LGPD
Proteção de dados em saúde
100%
Dedicação ao setor
SP
Itaim Bibi — atendimento Brasil
LGPD em Saúde Digital — panorama regulatório
A regulação depende da finalidade e das funções do produto. A RDC 657/2022 trata de SaMD, em conjunto com o regime sanitário aplicável; nem todo software de saúde é dispositivo médico. O CFM disciplina documentos médicos eletrônicos nas Res. 2.299/2021 e 2.381/2024, e telemedicina na Res. 2.314/2022. A proteção de dados de saúde deve se enquadrar no art. 11 da LGPD.
Para empresas e profissionais atuando neste espaço, a atuação preventiva — registro correto, documentação robusta e governança de dados — é fundamentalmente mais barata do que defesa em sanções ou ações civis.
Tipologia das demandas
Objetos de regulação
Principais categorias no radar.
01
App de saúde
Aplicativos com coleta de dados biométricos, sono, exercício, ciclo menstrual.
02
Wearable
Smartwatch e anel rastreando batimentos, SpO2, temperatura — coleta contínua.
03
IA em diagnóstico
Modelos que inferem condições de saúde exigem base legal e transparência. O art. 20 da LGPD se aplica nas condições próprias das decisões exclusivamente automatizadas.
04
Interoperabilidade
Padrão TISS, FHIR, HL7 entre sistemas — compartilhamento de dados sensíveis.
05
Telemonitoramento
Pacientes monitorados em casa — stream contínuo de dados sensíveis.
06
Plataformas de saúde mental
Apps de terapia online e suporte emocional — sensibilidade alta.
01
App de saúde
Aplicativos com coleta de dados biométricos, sono, exercício, ciclo menstrual.
02
Wearable
Smartwatch e anel rastreando batimentos, SpO2, temperatura — coleta contínua.
03
IA em diagnóstico
Modelos que inferem condições de saúde exigem base legal e transparência. O art. 20 da LGPD se aplica nas condições próprias das decisões exclusivamente automatizadas.
04
Interoperabilidade
Padrão TISS, FHIR, HL7 entre sistemas — compartilhamento de dados sensíveis.
05
Telemonitoramento
Pacientes monitorados em casa — stream contínuo de dados sensíveis.
06
Plataformas de saúde mental
Apps de terapia online e suporte emocional — sensibilidade alta.
Linhas de atuação
A atuação jurídica integra três eixos: (i) regulatório — enquadramento, regularização e certificação quando exigíveis; (ii) contratual — acordos com fornecedores, operadores de dados e plataformas; (iii) contencioso — defesa nos procedimentos administrativos e ações pertinentes ao caso.
Empresas e profissionais de saúde digital devem ter política de governança de dados robusta, inventário de tratamento atualizado e plano de resposta a incidentes. Falhas nesses pilares aumentam exponencialmente exposição a sanções.
Conteúdos correlatos: compliance e LGPD para empresas de saúde, registro ANVISA, telemedicina legal.
Arcabouço jurídico aplicável
Normas e jurisprudência que fundamentam a prática.
- LGPD art. 5º II e art. 11. Dados de saúde são sensíveis. Tratamento exige base específica do art. 11 — consentimento ou hipóteses legais (tutela à saúde, proteção à vida, política pública).
- LGPD art. 20 — decisão automatizada. Direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem interesses do titular; informações sobre critérios e procedimentos (§ 1º). A supervisão clínica humana decorre de normas próprias, como a Resolução CFM 2.454/2026.
- Resoluções CD/ANPD 1/2021 e 4/2023 — fiscalização e sanções. A 1/2021 disciplina fiscalização e processo sancionador; a 4/2023 trata de dosimetria. A 2/2022 regula agentes de pequeno porte. Aplicam-se as condições e limites do art. 52 da LGPD.
- CF art. 5º X. Intimidade e vida privada invioláveis — base constitucional da proteção.
- Marco Civil da Internet (Lei 12.965/2014). Regras de provedores aplicam-se a plataformas de saúde digital.
