Fornecedor pode treinar IA própria com dados de saúde e continuar só como operador na LGPD?

cmsapointoo on August 16, 2026

Não automaticamente. Um fornecedor que usa dados de saúde para treinar uma IA própria pode deixar de atuar apenas como operador nessa operação. A classificação depende da atuação concreta: o operador trata dados em nome do controlador e dentro de suas instruções; o controlador define a finalidade e os elementos essenciais do tratamento.

A LGPD e o guia da ANPD não dão uma autorização geral para treinamento de IA com dados de saúde. Também não determinam que todo fornecedor seja controlador em qualquer uso de IA. A pergunta precisa ser respondida por operação, com análise dos fatos, do artigo 11, dos princípios da finalidade, adequação, necessidade e transparência, e das responsabilidades reais.

Por que o papel é funcional e definido por operação?

A LGPD define controlador como quem toma as decisões referentes ao tratamento e operador como quem trata dados em nome do controlador. O artigo 39 determina que o operador siga as instruções fornecidas pelo controlador. Esses conceitos apontam para a atividade realizada, não apenas para o nome usado no contrato.

O guia da ANPD torna a análise ainda mais concreta. A mesma organização pode ser controladora em uma operação e operadora em outra. O documento orienta que o papel seja identificado pelas ações, interesses, finalidades e decisões reais em cada situação.

Isso impede duas simplificações. Um fornecedor não se torna controlador de todos os dados só porque desenvolve tecnologia. Também não permanece operador em todo uso apenas porque o contrato o chama assim. A comparação entre BAA, DPA e contrato de operador LGPD ajuda a registrar os instrumentos sem confundir documento com papel funcional.

Quais decisões pertencem ao controlador e ao operador?

Segundo a ANPD, o controlador mantém influência sobre as decisões principais e os elementos essenciais. A finalidade é sempre uma dessas decisões. O controlador define os objetivos do tratamento e a hipótese legal que pretende sustentar. Natureza dos dados e duração também podem ser elementos essenciais, conforme o caso.

O operador pode decidir elementos não essenciais necessários para executar o serviço. O guia cita escolhas técnicas, como software, equipamento e detalhamento de medidas de segurança. Essa liberdade operacional não permite criar uma finalidade incompatível ou reutilizar o conjunto fora dos limites estabelecidos.

Pergunta factual Sinal de atuação como operador Sinal de decisão própria
Quem definiu por que treinar? A clínica documentou a finalidade e instruiu o serviço. O fornecedor criou objetivo próprio de produto.
Quem escolheu quais dados usar? O controlador aprovou categorias e limites. O fornecedor ampliou o conjunto por interesse próprio.
Quem decide retenção e reutilização? As instruções estabelecem prazo e destino. O fornecedor conserva para novos treinamentos próprios.
Quem obtém o benefício principal? O tratamento executa o serviço contratado. O tratamento desenvolve ativo independente do fornecedor.

Esses sinais organizam fatos, mas não formam teste legal automático. Uma equipe deve examinar o fluxo inteiro, as decisões comuns ou separadas e o grau de influência de cada agente.

Quando o treinamento de IA própria muda a análise?

O ponto de mudança é a finalidade. Se o fornecedor executa treinamento estritamente necessário para entregar uma finalidade definida e controlada pela clínica, pode atuar como operador nessa operação. Se escolhe treinar um produto próprio para objetivos independentes, passa a exercer decisões típicas de controlador sobre esse tratamento.

Essa conclusão é uma análise jurídica dependente dos fatos, não uma regra de que toda melhoria de modelo cria novo controlador. É preciso separar manutenção técnica, ajuste contratado, prevenção de falhas, análise agregada, criação de modelo geral e exploração comercial. Cada operação pode ter agentes e fundamentos diferentes.

Também pode existir participação conjunta quando duas organizações determinam finalidades e elementos essenciais em conjunto. O guia da ANPD descreve controladoria conjunta como contextual. Interesse comum, decisões convergentes e dependência entre tratamentos precisam ser examinados. Não se deve escolher o rótulo mais conveniente e depois adaptar o fluxo ao papel.

Como o artigo 11 limita o uso de dados de saúde?

A LGPD classifica dados referentes à saúde como dados pessoais sensíveis. O artigo 11 permite o tratamento somente dentro das hipóteses que ele enumera. Consentimento específico e destacado é uma possibilidade, mas não é a única. Outras hipóteses têm requisitos próprios e não podem ser presumidas.

Treinamento de produto não herda automaticamente a hipótese usada para prestar atendimento ou administrar o agendamento. Uma finalidade nova exige análise própria. A clínica e o fornecedor devem identificar qual hipótese do artigo 11 se aplica, se o uso é indispensável nos termos escolhidos e se os titulares receberam transparência adequada.

Legítimo interesse do artigo 7º não resolve sozinho o tratamento de dados pessoais sensíveis. O artigo sobre legítimo interesse em formulários com dados de saúde explica essa separação. Também não basta alegar inovação, melhoria genérica ou utilidade futura. A finalidade deve ser específica, legítima e informada.

Anonimização ou criptografia resolvem a mudança de finalidade?

Não por si sós. Criptografia protege dados, mas não os torna automaticamente anônimos. Se a associação com uma pessoa continua possível por chave, tabela, identificador ou esforço razoável, o conjunto permanece pessoal. A discussão sobre criptografia e anonimização de agendas médicas detalha essa fronteira.

Anonimização efetiva pode retirar o conjunto do conceito de dado pessoal conforme o artigo 12, mas a conclusão depende da possibilidade de reversão no contexto concreto. O fornecedor não deve chamar um conjunto de anônimo apenas porque removeu nomes ou separou identificadores.

Mesmo quando a equipe pretende produzir dados anonimizados, a operação anterior pode envolver dados pessoais sensíveis. Finalidade, acesso, segurança e papel dos agentes durante a preparação continuam exigindo análise. O resultado final não apaga o tratamento que ocorreu antes dele.

Por que o contrato não consegue fixar o papel sozinho?

O guia da ANPD trata contrato entre controlador e operador como boa prática. Ele pode definir objeto, duração, natureza, finalidade, categorias de dados, obrigações e responsabilidades. Essas cláusulas reduzem incerteza e limitam a atuação do fornecedor.

O contrato, porém, precisa corresponder aos fatos. Uma cláusula que proíbe uso próprio perde força operacional se a plataforma copia dados para um treinamento independente. Da mesma forma, uma autorização genérica para “melhorar serviços” não responde qual operação ocorre, qual dado de saúde entra, quem decide a finalidade ou qual hipótese do artigo 11 é invocada.

Responsabilidade também não deve ser confundida com classificação. O guia explica que controlador e operador têm obrigações próprias e que o operador pode responder quando viola a lei ou instruções. A possível responsabilização não substitui o exame do papel exercido em cada tratamento.

Que revisão deve ocorrer antes de usar os dados?

  1. Descreva o objetivo do treinamento sem expressões genéricas como “melhorar a IA”.
  2. Separe a finalidade da clínica de qualquer finalidade própria do fornecedor.
  3. Liste categorias de dados, origem, retenção, acesso, cópias e resultados gerados.
  4. Identifique quem decide finalidade, dados usados, duração e reutilização.
  5. Analise a hipótese do artigo 11 e os princípios aplicáveis à operação específica.
  6. Avalie se anonimização é efetiva antes de usar esse rótulo.
  7. Atualize contrato, transparência, controles e registros para refletir os papéis reais.
  8. Bloqueie o treinamento enquanto finalidade, papel ou fundamento permanecerem indefinidos.

Projetos com alto risco podem exigir avaliação adicional. O material sobre RIPD em agenda online mostra como registrar riscos e medidas sem transformar o relatório em autorização. Em caso de incidente, a distribuição de papéis também influencia comunicação e cooperação; veja o guia sobre incidente com dados de saúde.

Perguntas frequentes

Todo fornecedor de IA é controlador dos dados usados?

Não. O papel depende da operação. Um fornecedor pode atuar como operador quando segue finalidade e instruções do controlador, mas pode atuar como controlador em outro tratamento no qual define finalidade e elementos essenciais próprios.

Uma cláusula de melhoria do produto autoriza treinamento próprio?

Não automaticamente. É preciso identificar a operação, os dados, a finalidade, os agentes e a hipótese do artigo 11. Uma expressão ampla no contrato não substitui finalidade específica, necessidade, transparência e análise jurídica.

Consentimento sempre é obrigatório para treinar com dados de saúde?

O artigo 11 prevê consentimento específico e outras hipóteses. A resposta depende da finalidade e dos requisitos da hipótese aplicável. Não presuma consentimento nem outra base sem análise do caso.

Dados anonimizados podem ser usados sem essa análise?

Primeiro é preciso demonstrar anonimização conforme o artigo 12. Além disso, a preparação do conjunto pode ter envolvido dados pessoais sensíveis e exigir finalidade, fundamento, segurança e papéis definidos antes do resultado anônimo.

Referências

O Backup GRS do Azure em Brazil South mantém dados de saúde no Brasil?

cmsapointoo on August 16, 2026

Não. Um cofre do Azure Backup em Brazil South configurado com armazenamento com redundância geográfica, ou GRS, não mantém todas as cópias de backup dentro do Brasil. A Microsoft documenta que o GRS replica o backup para a região pareada. Brazil South tem pareamento assimétrico com South Central US, fora da geografia Brasil.

Essa resposta descreve o comportamento técnico do serviço, não a licitude de uma transferência nem a conformidade de uma arquitetura. A equipe precisa confirmar região primária, tipo de cofre, redundância, carga protegida e requisitos aprovados antes de afirmar onde os dados ficam. O nome da região do recurso original não basta.

