LGPD na saúde em 2026: prontuário eletrônico, telemedicina e o checklist técnico definitivo para clínicas e hospitais

Por que LGPD na saúde é um capítulo à parte

A LGPD trata todos os dados pessoais. Mas dados de saúde recebem proteção máxima — são "dados sensíveis" pelo Art. 5º, II e Art. 11. Vazamento, uso indevido ou compartilhamento sem base legal de dados de saúde gera dano material e moral imediato, e a ANPD tem deixado claro: dados de saúde têm fiscalização prioritária.

Em 2025, dois dos dez maiores incidentes LGPD investigados pela ANPD envolveram operadoras/hospitais. A multa máxima aplicada a um grupo hospitalar foi de R$ 14,7 milhões (estimativa pública). E o setor entra em 2026 com três pressões simultâneas:

1. LGPD com fiscalização ativa (já são 1.300+ incidentes notificados em saúde desde 2021).
2. Telemedicina regulamentada definitivamente pela Lei 14.510/2022 e CFM 2.314/2022 — com exigências técnicas concretas.
3. PEP (Prontuário Eletrônico do Paciente) caminhando para padrão SBIS-NGS2 mandatório em fornecedores governamentais e operadoras de grande porte.

Esse post é o checklist técnico denso para clínicas, hospitais, operadoras e laboratórios em 2026.

A base legal: por que dados de saúde são especiais

A LGPD admite tratamento de dados pessoais com base em 10 hipóteses (Art. 7º). Para dados sensíveis (Art. 11), as hipóteses são mais restritas — apenas 8:

1. Consentimento específico e destacado
2. Cumprimento de obrigação legal pelo controlador
3. Tratamento compartilhado para execução de políticas públicas (saúde pública)
4. Estudos por órgão de pesquisa
5. Exercício regular de direitos em processo judicial
6. Proteção da vida ou incolumidade física do titular ou terceiro
7. Tutela da saúde, exclusivamente, em procedimento realizado por profissional de saúde, serviços de saúde ou autoridade sanitária
8. Prevenção à fraude e segurança do titular

Para hospitais e clínicas, a base legal padrão é #7 (tutela da saúde). Esta base não exige consentimento explícito do paciente para o tratamento médico em si — o ato médico em si é a finalidade legítima.

Mas atenção: a base #7 cobre apenas o tratamento finalizado à tutela da saúde. Não cobre:

• Marketing direcionado (precisa de consentimento)
• Compartilhamento com operadora além do necessário ao reembolso (depende)
• Uso secundário para pesquisa interna (depende)
• Compartilhamento com farmácia ou laboratório terceiros (precisa de outra base)

Sistema de gestão hospitalar precisa distinguir essas finalidades e ter base legal específica para cada.

Telemedicina pós-CFM 2.314: o que mudou e o que o sistema precisa

A Lei 14.510/2022 consolidou telemedicina como modalidade legal. A Resolução CFM 2.314/2022 detalhou as exigências técnicas. Em 2026, é exigência prática para qualquer plataforma de telemedicina:

Identificação do paciente e do médico

• Médico identifica-se com número de CRM ativo verificado em tempo real contra o CFM
• Paciente identifica-se com documento e biometria/face match (recomendado)
• Toda consulta registra: data, hora, duração, CRM do médico, ID do paciente, IP de origem (auditoria)

Sigilo e segurança

• Comunicação criptografada ponta-a-ponta (TLS 1.3 mínimo, WebRTC com SRTP)
• Gravação opcional, mas se houver, criptografada em repouso (AES-256), com acesso auditável
• Vedado o uso de WhatsApp comum, e-mail ou plataformas não dedicadas para troca de dados clínicos. Mensageiros precisam de chave própria.

Prescrição eletrônica

• Assinatura digital com certificado ICP-Brasil (e-CPF do médico)
• Memed, Nexodata e outras integrações com farmácia para validação
• Documento gerado com QR Code com hash para validação na drogaria
• Suporte a prescrição de antibióticos (ANVISA RDC 471/2021) e controlados (Portaria 344/98)

Armazenamento legal

• Prontuário com mínimo de 20 anos de retenção (Resolução CFM 1.821/2007)
• Mantido em ambiente seguro, com backup e capacidade de recuperação demonstrável
• Indexação que permita recuperar dado de paciente por nome, CPF, número de prontuário

Consentimento de teleconsulta

• Termo específico aceito pelo paciente antes da consulta (separado do termo geral)
• Esclarecimento sobre limitações da modalidade
• Registro do aceite com timestamp + IP + versão do termo

Tudo isso é o que implementamos como padrão no software de gestão hospitalar da Bradata.

SBIS-NGS2: o padrão do PEP de verdade

O NGS2 (Nível de Garantia de Segurança 2) é o padrão de certificação para Prontuário Eletrônico do Paciente, mantido pela SBIS (Sociedade Brasileira de Informática em Saúde) em conjunto com o CFM. Existe NGS1 (mínimo) e NGS2 (preferencial).