Documentação decisiva
O que estruturar para conformidade.
- Relatório de impacto à proteção de dados (RIPD). A ANPD pode determinar sua elaboração (art. 38, LGPD). A orientação da agência recomenda o relatório em situações de alto risco; não há obrigação automática apenas porque o tratamento envolve dados de saúde.
- Política de privacidade específica. Detalhada para cada coleta — não vale política genérica.
- Termo de consentimento específico. Para bases que exigem consentimento — LGPD art. 11 I.
- Inventário de dados. Mapeamento de fluxos — entrada, processamento, compartilhamento, descarte.
- Encarregado (DPO). O art. 41 da LGPD prevê indicação pelo controlador, observadas as dispensas regulamentares. Pequeno porte exige enquadramento efetivo e manutenção de canal com o titular; para operadores de dados, a indicação é facultativa (Resoluções CD/ANPD 2/2022 e 18/2024).
- Plano de resposta a incidente. Avaliação do risco ou dano relevante e das comunicações cabíveis à ANPD e aos titulares. Prazo geral de três dias úteis do conhecimento de que o incidente afetou dados pessoais, observadas as condições e ressalvas dos arts. 4º a 6º e 9º do Regulamento da Resolução CD/ANPD 15/2024.
- Contrato operador (DPA). Com fornecedores que processam dados em nome do controlador.
Perguntas frequentes
Dúvidas recorrentes em saúde digital.
Posso usar consentimento para tratar dados de saúde?
O consentimento específico e destacado é uma das bases do art. 11 da LGPD e deve corresponder a finalidades determinadas. As hipóteses do inciso II só podem ser usadas quando seus requisitos estiverem presentes, inclusive a indispensabilidade do tratamento. Não se escolhe uma base apenas para evitar revogação do consentimento.
App de bem-estar (não médico) precisa seguir LGPD sensível?
A classificação depende do conteúdo, da finalidade e do contexto. Dados de hábitos ou de sensores podem revelar saúde ou permitir inferências sobre ela; por isso, passos e sono não são automaticamente dados comuns. Quando houver dado referente à saúde de pessoa identificada ou identificável, aplicam-se o art. 5º, II, e o art. 11 da LGPD.
IA que diagnostica câncer por imagem: quais obrigações LGPD?
Devem ser avaliados a base do art. 11, a finalidade, a necessidade, a transparência e a segurança do tratamento. O art. 20 assegura solicitação de revisão e informações nas hipóteses de decisão exclusivamente automatizada que afete interesses; não cria revisão humana universal. O RIPD pode ser determinado pela ANPD e é recomendado pela agência para alto risco. A supervisão clínica tem fundamento próprio na Resolução CFM 2.454/2026.
Transferência internacional de dados de saúde é permitida?
Pode ser permitida, mas são necessárias uma hipótese legal para o tratamento dos dados sensíveis e uma hipótese válida de transferência internacional. O art. 9º do Regulamento da Resolução CD/ANPD 19/2024 distingue esses requisitos, em conjunto com os arts. 33–36 da LGPD. Decisão de adequação da ANPD, cláusulas-padrão ou outro mecanismo só podem ser usados nas respectivas condições. Ter contrato com fornecedor estrangeiro ou certificação privada não basta por si só. Devem ser examinados destino, finalidades, segurança, transparência e direitos dos titulares.
Wearable coletando SpO2 24/7 — dado sensível?
A saturação de oxigênio associada a pessoa identificada ou identificável é dado referente à saúde e, portanto, sensível. Aplica-se o art. 11 da LGPD, ainda que a coleta seja apresentada como bem-estar. Não é necessário classificar toda medida fisiológica como dado biométrico para reconhecer sua sensibilidade.
Empresa sofreu incidente de segurança — o que fazer?
O controlador deve avaliar risco ou dano relevante e realizar as comunicações cabíveis à ANPD e aos titulares. O prazo geral é de três dias úteis do conhecimento de que o incidente afetou dados pessoais, conforme os arts. 4º a 6º e 9º do Regulamento da Resolução CD/ANPD 15/2024. Prazos diferenciados dependem de enquadramento efetivo; devem ser documentadas a avaliação e as medidas de contenção.