Para onde vai o backup quando o cofre usa GRS?

O Azure Backup guarda cópias, pontos de recuperação e políticas em cofres. A durabilidade e a resiliência dos dados dependem da redundância de armazenamento escolhida para o cofre. A documentação distingue armazenamento com redundância local, armazenamento com redundância de zona e armazenamento com redundância geográfica.

Com GRS, o backup é concluído primeiro na região primária. Depois, os dados são replicados de forma assíncrona para a região secundária, que é a região pareada pela Microsoft. A documentação informa que essa replicação pode levar até 12 horas. Portanto, o desenho contém cópias em duas regiões e não apenas uma opção de recuperação futura.

Em Brazil South, a região secundária pareada é South Central US. A página oficial de pares classifica esse vínculo como assimétrico: Brazil South aponta para South Central US, mas South Central US tem outro par. Para uma exigência de permanência no Brasil, essa topologia precisa ser identificada antes do primeiro backup protegido.

Por que o nome Brazil South não prova contenção nacional?

A região do cofre é a região primária. Ela informa onde o cofre e a fonte protegida são implantados para esse fluxo, mas não elimina a configuração de redundância. Quando o cofre usa GRS, a cópia secundária segue o par definido pela plataforma.

Também não se deve inferir que quase todos os pares ficam na mesma geografia e, por isso, Brazil South deve funcionar assim. A própria Microsoft apresenta Brazil South como exceção. A prova precisa usar a linha específica da tabela de regiões, não uma regra geral sobre o Azure.

O mesmo cuidado vale para outros provedores. O artigo sobre adequação entre União Europeia e Brasil para dados de saúde separa localização técnica, mecanismo de transferência e demais deveres. Uma região com nome brasileiro é um dado de arquitetura. Ela não resolve, por si, finalidade, base jurídica, contrato ou transferência.

GRS, ZRS e LRS respondem a riscos diferentes

O LRS mantém redundância na região primária, mas a documentação não garante distribuição entre zonas. O ZRS replica os backups de forma síncrona entre várias zonas de disponibilidade na mesma região usada pelo cofre. O GRS acrescenta proteção contra falha regional ao replicar para a região pareada.

Escolher entre essas opções envolve disponibilidade, recuperação, custo e localização. Não existe uma resposta universal para toda carga de saúde. Uma organização pode exigir resistência a falha regional e, ao mesmo tempo, proibir uma cópia fora do país. Nesse caso, o par de Brazil South cria uma tensão que precisa de decisão explícita, não uma suposição silenciosa.

A Microsoft recomenda ZRS como nível mínimo de redundância para cargas de produção e recomenda CRR quando GRS é usado com fontes compatíveis. Essas recomendações tratam confiabilidade. A equipe ainda precisa aplicar seus próprios requisitos de residência, contrato e privacidade ao cenário concreto.

O CRR altera onde os dados são armazenados?

O Cross Region Restore, ou CRR, permite restaurar pontos da região secundária para fontes compatíveis, inclusive para exercícios quando não há falha na região primária. Ao ativá-lo, a Microsoft informa que o armazenamento do cofre passa de GRS para RA-GRS. A disponibilidade para leitura e restauração muda, mas a existência da réplica secundária vem do GRS.

Assim, não habilitar CRR não transforma GRS em armazenamento exclusivo no Brasil. Sem CRR, a cópia secundária continua associada à estratégia geográfica do cofre. A diferença principal é quando e como essa cópia pode ser usada para restauração. A Microsoft informa que, depois de habilitado, o CRR não pode ser desativado.

Um teste de continuidade deve registrar a região do destino restaurado. O guia sobre testes de restauração de backups de saúde mostra por que uma cópia existente não prova recuperação segura. No Azure, o teste também deve verificar se a recuperação criou recursos, logs ou cópias temporárias fora da localização aprovada.

Quando a redundância do cofre deve ser decidida?

A documentação de confiabilidade trata GRS como configuração para cofres novos. Ela diz que a redundância deve ser definida antes do primeiro backup. Em um Recovery Services vault, a configuração fica bloqueada depois que uma carga é protegida. Em um Backup vault, a redundância é configurada na criação.

Esse limite torna a revisão inicial importante. Descobrir a réplica nos Estados Unidos depois de acumular pontos de recuperação não equivale a trocar uma preferência visual. A migração pode exigir novo cofre, nova proteção, tratamento dos pontos antigos e uma decisão sobre continuidade. Cada etapa precisa de autorização e evidência.

Não altere ou elimine backups de produção apenas para corrigir localização sem verificar retenção, restauração, obrigações contratuais e autoridade. O artigo sobre eliminação de dados de clínica sob a LGPD explica por que pedido, prontuário, marketing e cópias sujeitas a conservação não podem ser tratados como um único conjunto.

Como comprovar a localização do backup real?

O inventário deve começar no recurso, não no desenho de arquitetura. Registre assinatura, grupo de recursos, tipo e nome do cofre, região primária, redundância atual, data da configuração, cargas protegidas e estado do CRR. Guarde identificadores técnicos, mas não copie conteúdo de saúde para o relatório.

  1. Confirme que o cofre observado é o cofre usado pela carga em análise.
  2. Leia a redundância efetiva no recurso e na automação que o cria.
  3. Associe a região primária ao par oficial publicado pela Microsoft.
  4. Liste pontos de recuperação, exportações e cofres antigos ainda existentes.
  5. Verifique se CRR está habilitado e quais fontes ele suporta.
  6. Teste a restauração com dados sintéticos em destino autorizado.
  7. Registre lacunas, exceções e a data da próxima revisão.

Inferência operacional: se o inventário mostra Brazil South, GRS e uma carga armazenada no cofre, trate South Central US como parte do mapa de localização até que evidência específica do produto demonstre uma exceção aplicável. Essa conclusão operacional aplica a topologia documentada ao recurso observado. Ela não decide a qualificação jurídica da transferência.

O que GRS não prova sobre privacidade ou conformidade?

GRS é um controle de resiliência. Ele não prova que o serviço inteiro está conforme a LGPD, o GDPR, uma regra setorial, um contrato ou uma política interna. Também não prova minimização, autorização de acesso, retenção adequada, segregação entre clientes ou capacidade de restauração da aplicação.

Criptografia não muda a localização da cópia. O conteúdo sobre criptografia e anonimização de dados de agenda explica que dados recuperáveis por meio de chave não se tornam automaticamente anônimos. No inventário do backup, registre localização, controle da chave, funções autorizadas e trilha de restauração como fatos separados.

Uma conclusão segura é limitada: “O cofre identificado está em Brazil South, usa GRS e, conforme o par publicado pelo Azure, replica backups para South Central US.” Depois, jurídico, privacidade, segurança e continuidade avaliam esse fato diante das regras que realmente se aplicam à organização.

Perguntas frequentes

Qualquer backup em Brazil South é copiado para os Estados Unidos?

Não. A resposta depende da redundância e do produto usados. Este artigo trata do Azure Backup configurado com GRS. LRS e ZRS têm topologias diferentes, e algumas fontes usam camadas operacionais fora do cofre.

Não habilitar CRR mantém o backup GRS apenas no Brasil?

Não. CRR controla acesso e restauração na região secundária para fontes compatíveis. O GRS é que replica o backup para a região pareada.

O GRS replica imediatamente para South Central US?

Não. A Microsoft descreve a replicação como assíncrona e informa que ela pode levar até 12 horas. Esse intervalo afeta recuperação, mas não elimina a região secundária do desenho.

Usar ZRS resolve qualquer requisito de residência?

Não há conclusão universal. ZRS mantém as cópias de backup entre zonas da região usada pelo cofre, mas a organização ainda precisa verificar fontes, metadados, logs, chaves, restaurações e regras aplicáveis.

Referências

O GDPR define uma frequência fixa para testar a restauração de backups de saúde?

cmsapointoo on August 16, 2026

Não. O GDPR não define uma frequência numérica fixa para testar a restauração de backups de saúde. O artigo 32 exige medidas adequadas ao risco, capacidade de restabelecer disponibilidade e acesso em tempo adequado após incidente e um processo regular de teste, apreciação e avaliação da eficácia das medidas de segurança. O texto não converte “regularmente” em dias, meses ou trimestres.

Isso não autoriza deixar o teste sem data. Controlador e subcontratante precisam justificar uma cadência capaz de demonstrar que o desenho continua adequado ao risco real. Se backup e restauração forem controles escolhidos para assegurar disponibilidade, o programa deve definir escopo, cenário, critérios de êxito, responsável, evidência e novo teste após mudanças ou falhas.

O que o artigo 32 realmente exige?

O artigo 32 aplica-se ao responsável pelo tratamento e ao subcontratante. Ele manda considerar técnicas mais avançadas, custos de aplicação, natureza, âmbito, contexto e finalidades do tratamento, além da probabilidade e gravidade dos riscos para direitos e liberdades das pessoas.

Entre as medidas adequadas, o parágrafo 1 inclui a capacidade de restabelecer disponibilidade e acesso aos dados pessoais de forma atempada após incidente físico ou técnico. Também inclui um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas usadas para proteger o tratamento.

O regulamento não diz que todo teste regular precisa ser uma restauração completa, nem fixa uma frequência específica para backup. O programa deve ligar o controle escolhido ao risco que pretende reduzir. Para dados de saúde, essa decisão merece análise rigorosa porque indisponibilidade, perda ou restauração incorreta pode afetar pessoas e operações sensíveis.

