Compliance Hospitalar

Compliance hospitalar — escopo

O compliance hospitalar é o conjunto estruturado de políticas, processos, controles e cultura que garante a atuação do hospital ou clínica em conformidade com as normas aplicáveis — regulatórias (ANVISA, ANS, VISA local), éticas (CFM, COFEN, CRO), protetivas de dados (LGPD), anticorrupção (Lei 12.846/2013) e trabalhistas. Programa de compliance efetivo vai muito além de “cumprir a lei” — envolve governança comprometida, documentação viva, treinamento contínuo, auditoria independente, canal de denúncias protegido e cultura de integridade.

O ambiente hospitalar tem particular complexidade regulatória. A RDC ANVISA 63/2011 estabelece as Boas Práticas de Funcionamento em Serviços de Saúde. A RDC 36/2013 institui obrigatoriamente o Núcleo de Segurança do Paciente e o Plano de Segurança. A Portaria MS 2.616/1998 determina a existência da Comissão de Controle de Infecção Hospitalar (CCIH). A LGPD (Lei 13.709/2018) impõe regime específico para dado sensível de saúde. Sobre todas essas, aplica-se a Lei Anticorrupção (Lei 12.846/2013) e o Decreto 11.129/2022.

Descumprimento dessas exigências gera múltiplas camadas de responsabilização: (i) administrativa — multas, interdição, cassação de alvará; (ii) civil — indenizações por dano a pacientes, responsabilidade objetiva (art. 14 CDC) + solidariedade (Súmula 608 STJ); (iii) criminal — em casos graves; (iv) reputacional — efeitos de longo prazo sobre captação de pacientes, credenciamentos, parcerias. Programa de compliance preventivo é investimento que reduz significativamente essa exposição.

6 pilares do programa

Estrutura padrão baseada em boas práticas internacionais (FCPA, UK Bribery Act, ISO 37001) e no Decreto 11.129/2022 (16 parâmetros do programa de integridade efetivo):

RDC ANVISA 63/2011 e segurança do paciente

A RDC ANVISA 63/2011 é a espinha dorsal regulatória do hospital. Estabelece:

• Responsável técnico (RT) habilitado com inscrição no conselho profissional;
• Planejamento, implantação e garantia da qualidade dos processos;
• Gerenciamento de risco assistencial e não-assistencial;
• Protocolos institucionais padronizados;
• Manutenção preventiva e corretiva de equipamentos (engenharia clínica);
• Limpeza, desinfecção e esterilização segundo padrões;
• Gerenciamento de resíduos de serviços de saúde (RDC ANVISA 222/2018);
• Prontuário do paciente — guarda, segurança, confidencialidade.

A RDC ANVISA 36/2013 acrescentou exigências específicas de segurança do paciente: implantação do NSP, Plano de Segurança formal, seis protocolos básicos do Ministério da Saúde (identificação, comunicação efetiva, segurança na medicação, cirurgia segura, higiene das mãos, prevenção de quedas e lesões por pressão), notificação obrigatória de eventos adversos ao Sistema de Notificações de Vigilância Sanitária.

CCIH e NSP — comissões obrigatórias

Duas estruturas institucionais de compliance hospitalar, com objetivos distintos mas complementares:

CCIH (Comissão de Controle de Infecção Hospitalar) — Portaria MS 2.616/1998. Foco específico em prevenção e controle de infecções. Órgão deliberativo formado por médico infectologista, enfermeiro, microbiologista. Atividades executadas pelo SCIH (Serviço de Controle de Infecção Hospitalar). Ações: monitoramento de taxas de infecção, protocolos de assepsia, uso racional de antimicrobianos, vigilância de resistência bacteriana, educação em higiene das mãos.

NSP (Núcleo de Segurança do Paciente) — RDC ANVISA 36/2013. Foco amplo em segurança do paciente em todos os processos. Estrutura operacional com plano formal e indicadores. Metas internacionais de segurança do paciente (OMS): (1) identificação correta; (2) comunicação efetiva; (3) medicação segura; (4) cirurgia segura; (5) higiene das mãos; (6) prevenção de quedas e LPP (lesões por pressão).

LGPD no ambiente hospitalar

Dado de saúde é dado pessoal sensível (art. 5º II LGPD) — regime de proteção mais rigoroso. Requisitos para hospital:

• Base legal específica — art. 11, II, f: tutela da saúde por profissionais ou serviços; c: execução de contrato do titular;
• DPO (Encarregado) indicado, com dados publicados;
• Política de privacidade clara ao paciente;
• Registro das atividades de tratamento (ROPA);
• Medidas técnicas — criptografia, controle de acesso, segregação;
• Medidas administrativas — treinamento, termos de confidencialidade;
• Notificação de incidente à ANPD em 48h + comunicação aos titulares;
• Atendimento aos direitos dos titulares — acesso, correção, portabilidade, eliminação, revogação de consentimento.

Multa LGPD: até 2% do faturamento bruto (limite R$ 50 milhões por infração). Além disso, dano moral em ações individuais dos pacientes em caso de vazamento.

Responsabilidade objetiva do hospital

A responsabilização civil do hospital tem duplo regime:

• Serviços auxiliares (estrutura, equipamentos, esterilização, enfermagem, administração): responsabilidade objetiva (art. 14 caput CDC) — independe de culpa. Basta dano + nexo + defeito;
• Ato médico em si: responsabilidade solidária com o médico (Súmula 608 STJ) — apurada objetivamente mas condicionada à comprovação da culpa do profissional (art. 14 §4º CDC).

Em ações por erro médico, o hospital é réu quase universal. Compliance preventivo — protocolos robustos, treinamento, auditoria, equipe qualificada, equipamentos em dia — não elimina a responsabilização mas permite defesa sólida: demonstra diligência, atenua dano moral, afasta a caracterização de culpa institucional autônoma.

Lei Anticorrupção e saúde

A Lei 12.846/2013 (Lei Anticorrupção) se aplica a pessoas jurídicas por atos contra a administração pública nacional ou estrangeira. Em saúde, riscos concretos:

• Licitações públicas — fornecimento ao SUS, parcerias público-privadas;
• Relação com indústria farmacêutica — Res. CFM 2.386/2024 + Código de Conduta Interfarma 2021;
• Pagamentos irregulares a agentes públicos (VISA, ANVISA, fiscais);
• Fraudes em faturamento SUS ou operadoras de plano;
• Pesquisa clínica — remuneração de investigadores, comitês de ética.

Responsabilidade objetiva da pessoa jurídica — independe de culpa. Multa de 0,1% a 20% do faturamento bruto. Mas o art. 7º VIII prevê que a existência e efetividade do programa de integridade é critério de atenuação. Programa bem estruturado pode reduzir significativamente a penalidade.

Penalidades por não-conformidade

Múltiplas camadas de penalidade possíveis:

• Sanitárias (Lei 6.437/1977) — advertência, multa (R$ 2 mil a R$ 1,5 milhão), interdição parcial ou total, cassação de alvará;
• LGPD — advertência, multa simples (até 2% faturamento, máximo R$ 50 milhões por infração), bloqueio/eliminação de dados, publicização da infração;
• Anticorrupção — multa de 0,1% a 20% do faturamento bruto, publicação extraordinária, perdimento de bens/valores, suspensão de atividade, dissolução compulsória;
• Ético-profissional dos profissionais envolvidos — CRM, CRO, COREN;
• Civil — indenizações a pacientes lesados;
• Criminal — em casos graves (ato contra a saúde pública, falsificação, corrupção);
• Reputacional — descredenciamento de operadoras, perda de parcerias, fuga de pacientes.