Segurança e conformidade
Segurança da informação e LGPD no atendimento digital em saúde
10 min de leitura
Dados de saúde são dados pessoais sensíveis e exigem controles proporcionais ao risco. Em uma operação de telemedicina, esses dados circulam entre unidades de saúde, plataforma, profissionais e sistemas de apoio — o que amplia a superfície a proteger e torna a governança tão relevante quanto a técnica.
A seguir, os blocos de requisitos que costumam ser objeto de exigência e de fiscalização em contratos com o setor público.
Enquadramento legal
A LGPD classifica dados referentes à saúde como dados pessoais sensíveis, sujeitos a hipóteses de tratamento mais restritas do que os dados comuns. Em serviços prestados a entes públicos, somam-se ainda as obrigações relativas ao interesse público, à transparência administrativa e aos deveres de guarda documental.
Paralelamente, o sigilo profissional médico continua plenamente aplicável. Ele não é substituído pela LGPD: as duas exigências se acumulam, e o desenho da operação precisa atender às duas simultaneamente.
Na prática, isso se traduz em definir com clareza os papéis de controlador e operador, o escopo do tratamento, o tempo de retenção e o destino dos dados ao término do contrato.
Controles técnicos mínimos
Os controles abaixo constituem a linha de base esperada de qualquer operação que trate prontuários e documentos clínicos em ambiente digital.
- Criptografia em trânsito e em repouso, com gestão de chaves documentada.
- Autenticação individual, com credenciais nominais e segundo fator quando aplicável.
- Controle de acesso por perfil, com concessão mínima necessária à função.
- Registro de auditoria imutável de acessos, alterações e emissões de documentos.
- Segregação de ambientes de produção, homologação e desenvolvimento.
- Rotinas de backup testadas, com objetivo de recuperação definido.
- Monitoramento de disponibilidade e de eventos de segurança.
Governança e controles administrativos
Controle técnico sem governança produz conformidade aparente. É a camada administrativa que garante que os controles continuem em vigor quando há troca de equipe, atualização de sistema ou incidente.
Isso inclui políticas formais de segurança e de privacidade, termos de sigilo assinados por todos os envolvidos, cláusulas de proteção de dados nos contratos com terceiros, inventário de tratamento de dados, gestão de acessos com revisão periódica e capacitação continuada das equipes assistenciais e técnicas.
Resposta a incidentes
Um plano de resposta define quem identifica, quem decide, quem comunica e em quanto tempo. Sem isso, o tempo de reação se consome em coordenação improvisada.
O plano deve prever contenção, preservação de evidências, avaliação de risco aos titulares, comunicação ao contratante e à autoridade competente quando cabível, e registro do aprendizado com medidas corretivas.
Como o contratante verifica maturidade
Para o contratante público, essa maturidade é verificável em documentos — e é assim que deve ser exigida em qualquer contratação de serviços digitais de saúde.
- Políticas de segurança da informação e de privacidade formalizadas.
- Identificação do responsável pelo tratamento de dados na prestadora.
- Descrição do fluxo de dados e dos sistemas envolvidos.
- Cláusulas contratuais de proteção de dados e de sigilo.
- Comprovação de rotinas de backup, auditoria e gestão de acessos.
- Procedimento documentado de devolução ou eliminação de dados ao fim do contrato.
Conclusão
Conformidade em saúde digital não é um estado alcançado uma vez: é rotina mantida. A INSTECH trata segurança da informação como frente permanente da operação, com controles técnicos, políticas formais e documentação disponível para verificação do contratante.
Conteúdo de caráter informativo, produzido pelo INSTECH no âmbito de suas frentes de atuação. Não substitui avaliação profissional individualizada.