Por que “regularmente” não significa uma cadência universal?

O próprio artigo 32 usa uma avaliação contextual. Dois serviços de saúde podem ter volumes, dependências, impacto e arquitetura diferentes. Um calendário único inventado pelo fornecedor ignoraria esses fatores. A Comissão Europeia também orienta que as medidas sejam ajustadas à probabilidade e à gravidade do risco apresentado pelo tratamento.

Uma equipe pode escolher testes periódicos e testes acionados por mudança. A frequência, porém, continua sendo decisão documentada da organização, não número atribuído ao GDPR. Registre por que o intervalo atende o risco, quais eventos antecipam novo teste e quando a decisão será revista.

Residência de dados não resolve essa questão. O conteúdo sobre adequação entre União Europeia e Brasil para dados de saúde explica que mecanismo de transferência e controles operacionais precisam ser analisados separadamente. Um backup na geografia aprovada ainda pode falhar ao restaurar.

Capacidade de restaurar e teste regular são a mesma obrigação?

Não exatamente. A alínea c trata da capacidade de restabelecer disponibilidade e acesso em tempo adequado. A alínea d trata do processo regular de teste, apreciação e avaliação da eficácia das medidas. Uma organização precisa demonstrar que seus controles funcionam, mas o artigo não prescreve um único formato de exercício.

Um teste de restauração pode produzir evidência para as duas perguntas quando backup é parte do controle de disponibilidade. Ele mostra se uma cópia pode ser recuperada e permite avaliar procedimento, permissões, chave, destino e aplicação. Ainda assim, outros testes podem ser necessários para confidencialidade, integridade, resiliência e resposta.

Não confunda sucesso técnico com conclusão jurídica ampla. Restaurar bytes não prova que o sistema aplicou o tenant correto, preservou integridade, respeitou a região aprovada ou limitou o acesso. O teste deve verificar o resultado que o tratamento exige, não apenas o status “concluído” do provedor.

Como definir uma cadência sem inventar um prazo legal?

Comece pela análise de risco e pelos objetivos operacionais aprovados. Registre quais serviços precisam voltar, que dados sustentam a operação, quais perdas são toleráveis, quais dependências existem e qual impacto recai sobre titulares e atendimento. Esses elementos apoiam a cadência, mas não devem ser apresentados como números escritos no GDPR.

Considere mudanças que tornam uma evidência antiga menos confiável: troca de banco, região, política de backup, chave, função de restauração, formato de dados, versão de aplicação ou fornecedor. Uma falha real, um incidente ou um teste malsucedido também deve provocar correção e repetição controlada.

A avaliação de impacto para agenda online pode registrar risco, medidas e responsáveis quando o tratamento apresenta alto risco. Ela não cria uma frequência automática, mas ajuda a demonstrar por que a organização escolheu determinado escopo e momento para o teste.

O que um teste de restauração deve comprovar?

Use dados sintéticos ou um conjunto aprovado e minimizado. A restauração deve ocorrer num destino autorizado, com papéis específicos e logging adequado. Antes de abrir dados, confirme região, rede, chave, versão e controles de acesso. Evite transformar ambiente de recuperação em cópia permanente fora da política.

  1. Identifique tratamento, sistemas, controlador, subcontratantes e responsáveis pelo exercício.
  2. Defina cenário, cópia de origem, destino aprovado e critérios de êxito.
  3. Use uma amostra sintética com resultado esperado e sem dados de pacientes.
  4. Teste acesso mínimo, chaves, integridade, isolamento e disponibilidade da aplicação.
  5. Registre início, fim, versão do procedimento, resultado e exceções.
  6. Remova o ambiente temporário conforme processo aprovado e verifique a limpeza.
  7. Corrija falhas, repita o cenário e atualize a análise de risco.
  8. Marque a próxima revisão segundo a cadência justificada pela organização.

Criptografia merece prova própria. Criptografar dados de agenda não os anonimiza, e a chave pode ser necessária para restauração. Teste recuperação e acesso sem expor chave ou conteúdo sensível no relatório.

Quem decide o intervalo e quem executa o teste?

O controlador define objetivos e instruções conforme seu papel, contexto e obrigações. O subcontratante adota as medidas que lhe cabem e auxilia o controlador dentro do contrato e das informações disponíveis. Nenhuma das partes deve presumir que o relatório genérico do provedor comprova a restauração da aplicação do cliente.

O contrato pode estabelecer frequência, aviso, participação, destino, evidência e correção. Uma lei setorial ou exigência de cliente também pode impor condição mais específica que o texto geral do GDPR. Quando isso ocorrer, registre a fonte separadamente e não atribua o número ao artigo 32.

A discussão sobre DPA e contrato de operador ajuda a separar cláusula contratual, papel jurídico e controle técnico. Um DPA pode distribuir tarefas, mas não executa o restore, valida a aplicação ou substitui a análise de risco.

Que evidência demonstra uma avaliação regular?

Guarde plano aprovado, escopo, responsáveis, versão do procedimento, configuração relevante, identificadores de backup, destino, horários, resultados, falhas, correções e repetição. O relatório deve permitir que outro revisor entenda o que foi testado sem incluir o conteúdo dos registros de saúde restaurados.

Registre também o que ficou fora. Um teste de banco pode não cobrir arquivos, filas, identidades, chaves, integrações ou cópias regionais. Se a aplicação depende desses componentes, a conclusão deve indicar que a recuperação integral ainda não foi demonstrada.

Se o exercício revelar perda, acesso indevido ou exposição, acione o processo de incidente. O guia sobre incidentes com dados de saúde e comunicação mostra por que investigação, risco e dever de comunicação não devem ser escondidos dentro de um relatório de continuidade.

Um teste bem-sucedido prova conformidade com o GDPR?

Não. O teste pode demonstrar uma parte das medidas de segurança e continuidade para um escopo e momento definidos. Conformidade também depende de finalidade, base jurídica, transparência, minimização, direitos, contratos, transferências, acesso, retenção e resposta a incidentes.

Uma restauração bem-sucedida também pode revelar um problema: dados excessivos, cópia na região errada, acesso amplo ou ambiente de teste esquecido. Trate essas observações como falhas a corrigir, não como detalhes anulados pelo sucesso técnico.

A conclusão correta é específica. Por exemplo, o procedimento identificado restaurou uma amostra sintética no destino aprovado, dentro do objetivo interno documentado, com integridade e controles verificados. Essa frase não afirma que o GDPR impõe aquela cadência nem que todo o tratamento está conforme.

Perguntas frequentes

O GDPR exige teste de restauração mensal?

Não. O artigo 32 não fixa periodicidade mensal ou outro intervalo numérico. A organização deve justificar e documentar um processo regular adequado ao risco, considerando também exigências setoriais e contratuais.

Fazer backup regularmente basta para cumprir o artigo 32?

Não. Uma cópia existente não prova restauração em tempo adequado, integridade, acesso correto ou eficácia das demais medidas. O controle precisa ser testado e avaliado no contexto real do tratamento.

O fornecedor de nuvem pode escolher sozinho a frequência?

Não como decisão universal de conformidade. O provedor pode oferecer recursos e evidências, mas controlador e subcontratante precisam definir responsabilidades, risco, escopo e cadência conforme papéis e contrato.

Um teste precisa usar dados reais de pacientes?

Não. Prefira dados sintéticos com resultado conhecido. Se um caso aprovado exigir dados reais, minimize o conjunto, restrinja acesso, use destino autorizado e verifique a eliminação da cópia temporária.

Referências

Criptografar dados de uma agenda médica transforma dados pessoais em dados anonimizados pela LGPD?

cmsapointoo on August 16, 2026

Não. Criptografar dados de uma agenda médica não os transforma automaticamente em dados anonimizados pela LGPD. Se a clínica, o operador ou outra parte autorizada conserva a chave ou outro meio razoável de recuperar a associação com a pessoa, os dados continuam dentro do regime de proteção de dados pessoais. Quando revelam informação sobre saúde, exigem ainda o cuidado aplicável a dados pessoais sensíveis.

A criptografia é uma proteção técnica importante, mas responde a uma pergunta diferente. Ela reduz a leitura não autorizada durante armazenamento ou transmissão. A anonimização do artigo 12 exige avaliar se a associação pode ser revertida por meios próprios ou com esforços razoáveis. Essa diferença muda inventário, direitos do titular, resposta a incidentes, retenção e contratos.

O que o artigo 12 exige para considerar um dado anonimizado?

O artigo 12 da LGPD diz que dados anonimizados não são considerados dados pessoais, salvo quando o processo puder ser revertido com meios próprios ou com esforços razoáveis. A análise não termina no nome dado à técnica. Ela depende da possibilidade concreta de voltar a associar o conjunto a uma pessoa.

O § 1º manda considerar fatores objetivos para avaliar o que é razoável, incluindo custo e tempo necessários para reverter o processo conforme as tecnologias disponíveis. Portanto, uma equipe não deve declarar anonimização apenas porque um campo ficou ilegível numa tela ou porque o banco mostra texto cifrado. Deve examinar chaves, tabelas auxiliares, identificadores, contexto e acesso de todos os agentes relevantes.

Essa classificação também não resolve a destinação do registro. O fluxo sobre eliminação de prontuário e dados de marketing mostra que prazo, finalidade e obrigação de guarda variam por conjunto. Criptografar um item não cria uma nova autorização para conservá-lo.

Por que a criptografia costuma ser pseudonimização, não anonimização?