Resumo dos 80+ requisitos NGS2:

Identificação e autenticação

• MFA obrigatório para acesso
• Senha forte (8+ chars, complexidade, troca a cada 90 dias)
• Bloqueio após 5 tentativas falhas
• Sessão expira em 15 minutos de inatividade

Controle de acesso

• RBAC granular (médico vê dado clínico do seu paciente, recepção não vê dado clínico, etc.)
• Quebra de sigilo registrada (médico que NÃO é do paciente pode acessar em emergência, mas fica auditado)
• Acesso por finalidade (auditoria, faturamento, ato médico têm trilhas separadas)

Auditoria

• Log imutável de toda ação (visualizar, criar, alterar, exportar, imprimir)
• Retenção mínima do log: 5 anos
• Logs com timestamp, usuário, IP, ação, recurso, resultado

Integridade

• Assinatura digital ICP-Brasil em todos os documentos clínicos relevantes (laudo, prescrição, atestado)
• Carimbo de tempo confiável
• Versionamento — alterações geram nova versão, original preservado

Sigilo

• Criptografia em repouso (AES-256) e em trânsito (TLS 1.3)
• Chaves gerenciadas em HSM ou KMS
• Backup criptografado

Continuidade

• Disponibilidade alvo de 99,5% (NGS2)
• Plano de contingência testado
• RTO < 4h, RPO < 1h

Privacidade

• Pseudonimização para BI
• Anonimização para pesquisa
• Trilha de consentimento para uso secundário

A certificação NGS2 é renovada a cada 2 anos por auditoria SBIS. Em 2026, estimam-se 800+ sistemas certificados no Brasil, mas apenas 12 grupos hospitalares operam exclusivamente em PEPs NGS2.

Os 7 piores erros de LGPD que vemos em saúde

1. Compartilhar dados de paciente com operadora sem base legal específica (planilha de altas, e-mail com CSV). Use API com escopo definido e log.
2. Backup em pen drive (sério, ainda acontece). Pen drive perdido = incidente LGPD imediato.
3. Médico copiando prontuário para revista pessoal (estudo de caso). Sem anonimização, isso é tratamento sem base legal.
4. Cadastro do paciente em vários sistemas com bases diferentes — sem master data management, dados divergem e o paciente fica com duas identidades.
5. Marketing direto para paciente sem opt-in específico. Mandar "promoção de exame anual" para todos os pacientes sem consentimento de marketing é tratamento sem base.
6. WhatsApp clínico sem cobertura LGPD. Foto de exame por WhatsApp comum é dado sensível em canal não criptografado dedicado.
7. Ausência de RIPD para tratamentos de risco alto (pesquisa clínica, telemedicina mental, pediatria).

O checklist técnico para o seu sistema atender 2026

Arquitetura e infra

• Criptografia em repouso AES-256 e em trânsito TLS 1.3
• Chaves gerenciadas em HSM ou KMS dedicado
• Backup automatizado com retenção 20 anos para prontuário
• Teste de restore documentado a cada trimestre
• Multi-AZ ou disaster recovery com RTO < 4h

Aplicação

• MFA obrigatório (Authenticator + biometria)
• RBAC granular por papel e por unidade
• Trilha de auditoria de tudo, com 5 anos de retenção mínima
• Quebra de sigilo formalizada
• Sessão com timeout
• Assinatura digital ICP-Brasil integrada
• Versionamento de documentos
• Carimbo de tempo confiável

Privacidade e compliance

• DPO nomeado e contato público
• RIPD para fluxos de risco
• Política de privacidade publicada e versionada
• Termo de uso aceito por paciente
• Gestão de consentimento granular (uso de imagem, comunicação, marketing)
• Processo de atendimento ao titular (direitos LGPD) em 15 dias
• Plano de resposta a incidente (notificação ANPD em até 48h)

Telemedicina

• WebRTC com SRTP
• Identificação do médico via CRM
• Termo de teleconsulta separado
• Prescrição eletrônica ICP-Brasil + integração farmácia
• Gravação opcional, criptografada
• Suporte multi-dispositivo (mobile + desktop)

Interoperabilidade

• HL7 v2 / FHIR R4 para integração com lab, PACS, operadoras
• TISS/TUSS para faturamento ANS
• CID-10 e CID-11
• DICOM para imagem

Cada um desses itens é parte do sistema de gestão hospitalar que a Bradata entrega.

O custo de não estar em conformidade

Para um hospital de médio porte (R$ 30M de receita):

Evento	Impacto financeiro
Multa LGPD (até 2% faturamento)	até R$ 600k por infração
Custo direto de incidente (resposta, comunicação, advocacia)	R$ 200k–R$ 800k
Perda de contrato com operadora por falha de compliance	R$ 500k–R$ 5M/ano em receita
Reputação e queda de procura	8–15% queda em demanda eletiva por 6–12 meses
Custo de remediar pós-incidente	R$ 300k–R$ 1,5M
Total potencial por incidente	R$ 1,6M–R$ 8,9M

Para comparação, o investimento em um sistema PEP NGS2 + conformidade LGPD completa para hospital de médio porte fica em R$ 280k–R$ 900k inicial + R$ 80k–R$ 280k/ano. ROI defensivo claro.

Conclusão: 2026 é o ano em que LGPD em saúde virou risco material

Não dá mais para tratar LGPD em saúde como "vou ver depois". A fiscalização da ANPD aumentou, a multa máxima já passou de R$ 14M em casos específicos, e contratos com grandes operadoras estão começando a exigir certificação NGS2.

O sistema da Bradata para gestão hospitalar é desenhado desde o primeiro código para atender LGPD, CFM 2.314 e estar pronto para NGS2. Se seu sistema atual não tem trilha de auditoria, gestão de consentimento ou suporte a assinatura digital, fale conosco. Em 24 horas úteis enviamos um gap analysis do seu cenário.

A Bradata é uma software house brasileira com profundidade em saúde e outros segmentos regulados. Conheça nossos cases e soluções.

---

Fontes: Lei 13.709/2018 (LGPD), Lei 14.510/2022, Resolução CFM 2.314/2022, Resolução CFM 1.821/2007, ANPD Orientações 2024/2025, SBIS Manual de Certificação NGS2 v4, RDC ANVISA 471/2021, Portaria SVS/MS 344/98, IBM Cost of a Data Breach Report 2025.