínica. Qualquer pessoa na internet consegue chegar até a tela de login. Por isso ele merece prioridade na avaliação.

A pergunta central é: um paciente autenticado consegue ver apenas os próprios exames e documentos? Falhas de controle de acesso em portais podem expor resultados de outros pacientes sem que ninguém perceba. Também merecem atenção o cadastro inicial, a recuperação de senha, os links de resultado enviados por e-mail ou mensagem e as integrações com laboratório e sistema de prontuário.

A avaliação de portais e aplicativos segue a metodologia descrita em nossa página de pentest web.

O que o gestor deve pedir ao fornecedor

Ao contratar uma avaliação de segurança para a clínica, peça:

• Escopo que inclua portal do paciente, plataforma de telemedicina, sistema de prontuário e integrações, conforme o que estiver sob controle da clínica.
• Testes de controle de acesso com perfis diferentes, como paciente, recepção e profissional de saúde.
• Regras claras de sigilo: o fornecedor não deve copiar nem manter dados reais de pacientes além do mínimo necessário para comprovar um achado.
• Relatório técnico com evidências e prioridade de correção, e resumo executivo em linguagem acessível para a direção.
• Reteste após as correções, para fechar o ciclo e documentar a melhoria.
• Recomendações que conversem com as obrigações da LGPD, e não apenas uma lista de falhas.

Para avaliar propostas com segurança, veja nosso artigo sobre como escolher uma empresa de pentest.

A LDL Security apoia clínicas, consultórios e laboratórios na proteção de prontuário, telemedicina e portal do paciente. Conheça nossa página de pentest para saúde.

Perguntas Frequentes

A LGPD obriga clínicas a fazer pentest?

Não. A LGPD não usa a palavra "pentest". Ela exige medidas de segurança para proteger os dados (art. 46), e a avaliação feita por empresa especializada é uma forma de demonstrar que essas medidas existem e funcionam.

Dado de saúde é dado sensível?

Sim. A LGPD classifica o dado referente à saúde como dado pessoal sensível (art. 5º, II), com hipóteses de tratamento restritas previstas no art. 11.

Qual o prazo para comunicar um incidente com dados de pacientes?

A Resolução CD/ANPD nº 15/2024 prevê a comunicação do incidente relevante à ANPD e aos titulares, em regra em até 3 dias úteis.

O fornecedor do sistema de prontuário é responsável pela segurança?

Ele responde pela parte que controla, mas a clínica continua obrigada a proteger os dados dos pacientes. Revise o contrato, os perfis de acesso e a forma como o fornecedor comunica incidentes.