A ANPD distingue anonimização de pseudonimização. No estudo jurídico, a autoridade explica que a pseudonimização mantém possível a identificação mediante informação adicional separada. O artigo 13, § 4º da LGPD usa essa mesma estrutura. O guia de segurança para agentes de pequeno porte cita a criptografia como exemplo de técnica que pode dificultar a identificação do titular.

Uma chave de descriptografia funciona como informação adicional capaz de restaurar o conteúdo. Se o controlador, operador ou serviço contratado consegue usar essa chave no fluxo normal, a associação não desapareceu. O dado pode estar protegido contra leitores não autorizados, mas continua pessoal para quem conserva uma rota razoável de acesso.

Nem toda implementação de criptografia produz exatamente o mesmo desenho de pseudonimização. A chave pode proteger um disco inteiro, um banco, uma coluna ou um campo. O aplicativo pode descriptografar automaticamente para usuários autorizados. A conclusão precisa refletir essa arquitetura real, sem transformar uma orientação técnica da ANPD em rótulo universal.

Quando uma agenda médica contém dados pessoais sensíveis?

Uma agenda contém dados pessoais quando registra pessoa identificada ou identificável. Se o conjunto revela condição, procedimento, especialidade, profissional procurado ou outra informação relativa à saúde, pode envolver dados pessoais sensíveis conforme o artigo 5º da LGPD. Um horário isolado pode não revelar saúde, mas sua associação com paciente, clínica e contexto pode alterar a análise.

Por isso, a classificação deve ser feita por campo e fluxo, não pelo nome comercial do sistema. Nome, telefone, identificador de conta, motivo da consulta, mensagem livre, especialidade, status e histórico de alteração têm riscos diferentes. O artigo sobre legítimo interesse em formulários de agendamento explica por que uma base genérica não deve cobrir silenciosamente dados de saúde.

Minimização continua sendo necessária mesmo com criptografia. A agenda deve coletar somente o que o agendamento realmente exige e evitar detalhes clínicos em campos livres, nomes de recursos, logs e notificações. Menos conteúdo sensível reduz exposição e simplifica acesso, correção, retenção e eliminação.

O que a criptografia protege na prática?

A criptografia pode proteger dados em armazenamento e em trânsito, desde que o sistema use controles adequados e gerencie as chaves com cuidado. Ela dificulta a leitura de discos, arquivos, backups ou mensagens por quem não possui a chave. Também pode reduzir impacto de certos incidentes, mas não impede toda forma de acesso ou uso indevido.

Um usuário autorizado pode ver os dados depois que a aplicação os descriptografa. Um erro de permissão pode expor registros pela interface. Uma exportação pode produzir uma cópia fora do controle original. Logs podem receber campos em texto claro. Backups podem usar outra chave. Nada disso é corrigido apenas pela presença de um ícone de cadeado.

A avaliação de RIPD para agenda online com dados de saúde ajuda a registrar finalidade, necessidade, riscos e medidas. Criptografia pode entrar como uma salvaguarda, mas não substitui a análise de base legal, transparência, direitos, operadores, transferências e retenção.

Como testar se ainda existe uma rota de reidentificação?

Comece com uma pergunta simples: alguém dentro do fluxo aprovado consegue associar o registro a uma pessoa usando uma chave, tabela, token, diretório, conta ou combinação de atributos? Se a resposta for sim, não trate o conjunto como anônimo apenas porque os dados foram cifrados ou separados.

  1. Identifique os campos pessoais e sensíveis presentes na agenda.
  2. Mapeie onde ocorre criptografia e onde ocorre descriptografia.
  3. Liste chaves, cópias, tabelas auxiliares e agentes com acesso.
  4. Teste com dados sintéticos quais papéis recuperam a associação.
  5. Avalie custo, tempo e tecnologia necessários para a reversão.
  6. Registre usos autorizados, retenção, exportações e destino final.
  7. Submeta a classificação de alto risco à revisão jurídica e técnica.

O teste deve observar o conjunto completo, não uma coluna isolada. Remover o nome pode ser insuficiente quando telefone, data, profissional e unidade permitem reconhecer a pessoa. Por outro lado, uma avaliação de anonimização não deve prometer risco zero. O estudo da ANPD trata anonimização como processo contextual baseado em risco de reidentificação.

Quais evidências devem acompanhar a classificação?

Guarde um registro da versão do conjunto, técnicas aplicadas, chaves ou informações adicionais mantidas separadamente, papéis com acesso, teste de reversão, premissas tecnológicas e responsável pela aprovação. A conclusão deve ter data de revisão, porque novos dados, novas combinações e novas técnicas podem mudar o risco.

Evite usar dados reais para demonstrar a proteção. Amostras sintéticas podem validar cifragem, rotação, recuperação e permissões sem criar outra cópia de informações de pacientes. Para evidenciar operação, registre configurações, identificadores de execução, resultados e exceções, sem despejar conteúdo sensível em chamados ou planilhas.

Se a organização mantiver o conjunto como dado pessoal, precisa conservar os controles correspondentes. Isso inclui acesso mínimo, segregação, monitoramento, resposta a incidentes e atendimento a titulares. O guia sobre incidente com dados de saúde no agendamento mostra que avaliação e comunicação dependem do evento e do risco, não apenas da técnica de cifragem.

Criptografia muda base legal, retenção ou direitos do titular?

Não por si só. Criptografia é uma medida de segurança. Ela não cria consentimento, tutela da saúde, obrigação legal ou outra hipótese de tratamento. Também não transforma uma finalidade incompatível em adequada. A organização deve justificar coleta, uso, compartilhamento e conservação separadamente.

Os direitos do titular continuam aplicáveis enquanto o conjunto permanecer pessoal. Uma resposta de acesso pode exigir formato seguro. Uma correção deve alcançar o registro correto. Uma eliminação pode envolver restrição imediata de uso e tratamento posterior de backups conforme política aprovada. O simples fato de um arquivo estar cifrado não encerra o pedido.

Responsabilidades de controlador e operador também permanecem. O contrato deve definir instruções, acesso a chaves, subcontratação, incidentes, devolução, eliminação e evidência. A discussão sobre DPA e contrato de operador LGPD ajuda a separar o papel jurídico do controle técnico. Nenhuma cláusula ou configuração, isoladamente, prova conformidade.

Perguntas frequentes

Criptografar o nome do paciente torna a agenda anônima?

Não automaticamente. Se a aplicação consegue descriptografar o nome ou associar outros campos à pessoa, o conjunto continua pessoal. A avaliação deve considerar toda a rota de reidentificação, não somente a aparência de uma coluna.

Dados criptografados deixam de ser dados pessoais sensíveis?

Não quando continuam associados ou associáveis a uma pessoa e revelam informação de saúde. A criptografia protege o conteúdo, mas não altera sozinha a natureza jurídica dos dados nem elimina os deveres aplicáveis.

Apagar a chave garante anonimização?

Não sem prova adicional. É preciso verificar outras chaves, cópias em texto claro, exportações, backups, tabelas auxiliares e combinações de atributos. A destruição efetiva de uma chave pode apoiar uma conclusão técnica estreita, não uma declaração universal.

Uma agenda criptografada está em conformidade com a LGPD?

Criptografia pode apoiar segurança, mas conformidade também depende de finalidade, necessidade, hipótese de tratamento, transparência, direitos, retenção, contratos e governança. Nenhuma configuração isolada resolve todas essas obrigações.

Referências

SaaS de agenda médica precisa guardar registros de acesso por seis meses pelo Marco Civil?

cmsapointoo on August 16, 2026

Um SaaS de agenda médica pode estar sujeito à guarda de registros de acesso a aplicações por seis meses, mas essa regra não manda conservar por seis meses todo o conteúdo da agenda. O Marco Civil da Internet define esse registro de forma estreita: data e hora de uso da aplicação a partir de determinado endereço IP.

O artigo 15 aplica o prazo a provedores de aplicações constituídos como pessoa jurídica e que exerçam a atividade de forma organizada, profissional e com fins econômicos. A análise ainda precisa considerar o papel real da empresa, a operação no Brasil e eventual ordem para preservação por prazo superior. Depois vem outra pergunta: quais outros dados podem ou devem ser guardados sob a LGPD?

Qual registro o Marco Civil manda guardar?

O artigo 5º, inciso VIII, chama de registro de acesso a aplicações o conjunto de informações sobre data e hora de uso de uma aplicação a partir de determinado endereço IP. Essa definição importa porque limita o objeto da regra. Ela não inclui automaticamente o conteúdo digitado, o motivo do contato, as mensagens, o histórico clínico ou todo evento técnico emitido pelo sistema.

Em uma agenda, o time pode produzir vários registros com nomes parecidos. O servidor web registra requisições. A camada de segurança registra tentativas de autenticação. O produto registra criação, alteração ou cancelamento de horários. A integração registra entregas e falhas. Só chamar tudo de “log” não torna os conjuntos equivalentes ao registro definido no artigo 5º.

A equipe deve manter um dicionário simples. Para cada conjunto, registre campos, origem, finalidade, prazo, leitores e destino final. Esse mapa também ajuda a responder um pedido LGPD de acesso à agenda sem entregar registros de segurança que não pertençam ao escopo aprovado.

Quem entra na regra de seis meses?

O artigo 15 dirige a obrigação ao provedor de aplicações de internet constituído como pessoa jurídica e que exerça essa atividade de forma organizada, profissional e com fins econômicos. Para quem se enquadra, os registros de acesso devem ser mantidos por seis meses, sob sigilo, em ambiente controlado e seguro.

Esse texto exige uma análise do serviço e da entidade, não apenas do setor do cliente. Uma empresa não escapa da pergunta porque se apresenta como ferramenta administrativa. Também não se enquadra apenas porque atende uma clínica. O jurídico deve relacionar a definição legal ao fluxo efetivamente oferecido e documentar a conclusão.