Consultoria técnica especializada
Fale com quem conhece a regulação em saúde digital.
Regulatório, contratual e contencioso em saúde digital construído por quem atua exclusivamente em Direito Médico.
Solicitar contato →
Luiggi Gustavo Maciel Giovannini
Veja também análises relacionadas
Sobre o escritório Belisário Maciel Advogados
O Belisário Maciel Advogados é um escritório especializado em Direito Médico e da Saúde, com base operacional em São Paulo (SP) e atendimento em todo o território nacional. Sob responsabilidade técnica do Dr. Luiggi Maciel (OAB/SP 513.090), o escritório atua na defesa de pacientes diante de negativas de planos de saúde, em ações de erro médico, reajustes abusivos, autorizações de tratamentos oncológicos, autismo TEA, cirurgias e procedimentos de alta complexidade. Também acompanha médicos e hospitais em defesa profissional perante CFM, CRM, COREN e demais conselhos de classe, processos éticos e questões de compliance hospitalar.
Atuação em todo o Brasil
A análise jurídica de uma negativa de cobertura considera os documentos clínicos, a justificativa da operadora, o contrato e as normas aplicáveis. O art. 300 do CPC exige probabilidade do direito e perigo de dano ou risco ao resultado útil do processo para a tutela de urgência. O cabimento da medida e sua apreciação dependem das circunstâncias e da decisão judicial, sem prazo ou resultado garantidos.
Como entrar em contato
Para consultas, análise de viabilidade de casos ou orientação jurídica, entre em contato pelo formulário disponível em nossa página de contato. O atendimento inicial é gratuito e a análise documental é feita com confidencialidade total, em conformidade com o Estatuto da OAB e o Código de Ética e Disciplina da advocacia.
Marco regulatório atualizado em 2025-2026
A cobertura excepcional fora do Rol deve observar o art. 10, § 13, da Lei 9.656/1998, incluído pela Lei 14.454/2022, com a interpretação da ADI 7.265 do STF. São cumulativos: prescrição por médico ou odontólogo assistente habilitado; inexistência de recusa expressa da ANS ou de análise pendente em proposta de atualização do Rol; falta de alternativa adequada à condição do paciente no Rol; demonstração de eficácia e segurança por medicina baseada em evidências de alto grau ou avaliação de tecnologias em saúde, apoiadas em evidências científicas de alto nível; e registro na Anvisa. Na via judicial, exige-se prova da solicitação prévia à operadora e da negativa, demora irrazoável ou omissão. O juízo deve examinar a não incorporação e consultar o NATJUS, quando disponível, ou apoio técnico competente; a prescrição isolada não basta. Se deferir, deve oficiar a ANS. A RN ANS 654/2025, vigente desde 1º de abril de 2026, incorporou especificamente a prostatectomia radical assistida por robô para câncer de próstata localizado ou localmente avançado, com a DUT 173.
Casos típicos acompanhados pelo escritório
O Belisário Maciel Advogados acompanha de forma rotineira casos envolvendo negativas de cirurgias eletivas e de urgência (incluindo procedimentos oncológicos, cardiovasculares, ortopédicos e ginecológicos), recusas de medicamentos de alto custo e tratamentos imunoterápicos, autorização de terapia ABA para pessoas com TEA, reajustes abusivos em planos coletivos por adesão e empresariais, defesa de médicos em processos éticos no CFM e CRM, defesa de cirurgiões-dentistas no CFO e CRO, ações de erro médico em parto e cirurgia plástica, ações por internação em UTI negada, home care recusado e cobertura de exames de alta complexidade como PET-CT e ressonância funcional. Cada caso recebe análise jurídica fundamentada nas peculiaridades clínicas, contratuais e jurisprudenciais, com estratégia processual calibrada para o melhor desfecho dentro dos prazos exigidos.