A Lei Geral de Proteção de Dados (LGPD), em vigor desde 2020, trouxe uma transformação profunda na forma como empresas lidam com dados pessoais no Brasil. E quando falamos em dados de saúde, o nível de atenção e responsabilidade precisa ser ainda maior.

No setor da saúde, lidamos diariamente com dados sensíveis, como histórico médico, exames, diagnósticos e até localização em tempo real de pacientes. E quando esses dados vazam ou são mal utilizados, os impactos podem ser irreparáveis tanto para o paciente quanto para a imagem da instituição.

A LGPD determina que dados sensíveis, como os de saúde, só podem ser coletados, armazenados e tratados com consentimento claro do titular ou mediante justificativa legal legítima. Além disso, exige que:

• Os dados sejam tratados com finalidade específica e legítima;

• O titular tenha o direito de acessar, corrigir ou excluir seus dados;

• A organização implemente medidas de segurança robustas para protegê-los;

• Haja um processo claro de resposta a incidentes, como vazamentos ou acessos indevidos.

Em 2025, o cenário ficou ainda mais crítico. Segundo o relatório da Netskope Threat Labs, 81% das violações de políticas de dados em organizações de saúde envolvem dados sensíveis regulados  e uma boa parte ocorre porque profissionais da área usam ferramentas de IA generativa (como ChatGPT ou Gemini) para agilizar rotinas, sem o devido controle da TI.

Isso inclui desde o envio de informações para contas pessoais em nuvem, até o uso não supervisionado de plataformas que retêm os dados inseridos para treinar seus algoritmos.

Com o crescimento do uso de tecnologia e IA no dia a dia clínico, a gestão de dados e riscos precisa ser estratégica, técnica e cultural  e não apenas um item da checklist regulatória.

✅ Obtenção de consentimento explícito para coleta e uso dos dados de saúde
✅ Mapeamento e classificação de todos os dados pessoais e sensíveis tratados
✅ Adoção de soluções de segurança, como criptografia, controle de acesso e DLP
✅ Nomeação de um DPO (Data Protection Officer) responsável pela governança de dados
✅ Treinamento contínuo das equipes sobre privacidade e proteção de dados
✅ Implementação de políticas claras de resposta a incidentes e comunicação à ANPD
✅ Monitoramento ativo de ferramentas de IA e controle sobre “Shadow AI”

A ANPD (Autoridade Nacional de Proteção de Dados) já está atuando com mais rigor e pode aplicar sanções como:

• Multas de até 2% do faturamento anual, limitadas a R$ 50 milhões por infração

• Obrigação de correção imediata das práticas inadequadas

• Indenização aos titulares em caso de danos

• Bloqueio ou eliminação dos dados

• Danos reputacionais severos para a instituição