O prazo ordinário também não elimina ordens específicas de preservação. O Marco Civil permite que autoridade policial, administrativa ou Ministério Público requeira cautelarmente a manutenção de registros por prazo superior, dentro do procedimento legal. Por isso, uma rotina automática precisa aceitar bloqueio jurídico para registros identificados, sem congelar indiscriminadamente todo o banco.

Seis meses começam quando e terminam como?

A definição legal vincula o registro ao momento de uso da aplicação. Na prática, uma política deve explicar como o sistema calcula o vencimento a partir do evento registrado, qual fuso foi adotado e como trata relógios inconsistentes. O texto da lei não fornece uma arquitetura, um formato de timestamp ou um produto de nuvem. Essas decisões pertencem ao controle técnico.

O vencimento do prazo não deve ser confundido com exclusão imediata de todo dado relacionado à conta. Primeiro, identifique qual registro completou seis meses. Depois, verifique se há preservação válida, outra obrigação ou disputa que alcance aquele conjunto. Por fim, execute a regra de destino e confirme as cópias abrangidas.

Uma fila de expiração pode falhar em silêncio. Por isso, acompanhe eventos elegíveis, eventos processados, exceções autorizadas e erros. A prova adequada não é uma planilha com linhas pessoais. Use contagens, identificadores de execução, configurações aprovadas e amostras sintéticas. O artigo sobre eliminação de prontuário e dados de marketing mostra por que cada conjunto precisa de prazo próprio.

Guardar o registro autoriza usar os dados para outra finalidade?

Não. Dever de guarda e liberdade de uso são questões diferentes. O artigo 16 do Marco Civil veda a guarda de dados pessoais excessivos em relação à finalidade para a qual o titular consentiu seu tratamento. Também restringe a guarda de registros de acesso a outras aplicações sem consentimento prévio, respeitadas as condições legais.

A LGPD reforça a separação. O princípio da necessidade limita o tratamento ao mínimo pertinente, proporcional e não excessivo. Finalidade e adequação exigem compatibilidade entre o que foi informado e o uso real. Segurança e prevenção exigem medidas contra acesso, perda, alteração ou tratamento inadequado.

Logo, a retenção do registro legal não autoriza enriquecer perfil comercial, reconstruir comportamento ou manter campos extras “para o caso de precisar”. Se uma equipe pretende usar outro conjunto para suporte, fraude, faturamento ou segurança, ela deve definir finalidade, fundamento e prazo próprios. A análise sobre legítimo interesse em formulários de agendamento explica por que dados sensíveis não cabem numa justificativa genérica.

Como separar registro de acesso, auditoria e dados da agenda?

Comece por três caixas, mesmo que a infraestrutura guarde tudo no mesmo serviço. A primeira contém somente o registro de acesso definido no Marco Civil. A segunda contém eventos internos de auditoria e segurança, como alteração de permissão ou mudança de configuração. A terceira contém dados funcionais da agenda. Misturar armazenamento físico não elimina essa separação lógica.

Cada caixa precisa de uma política. O registro legal recebe o prazo e as salvaguardas aplicáveis. O log de auditoria recebe prazo baseado em risco, obrigações, contratos e necessidade operacional. A agenda segue sua finalidade e as normas relevantes. Campos compartilhados devem manter controles coerentes, mas não herdam automaticamente o maior prazo encontrado.

Considere uma alteração de disponibilidade feita por um administrador. O registro de acesso pode documentar data, hora e IP de uso. O log de auditoria pode registrar que uma configuração mudou. A agenda passa a mostrar outro horário. São três fatos ligados, porém com finalidades diferentes. O sistema deve conseguir expirar um sem quebrar a integridade dos outros.

Que controles tornam a guarda defensável?

O artigo 15 não pede apenas retenção. Ele exige sigilo e ambiente controlado e seguro. Uma implementação defensável restringe leitura, registra ações administrativas, protege chaves e credenciais, monitora exportações e testa a expiração. O desenho deve reduzir cópias informais, pois uma exportação manual pode sobreviver ao ciclo do sistema principal.

  1. Documente o enquadramento do provedor e a versão da análise jurídica.
  2. Defina o esquema mínimo do registro de acesso e rejeite campos extras.
  3. Separe permissões de leitura, operação e alteração de retenção.
  4. Registre mudanças de configuração sem copiar o conteúdo protegido.
  5. Implemente expiração por evento e bloqueio para preservação autorizada.
  6. Teste a busca, a restrição de acesso e o vencimento com dados sintéticos.
  7. Revise réplicas, exportações e cópias sob responsabilidade de operadores.
  8. Guarde evidência proporcional da execução e das exceções.

Responsabilidades contratuais também precisam acompanhar o fluxo. O conteúdo sobre BAA, DPA e contrato de operador ajuda a distinguir instrução do controlador, dever do operador, subcontratação e retorno ou eliminação no encerramento. Contrato não corrige retenção mal configurada, mas reduz zonas sem dono.

Como responder a um pedido de eliminação?

Um pedido de titular não deve acionar uma exclusão cega nem uma recusa automática de seis meses. Localize os conjuntos abrangidos, separe o registro legal dos demais dados e examine o estágio do prazo. A resposta deve explicar de forma clara o que foi eliminado, bloqueado, conservado ou encaminhado a outro agente, conforme o caso.

A LGPD prevê hipóteses de conservação após o término do tratamento no artigo 16. Elas são específicas e não criam permissão geral para manter todo o perfil. Se a organização conservar determinado registro, restrinja os usos à finalidade aprovada e impeça que o item volte a alimentar rotinas incompatíveis.

Um pedido pode também revelar acesso indevido, cópia desconhecida ou falha de expiração. Nesse caso, o atendimento ao titular e o processo de incidente seguem trilhas coordenadas, mas distintas. O guia sobre comunicação de incidente à ANPD aborda avaliação de risco, agentes envolvidos e registro da decisão.

Perguntas frequentes

Todo log de uma agenda médica deve ficar seis meses?

Não. O Marco Civil define um registro específico composto por data, hora e endereço IP de acesso à aplicação. Logs de auditoria, integrações e dados funcionais exigem análise própria de finalidade, fundamento, risco e prazo.

O SaaS pode apagar o registro antes de seis meses se o usuário pedir?

Não deve decidir isso por um comando genérico. Se o provedor estiver sujeito ao artigo 15, a obrigação de guarda precisa entrar na análise. Outros dados do pedido podem receber eliminação, bloqueio ou conservação distinta.

Uma ordem pode estender o prazo?

Sim. O Marco Civil prevê procedimento para preservação cautelar de registros por prazo superior. A organização deve validar a ordem e restringir o bloqueio aos registros alcançados, com acesso controlado e evidência da decisão.

Se o banco usa criptografia, a obrigação está cumprida?

Não. Criptografia pode apoiar segurança, mas o artigo 15 também exige sigilo e controle. Escopo mínimo, permissões, monitoramento, expiração, cópias e resposta a incidentes continuam relevantes.

Referências

Agenda online com dados de saúde exige RIPD antes do lançamento?

cmsapointoo on August 16, 2026

Uma agenda online não exige automaticamente um Relatório de Impacto à Proteção de Dados Pessoais apenas porque trata dados de saúde. A ANPD recomenda que o controlador elabore o RIPD antes de iniciar uma operação que possa gerar alto risco. A Autoridade também pode exigir o documento, inclusive em operações com dados pessoais sensíveis. São fundamentos diferentes de uma obrigação universal para todo formulário de clínica.

Enquanto não houver regulamento específico sobre RIPD, a ANPD indica como parâmetro, no que couber, o teste de alto risco da Resolução CD/ANPD nº 2/2022: ao menos um critério geral combinado com um critério específico. Dado de saúde satisfaz um critério específico, mas não encerra sozinho a análise. O controlador decide e documenta; o SaaS operador pode fornecer evidências técnicas, sem assumir a decisão jurídica da clínica.

O que é um RIPD na LGPD?

O artigo 5º, XVII define o RIPD como documentação do controlador que descreve processos de tratamento capazes de gerar riscos às liberdades civis e aos direitos fundamentais, além de medidas, salvaguardas e mecanismos de mitigação. O documento não é um selo do produto nem uma declaração curta de conformidade.

O artigo 38 permite que a ANPD determine ao controlador a elaboração do relatório, inclusive para tratamento de dados sensíveis. Seu conteúdo mínimo inclui tipos de dados coletados, metodologia usada para coleta e segurança das informações e análise das medidas e salvaguardas adotadas.

Um bom relatório precisa descrever a operação real. Para uma agenda, isso inclui campos visíveis e ocultos, finalidades, titulares, integrações, acessos, retenção, transferências, incidentes plausíveis e controles. O guia sobre base legal e dados de saúde no formulário mostra por que campo e finalidade não podem ser avaliados como um bloco único.

Quem responde pela elaboração?

A ANPD é direta: o controlador é responsável pelo RIPD. Na agenda de uma clínica, a identificação do controlador depende das decisões reais sobre finalidades e meios essenciais. O contrato e o rótulo comercial do fornecedor ajudam a registrar a relação, mas não mudam os papéis por vontade das partes.

O operador pode fornecer arquitetura, inventário de campos, subprocessadores, regiões, retenção, permissões, logs, testes e histórico de incidentes. A ANPD admite a consulta a operadores e considera desejável ouvir o encarregado. Essa colaboração não transfere ao fornecedor a decisão de prosseguir, modificar ou interromper o tratamento.

