Dados de saúde são classificados pela Lei Geral de Proteção de Dados — LGPD, Lei nº 13.709/2018 — como dados pessoais sensíveis. Isso significa que eles recebem uma proteção especial da legislação, superior à dispensada a dados pessoais comuns. Para centros de diagnóstico por imagem e clínicas de radiologia, essa classificação tem implicações diretas: qualquer sistema que armazene, transmita ou processe imagens médicas, laudos ou prontuários está sujeito às exigências da lei.
O Colégio Brasileiro de Radiologia e Diagnóstico por Imagem (CBR) publicou um manual específico sobre LGPD para hospitais e clínicas, no qual afirma que “os dados referentes à saúde de uma pessoa são considerados dados pessoais sensíveis e, por isso mesmo, detém uma especial proteção da legislação.” O documento reforça que a adequação não é opcional — e que a não observância pode gerar consequências tanto na esfera cível quanto administrativa.
Navegue e saiba mais sobre:
O que a LGPD considera dado sensível na área da saúde
A LGPD define dado pessoal sensível, em seu artigo 5º, inciso II, como aquele referente à saúde ou à vida sexual, dado genético ou biométrico. Na prática radiológica, isso abrange:
Laudos médicos, imagens de exames como tomografias, ressonâncias e radiografias, prontuários eletrônicos, histórico de atendimentos, resultados de exames laboratoriais anexados ao prontuário e qualquer informação clínica que identifique o paciente.
Todos esses dados, quando armazenados ou transmitidos por sistemas de CIS, RIS ou PACS, estão sob o escopo da LGPD — e precisam ser tratados com as medidas técnicas e administrativas adequadas.
O que muda na prática para clínicas e CDIs
1. Consentimento e finalidade do tratamento de dados
O CBR orienta que as clínicas devem identificar, antes de tudo, quais dados coletam, com qual finalidade e o que fazem com eles após o término da prestação de serviços. Conforme o manual do CBR, é importante observar: “quais são os tipos de dados coletados, como é feito o tratamento, com qual finalidade tais dados são coletados e como é feita a segurança dos dados coletados.”
Na prática, isso significa que os sistemas de gestão precisam garantir que o paciente tenha ciência de como suas informações serão utilizadas — e que o consentimento seja registrado de forma documentada.
2. Segurança no armazenamento de imagens médicas
O armazenamento de imagens DICOM em servidores locais sem política de backup, sem controle de acesso por perfil de usuário e sem criptografia representa uma exposição direta às exigências da LGPD. A lei determina, em seu artigo 6º, inciso VII, que o tratamento de dados deve observar o princípio da segurança, com “utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.”
Para CDIs, isso se traduz em infraestrutura com backup automático, controle de acesso granular por usuário e armazenamento com rastreabilidade de quem acessou cada estudo e quando.
3. Compartilhamento de dados entre sistemas e profissionais
Na área médica, o compartilhamento de laudos, prontuários e imagens entre profissionais é parte da rotina clínica. O CBR alerta que “na área médica é comum a necessidade de compartilhamento de documentos que contém dados pessoais sensíveis, tais como laudos, prontuários e receituários de pacientes.”
A LGPD determina que esse compartilhamento só pode ocorrer com finalidade legítima, com consentimento do titular e de forma segura. Sistemas que não registram o histórico de compartilhamento de estudos, não controlam quem enviou ou recebeu um laudo e não garantem a rastreabilidade desse fluxo estão em desconformidade com a lei.
4. Telerradiologia e conformidade regulatória
Para clínicas que utilizam telerradiologia, as exigências são ainda mais específicas. Além das adequações gerais à LGPD, “as clínicas de Radiologia que utilizam a Telerradiologia e/ou fazem a transmissão de exames devem se adequar, também, às especificidades da Resolução nº 2.107/2014 e do Manual de Certificação para Sistemas de Registro Eletrônico em Saúde vigente.”
Essa resolução do Conselho Federal de Medicina determina que os sistemas utilizados para transmissão de laudos radiológicos devem atender ao Nível de Garantia de Segurança 2 (NGS2), que especifica o uso de certificados digitais ICP-Brasil para assinatura e autenticação. Laudos transmitidos remotamente sem esse padrão de segurança não atendem às normas regulatórias vigentes.
5. Política de privacidade e controle de acesso
A LGPD exige que as empresas que tratam dados pessoais estabeleçam uma Política de Privacidade clara, acessível e transparente. Para o tratamento de dados pelo serviço ou mesmo por um site/aplicativo, é necessário que se crie uma Política de Privacidade, bem como uma Política de Cookies com o objetivo de estabelecer regras e informar para os particulares, de modo transparente, como é feito o tratamento de dados pela empresa.
No contexto de um CDI, isso inclui informar aos pacientes como seus dados de imagem são armazenados, por quanto tempo, com quem são compartilhados e como podem solicitar acesso, correção ou exclusão dessas informações.
Quer saber mais sobre?
Entre em contato com nossos especialistas.
As consequências de não se adequar
A não observância à LGPD pode gerar sanções administrativas aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD), que incluem advertência, multa de até 2% do faturamento da empresa — limitada a R$ 50 milhões por infração — publicação da infração, bloqueio e eliminação dos dados envolvidos e suspensão parcial do funcionamento do banco de dados.
Além das sanções administrativas, o paciente pode acionar judicialmente a clínica por danos materiais ou morais decorrentes do tratamento inadequado de seus dados de saúde.
Como sistemas integrados de CIS, RIS e PACS apoiam a conformidade com a LGPD
A adequação à LGPD não depende apenas de documentação e política interna — depende da estrutura tecnológica que suporta o tratamento dos dados. Sistemas isolados, sem rastreabilidade e sem controle de acesso granular tornam a conformidade difícil de garantir e ainda mais difícil de comprovar.
Plataformas integradas de CIS, RIS e PACS que oferecem controle de acesso por perfil de usuário, rastreabilidade completa dos estudos, criptografia no armazenamento e transmissão de imagens, backup automático com política de retenção definida e assinatura digital de laudos conforme normas SBIS constroem uma base tecnológica alinhada às exigências da lei — e que permite à clínica demonstrar, de forma objetiva, que está em conformidade.
A conformidade com a LGPD, na prática, começa pela escolha dos sistemas que processam os dados dos seus pacientes.
Se quiser entender como o ecossistema ASL suporta a adequação à LGPD na sua operação, fale com um especialista.