A divisão deve aparecer no contrato e no processo. O artigo sobre BAA, DPA e contrato de operador LGPD explica por que instruções, evidências e responsabilidades precisam acompanhar o papel efetivo, não apenas o título do documento.

Quando a ANPD recomenda preparar o relatório?

A orientação geral é elaborar o RIPD quando as operações possam gerar alto risco aos princípios da LGPD, às liberdades civis ou aos direitos fundamentais. A ANPD recomenda fazê-lo antes de iniciar o tratamento para a finalidade desejada. Isso permite avaliar probabilidade, impacto e salvaguardas antes de expor titulares.

Se não for possível preparar o documento antes, a orientação é elaborá-lo assim que o controlador identificar tratamento capaz de gerar alto risco. O relatório também deverá ser feito quando a ANPD o solicitar. Portanto, “antes do lançamento” é a sequência recomendada para uma operação identificada como potencialmente arriscada, não uma data legal automática para toda agenda.

O RIPD deve acompanhar mudanças relevantes. Novo campo clínico, integração, finalidade, decisão automatizada, grupo vulnerável, região, suboperador ou incidente pode alterar o risco. A ANPD recomenda revisão contínua quando fatos novos mudarem os fatores avaliados.

Como funciona o parâmetro de alto risco?

Enquanto não houver regulamento específico sobre RIPD, a ANPD diz que controladores podem usar, no que couber, o conceito do artigo 4º da Resolução nº 2. Esse conceito exige cumulativamente ao menos um critério geral e um critério específico.

Os critérios gerais são tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais. Os específicos incluem tecnologias emergentes ou inovadoras, vigilância de zonas públicas, decisões tomadas unicamente por tratamento automatizado e uso de dados sensíveis ou de crianças, adolescentes e idosos.

Uma agenda que trata dado de saúde pode preencher o critério específico de dado sensível. Ainda é preciso avaliar um critério geral no caso concreto. A própria ANPD diz que os critérios não são exaustivos para RIPD. Use-os como parâmetro documentado, não como calculadora que gera uma resposta universal.

Como avaliar uma agenda online no caso concreto?

Comece pelo fluxo, não pelo nome do produto. Uma agenda pode recolher somente contato e horário ou também motivo da consulta, especialidade, procedimento, documentos, respostas de triagem e dados de representante. Volume, frequência, duração, alcance geográfico e grupos vulneráveis mudam o risco.

Avalie efeitos possíveis sobre o titular: exposição de condição, discriminação, impedimento de serviço, fraude, perda de confidencialidade, indisponibilidade, alteração indevida ou uso incompatível. Um agendamento pediátrico merece análise própria; o conteúdo sobre LGPD, ECA Digital e melhor interesse ajuda a separar criança, responsável e finalidade.

Descreva também automações. Ordenar horários não é necessariamente uma decisão que afeta interesses, mas recusar, desviar ou atrasar acesso com base exclusivamente automatizada pode mudar a análise. Registre o que o sistema faz, os dados usados, as alternativas e a intervenção disponível.

O que deve entrar no documento?

A página da ANPD recomenda identificar agentes e encarregado, projeto, sistemas, categorias de titulares, dados pessoais e sensíveis, fontes, finalidades, compartilhamentos, transferências internacionais, retenção, descarte, hipóteses legais, riscos e medidas de mitigação. O nível de detalhe deve permitir compreender o tratamento e os riscos sem reproduzir dados reais de pacientes.

Use diagramas e exemplos sintéticos. Inclua interfaces, API, banco, filas, logs, backups, suporte e fornecedores. Registre quais campos chegam a cada destino e quem pode acessá-los. Uma lista genérica de serviços não mostra se texto clínico entra em analytics ou se uma equipe de marketing recebe o objeto inteiro.

O documento também precisa registrar decisões. Se uma área discordar do risco ou da salvaguarda, a ANPD considera boa prática manter a opinião e a justificativa da escolha. Ao final, o controlador avalia se prossegue, modifica ou interrompe o processo e acompanha a implementação das medidas.

O RIPD precisa ser enviado ou publicado?

Como regra geral, a LGPD não manda enviar automaticamente o RIPD à ANPD. A Autoridade pode requerer o documento e informações adicionais no exercício de suas atribuições. Mantenha uma versão controlada e pronta para revisão, sem tratar ausência de envio como dispensa de elaboração quando o risco justificar o relatório.

A publicação também não é obrigatória em regra para entidades privadas. A ANPD apresenta a divulgação como possível medida de transparência e admite uma versão pública diferente da interna para proteger segredos e outras informações resguardadas. Entidades públicas têm regras próprias.

Não publique arquitetura defensiva, credenciais, caminhos de ataque ou dados pessoais para demonstrar transparência. Uma versão pública pode resumir finalidades, categorias, riscos e salvaguardas sem expor controles sensíveis.

O que o RIPD não substitui?

O relatório não escolhe sozinho a hipótese legal, não corrige coleta excessiva e não transforma uma configuração insegura em aceitável. Base legal, finalidade, necessidade, transparência, direitos, segurança, contratos e resposta a incidentes continuam sendo decisões e controles próprios.

Também não substitui encarregado ou canal quando estes forem exigidos. A análise sobre encarregado em clínica pequena usa o mesmo teste de alto risco para uma finalidade regulatória diferente. Não copie a conclusão de uma obrigação para outra sem verificar o texto aplicável.

Se o relatório identificar risco de incidente, transforme a salvaguarda em procedimento testável. O guia sobre incidente com dados de saúde separa comunicação, papéis, prazo e registro. Citar esse fluxo no RIPD sem testá-lo não prova capacidade de resposta.

Um fluxo de decisão antes do lançamento

  1. Defina controlador, operadores, encarregado e aprovadores.
  2. Mapeie finalidades, campos, titulares, sistemas, destinos e retenção.
  3. Identifique dados sensíveis, vulneráveis, escala e possíveis efeitos.
  4. Aplique a combinação de um critério geral com um critério específico e registre outras condições de risco.
  5. Decida, com revisão qualificada, se o RIPD é recomendado ou exigido.
  6. Descreva metodologia, riscos, controles, lacunas e responsáveis.
  7. Teste salvaguardas com dados sintéticos antes de liberar o fluxo.
  8. Registre a decisão de lançar, limitar, redesenhar ou interromper.
  9. Defina gatilhos de revisão para mudanças e incidentes.

O resultado responsável é limitado: o controlador avaliou uma operação definida, numa versão e data específicas, e implementou as medidas registradas. Não converta isso em declaração permanente de que o produto ou a clínica está em conformidade com toda a LGPD.

Perguntas frequentes

Todo formulário que coleta dado de saúde exige RIPD?

Não automaticamente. Dado sensível é um fator importante, mas a ANPD recomenda avaliar o alto risco no caso concreto e pode exigir o relatório nas hipóteses legais.

O dado de saúde sozinho cumpre o teste da Resolução nº 2?

Ele cumpre um critério específico. O artigo 4º exige também ao menos um critério geral para o conceito de alto risco daquele regulamento. Para RIPD, a ANPD usa esse modelo como parâmetro não exaustivo.

O SaaS operador pode assinar o RIPD pela clínica?

Não deve presumir essa transferência. A ANPD atribui a responsabilidade ao controlador. O operador pode fornecer evidências e participar da análise conforme contrato e instruções.

O RIPD deve ser enviado à ANPD antes do lançamento?

Não como regra geral. A ANPD pode solicitar o documento. A recomendação é elaborá-lo antes do tratamento de alto risco para que controles e decisão sejam avaliados a tempo.

Referências

Pedido de eliminação pela LGPD: prontuário e dados de marketing devem ser apagados juntos?

cmsapointoo on August 16, 2026

Não. Um pedido de eliminação pela LGPD não significa apagar prontuário e dados de marketing juntos, nem autoriza a clínica a conservar tudo sob o rótulo de prontuário. O artigo 18 separa dados desnecessários, excessivos ou tratados em desconformidade dos dados tratados com consentimento. Para estes últimos, o direito de eliminação admite as hipóteses de conservação do artigo 16.

A Lei nº 13.787/2018 cria outra fronteira para o prontuário de paciente. Seu artigo 6º prevê prazo mínimo de 20 anos desde o último registro antes que o prontuário possa ser eliminado. A resposta correta exige inventário por conjunto, finalidade e fundamento: prontuário assistencial, cadastro de agendamento, lista promocional, chamados de suporte, logs, exportações e cópias do operador não têm automaticamente o mesmo prazo.

Quais direitos de eliminação aparecem no artigo 18?

O inciso IV do artigo 18 permite pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD. O inciso VI trata da eliminação de dados pessoais tratados com consentimento, ressalvadas as hipóteses do artigo 16. As duas vias não devem ser resumidas como um direito absoluto de apagar qualquer registro.

Quando não puder adotar a providência imediatamente, o controlador deve responder conforme o § 4º do artigo 18, inclusive apresentando as razões de fato ou de direito que impedem a ação. A página da ANPD sobre petição de titular reforça que direitos não são absolutos e cita como exemplo um pedido de exclusão diante de obrigação legal de guarda.

Eliminação também não é o mesmo que acesso. O fluxo sobre prazo para pedido de acesso à agenda trata dos relógios de confirmação e declaração. Um pedido pode reunir acesso, correção e eliminação, mas cada direito precisa de decisão, prazo e evidência próprios.

O que o artigo 16 permite conservar?

O artigo 16 parte da eliminação após o término do tratamento, dentro dos limites técnicos das atividades, e autoriza conservação para finalidades enumeradas. Entre elas estão cumprimento de obrigação legal ou regulatória pelo controlador, estudo por órgão de pesquisa sob as condições legais, transferência a terceiro em conformidade com a lei e uso exclusivo do controlador com anonimização e sem acesso por terceiro.

Essas hipóteses não são uma licença para guardar a ficha completa por prazo indefinido. O controlador deve apontar qual conjunto permanece, qual finalidade de conservação se aplica e quais usos ficam bloqueados. Uma obrigação relativa ao prontuário não se estende automaticamente ao cadastro promocional ou a uma exportação criada para campanha.

Também não basta escrever “exercício regular de direitos” numa política de retenção e encerrar a análise. O artigo 16 tem texto próprio. Outras bases e normas podem ser relevantes para um caso concreto, mas precisam de avaliação jurídica específica, não de uma justificativa genérica aplicada a todas as tabelas.

Qual é a regra de 20 anos para prontuários?

A Lei nº 13.787/2018 rege a digitalização e o uso de sistemas informatizados para guarda, armazenamento e manuseio de prontuários. O artigo 6º diz que, decorrido o prazo mínimo de 20 anos a partir do último registro, prontuários em papel e digitalizados poderão ser eliminados. A lei permite que regulamento fixe prazos diferentes conforme usos científicos, legais e probatórios.

O texto usa “poderão”. A chegada ao vigésimo ano não cria eliminação automática. A clínica ainda precisa confirmar normas setoriais, finalidade, litígios, requisitos probatórios e procedimento aplicável. Antes do prazo mínimo, um pedido LGPD não deve ser usado para apagar o prontuário sem essa análise.

A lei também exige que a eliminação preserve intimidade, sigilo e confidencialidade, e determina o registro da destinação final e da eliminação na forma do regulamento. A alternativa de devolver o prontuário ao paciente aparece no próprio artigo. Nenhuma dessas opções autoriza uma operação improvisada no banco de produção.

Digitalizar o papel é diferente de eliminar o prontuário

O artigo 3º da Lei nº 13.787 permite destruir documentos originais depois de uma digitalização que cumpra os requisitos legais e após análise obrigatória da comissão permanente responsável. Isso não equivale a eliminar o prontuário. O documento digital preservado continua sendo o registro.

Confundir os dois eventos pode produzir uma resposta errada ao titular. A clínica pode ter destruído o papel de forma regular e ainda precisar conservar o documento digital. Da mesma forma, apagar um arquivo local não prova que o sistema de prontuário, o operador, o backup ou uma exportação seguiram a mesma providência.

O inventário deve registrar formato, sistema de origem, cópias autorizadas e responsáveis. A lei exige integridade, autenticidade e confidencialidade na digitalização e proteção contra acesso, alteração, reprodução ou destruição não autorizados durante o armazenamento.

Como separar prontuário, agenda e marketing?

Nem todo dado no software de agenda integra automaticamente o prontuário, e nem todo dado fora do prontuário é descartável. A qualificação depende do conteúdo, uso, normas do setor e fluxo real. Mapeie ao menos prontuário assistencial, pedido de agendamento, contatos administrativos, consentimentos promocionais, mensagens, logs de segurança e documentos de cobrança.

Para cada conjunto, registre finalidade, hipótese analisada, prazo, sistema, acesso, compartilhamentos e destino final. A discussão sobre dados de saúde no formulário de agendamento mostra por que campos reunidos na mesma tela podem pertencer a tratamentos diferentes.

Se um telefone foi copiado do agendamento para uma lista baseada em consentimento promocional, a obrigação de guardar o prontuário não justifica manter essa cópia. Se o mesmo telefone ainda for necessário dentro de um registro legalmente conservado, restrinja-o à finalidade aprovada. A decisão ocorre por registro e contexto, não por identidade da pessoa em abstrato.

O que controlador e operador devem fazer?

A clínica precisa determinar o escopo da resposta conforme seu papel e os fatos. O operador executa o tratamento segundo instruções do controlador e deve conseguir localizar, bloquear, exportar ou eliminar dados conforme o contrato e a operação aprovada. O nome comercial “plataforma” não resolve os papéis.

O § 6º do artigo 18 exige informar de maneira imediata aos agentes com os quais houve uso compartilhado sobre correção, eliminação, anonimização ou bloqueio, para que repitam o procedimento, salvo impossibilidade comprovada ou esforço desproporcional. O fluxo deve registrar destinatários, instruções, retornos e exceções.

O artigo sobre BAA, DPA e contrato de operador LGPD ajuda a transformar essa divisão em cláusulas sobre instruções, subcontratação, devolução, eliminação e evidência. O contrato apoia a execução, mas não substitui a decisão jurídica sobre cada conjunto.

Como responder sem apagar demais nem reter demais?

  1. Registre o pedido, a identidade validada, o representante e o escopo solicitado.
  2. Separe os direitos envolvidos, como acesso, correção, bloqueio e eliminação.
  3. Localize conjuntos e cópias sem despejar dados sensíveis num chamado geral.
  4. Classifique prontuário, agenda, marketing, suporte, logs e documentos financeiros.
  5. Associe cada conjunto à finalidade, fundamento, prazo e eventual exceção.
  6. Obtenha aprovação jurídica para retenções ou recusas de alto risco.
  7. Instrua operadores e outros agentes sobre a providência aplicável.
  8. Verifique conclusão, exceções, backups e bloqueio de reutilização.
  9. Responda ao titular com linguagem clara e razões específicas.

Não use uma tela sem resultados como única prova. Preserve identificadores de operação, datas, sistemas verificados, contagens e respostas dos agentes. Evite guardar uma cópia integral dos dados eliminados apenas para demonstrar que foram eliminados.

Quando o pedido revela outro problema?

Um pedido pode mostrar que dados de marketing continuam ativos após revogação, que um operador conserva uma exportação desconhecida ou que a clínica não consegue separar prontuário de CRM. Trate a causa como falha de governança e corrija o fluxo, sem ampliar silenciosamente a resposta para sistemas não verificados.

Se a busca apontar acesso indevido, perda, exposição ou destruição acidental, acione o processo de incidente. O conteúdo sobre comunicação de incidente à ANPD separa a investigação e o teste de risco do atendimento ao titular.

A resposta de eliminação não deve encobrir um incidente nem destruir evidência necessária. Preserve somente o que a equipe jurídica e de segurança determinar, com acesso limitado e finalidade registrada.

Perguntas frequentes

Revogar consentimento apaga automaticamente o prontuário?

Não. O artigo 18, VI remete às hipóteses de conservação do artigo 16, e o prontuário possui regra setorial de guarda. A clínica deve avaliar o conjunto e explicar a razão aplicável.

Depois de 20 anos a clínica é obrigada a eliminar o prontuário?

Não por essa regra isolada. A Lei nº 13.787 diz que o prontuário poderá ser eliminado após o prazo mínimo e admite prazos diferenciados. Confirme as normas e os fatos do caso.

Guardar o prontuário permite manter o contato numa lista promocional?

Não automaticamente. Prontuário e marketing têm finalidades distintas. A clínica precisa justificar a cópia promocional por seu próprio fundamento e eliminá-la ou bloqueá-la quando o pedido for aplicável.

Apagar o registro principal encerra a solicitação?

Não sem verificar o escopo aprovado. Operadores, agentes de compartilhamento, exportações e backups podem exigir providências próprias, limitações documentadas ou espera pelo ciclo de retenção.

Referências

Pedido LGPD de acesso à agenda da clínica: a resposta vence imediatamente, em 15 ou em 30 dias?

cmsapointoo on August 16, 2026

Um pedido LGPD de acesso à agenda da clínica não tem um único prazo. Para o regime comum, confirmação de existência ou acesso em formato simplificado deve ser providenciado imediatamente. A declaração clara e completa, com origem dos dados, inexistência de registro, critérios utilizados e finalidade do tratamento, pode ser fornecida em até 15 dias.

Um agente de tratamento de pequeno porte que possa usar o regime diferenciado recebe outra janela: até 15 dias para a declaração simplificada e prazo dobrado para a declaração completa. Como o prazo comum completo é 15 dias, o resultado de 30 dias é aritmética derivada de 15 multiplicado por dois. Nem a LGPD nem a resolução dizem que toda clínica tem 30 dias.

O que “imediatamente” cobre

O artigo 19, I da LGPD trata da confirmação de existência ou do acesso em formato simplificado. Essa é a resposta que deve ser providenciada imediatamente no regime comum. Ela pode confirmar que há tratamento e entregar uma visão simples dos dados do titular, conforme o conteúdo efetivamente pedido e a capacidade de validar a identidade com segurança.

“Imediatamente” não ganha um número de horas no artigo 19. A clínica não deve inventar um limite oficial de 24, 48 ou 72 horas. Operacionalmente, pode definir uma meta interna mensurável, desde que essa meta ajude a cumprir a exigência e não seja apresentada como texto da lei.

Uma resposta automática dizendo apenas “recebemos seu contato” também não é necessariamente a confirmação ou o acesso solicitado. Ela prova recebimento. A equipe ainda precisa entender se o titular pediu confirmação, cópia simples, declaração completa, correção ou outro direito do artigo 18.

Quando vale o prazo de até 15 dias

O artigo 19, II prevê declaração clara e completa em até 15 dias, contados da data do requerimento. Essa declaração indica origem dos dados, eventual inexistência de registro, critérios utilizados e finalidade do tratamento, respeitados os segredos comercial e industrial. A página da ANPD sobre direitos dos titulares repete a divisão entre resposta imediata e informações completas em 15 dias.

O pedido pode alcançar identificação, contato, solicitações, horários, status e outros registros da agenda. O escopo depende dos dados que a clínica trata sobre o titular. Estar num sistema ou integração não os retira do mapa.

A resposta deve usar meio eletrônico seguro e idôneo ou forma impressa, conforme a opção prevista na lei. A clínica precisa evitar que o processo de acesso exponha dados a outra pessoa. Verificação de identidade, registro da entrega e limitação de permissões são controles operacionais. Eles não autorizam criar obstáculos desproporcionais ao exercício gratuito do direito.

Por que alguns agentes chegam a 15 e 30 dias

A Resolução CD/ANPD nº 2 concede prazos diferenciados a agentes de tratamento de pequeno porte elegíveis. Seu artigo 15 permite fornecer a declaração simplificada em até 15 dias desde o requerimento. O artigo 14 concede prazo em dobro para a declaração clara e completa prevista no artigo 19, II da LGPD.

O cálculo da forma completa é direto: duas vezes o prazo legal de 15 dias resulta em 30 dias. Esse número é uma inferência aritmética das duas normas. Deve ser rotulado assim em política, treinamento e conteúdo, em vez de atribuído a uma passagem que diga literalmente “30 dias”.

A extensão não pertence a toda empresa que se considera pequena. Receita, grupo econômico e tratamento de alto risco podem excluir o benefício. O teste de alto risco da resolução exige cumulativamente um critério geral e um específico. Dados de saúde cumprem um critério específico, mas ainda é necessário avaliar escala ou impacto significativo. A clínica deve registrar seu enquadramento antes de aplicar prazo diferenciado.

Clínica controladora e SaaS operador não respondem pelo mesmo papel

A LGPD define controlador como quem toma decisões referentes ao tratamento e operador como quem trata dados em nome do controlador. Numa configuração comum, a clínica decide finalidade, campos, retenção e atendimento do titular; a plataforma executa instruções e fornece recursos para localizar, exportar, corrigir ou eliminar dados. Os fatos podem atribuir papéis diferentes em outra atividade.

O titular pode apresentar requerimento a agente de tratamento, mas a clínica não deve presumir que encaminhar o email ao fornecedor transfere sua responsabilidade. O operador precisa responder com rapidez suficiente para que o controlador cumpra o prazo aplicável. O conteúdo sobre BAA, DPA e contrato de operador LGPD ajuda a alinhar contrato com essa divisão real.

O fluxo deve ter responsável, canal, identificação do tenant, busca restrita, revisão e entrega. O operador não deve pesquisar outras clínicas para completar uma resposta. A exportação fica limitada ao titular e ao controlador corretos, com logs de quem executou cada etapa.

Como separar confirmação, acesso e declaração completa

O primeiro passo é classificar o pedido pelo resultado solicitado. Confirmação responde se existe tratamento. Acesso simplificado fornece os dados de forma simples. Declaração completa acrescenta origem, critérios e finalidade. Correção, eliminação, bloqueio, portabilidade e informação sobre compartilhamento têm objetos próprios e podem exigir outro fluxo.

Não presuma que toda mensagem com a palavra “dados” exige a exportação máxima. Peça esclarecimento quando o objeto estiver realmente ambíguo, sem usar a pergunta para reiniciar artificialmente o relógio. Se a adoção imediata da providência for impossível, o artigo 18 exige resposta que indique que a organização não é o agente responsável ou apresente as razões de fato ou de direito que impedem a medida.

Uma matriz evita misturar saídas: tipo de direito, data de entrada, identidade validada, sistemas pesquisados, formato, prazo, responsável e evidência da entrega. Use dados sintéticos para testar o processo. O artigo sobre origem de agendamento e origem de marketing mostra por que sistemas podem guardar fatos relacionados sem terem a mesma finalidade.

Um fluxo operacional que não perde o prazo

  1. Registre a data e o canal de entrada sem copiar o pedido para ferramentas não aprovadas.
  2. Valide a identidade por método proporcional ao risco dos dados.
  3. Classifique o direito e confirme se a resposta pedida é simplificada ou completa.
  4. Identifique a clínica controladora, o tenant e os sistemas que tratam dados daquele titular.
  5. Confirme se existe enquadramento documentado para prazo de pequeno porte.
  6. Calcule a data interna sem apresentar a meta operacional como prazo legal diferente.
  7. Exporte somente registros pertencentes ao titular validado.
  8. Revise conteúdo, destinatário e meio antes da entrega.
  9. Registre resposta, data, escopo, responsável e falhas encontradas.

O sistema pode alertar antes do limite, mas a automação não decide sozinha se a extensão de pequeno porte se aplica. Também não deve enviar exportação sensível apenas porque alguém controlou o endereço de email. A revisão humana continua necessária onde identidade, escopo ou papel estejam em dúvida.

Pedidos que revelam falhas ou incidentes

Uma solicitação pode mostrar que dados estão associados à pessoa errada, que outra unidade consegue vê-los ou que uma integração manteve cópia inesperada. O atendimento do direito e a avaliação de segurança passam a correr em trilhas coordenadas. Um não deve ser encerrado apenas porque o outro foi aberto.

Se houver suspeita de incidente, preserve evidências e acione o processo apropriado. O guia sobre incidente com dados de saúde e comunicação à ANPD explica papéis e prazos desse fluxo. Não use a investigação como justificativa genérica para ignorar o pedido de acesso.

Dados de crianças ou adolescentes exigem cuidado com representante, identidade e melhor interesse. O conteúdo sobre agendamento pediátrico ajuda a mapear essa camada, sem produzir uma resposta universal para toda relação familiar.

Como comunicar o prazo sem criar uma promessa errada

A confirmação ao titular pode identificar o pedido, o canal seguro e a próxima etapa. Se a resposta for simplificada e o regime comum se aplicar, trate a obrigação imediata como tal. Se a pessoa pediu declaração completa, informe a data correspondente ao prazo de até 15 dias, sem sugerir que a clínica sempre consumirá todo o período.

Quando houver pequeno porte elegível, explique que a forma simplificada pode ser entregue em até 15 dias e que o prazo da declaração completa é dobrado pela resolução. Se mencionar 30 dias, diga expressamente que é resultado de duplicar os 15 dias do artigo 19. Registre a base do enquadramento para que suporte, privacidade e jurídico comuniquem a mesma regra.

Setores específicos, Poder Público, outras leis e fatos do caso podem alterar procedimento ou prazo. A política deve indicar essas fronteiras e exigir revisão qualificada quando o pedido sair do fluxo padrão.

Perguntas frequentes

Toda solicitação de acesso pode esperar 15 dias?

Não. No regime comum, confirmação ou acesso simplificado deve ser providenciado imediatamente. O prazo de até 15 dias se refere à declaração clara e completa descrita no artigo 19, II.

Onde a LGPD diz literalmente que uma clínica pequena tem 30 dias?

Ela não traz essa frase. Trinta dias é cálculo derivado: o artigo 19 fixa até 15 dias para a declaração completa e a Resolução nº 2 concede prazo em dobro ao agente de pequeno porte elegível.

O fornecedor da agenda pode responder diretamente ao paciente?

Depende dos papéis, das instruções e do canal aprovado. O operador deve apoiar o controlador e proteger o tenant correto. Ele não assume automaticamente a decisão jurídica da clínica por hospedar ou exportar os dados.

Um pedido de agenda é sempre igual a um pedido de prontuário?

Não. Este artigo trata do acesso a dados pessoais sob a LGPD no fluxo de agenda. Conteúdo, guarda e acesso a prontuário podem envolver outras normas e fatos, que precisam de análise própria.

Referências

Clínica pequena que trata dados de saúde precisa nomear encarregado pela LGPD?

cmsapointoo on August 16, 2026

Uma clínica pequena pode ficar dispensada de nomear encarregado pela LGPD, mas o número de funcionários ou o tamanho do consultório não decide isso sozinho. A dispensa da Resolução CD/ANPD nº 2 vale para quem se enquadra como agente de tratamento de pequeno porte e não cai nas exclusões do próprio regulamento. Mesmo quando a dispensa se aplica, a clínica precisa manter um canal de comunicação com titulares.

Tratar dados de saúde também não encerra a análise. Dados sensíveis são um critério específico de alto risco. Para o tratamento ser classificado como alto risco nesse regulamento, deve existir, cumulativamente, pelo menos um critério geral e um critério específico. Portanto, dado de saúde não retira automaticamente o regime diferenciado, mas pode retirá-lo quando aparece junto de larga escala ou de impacto significativo sobre interesses e direitos fundamentais.

A regra geral e a exceção para pequeno porte

O artigo 41 da LGPD estabelece que o controlador deve indicar encarregado pelo tratamento de dados pessoais. A lei permite que a ANPD defina hipóteses de dispensa conforme natureza, porte ou volume das operações. A Resolução CD/ANPD nº 2 usa essa competência para dar tratamento diferenciado a determinados agentes de pequeno porte.

O artigo 2º do regulamento inclui microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, pessoas naturais e entes privados despersonalizados que assumem obrigações de controlador ou operador, desde que atendam às condições legais aplicáveis. O enquadramento empresarial precisa ser comprovável. Uma clínica com poucos profissionais não deve presumir que pertence à categoria apenas porque sua operação parece modesta.

Há também exclusões ligadas a receita e grupo econômico. Se a receita supera o limite referido pelo regulamento, ou se o grupo econômico ultrapassa esse limite globalmente, o tratamento diferenciado não se aplica. A decisão começa com documentos societários e financeiros, não com uma descrição informal do negócio.

O teste de alto risco tem duas partes cumulativas

O artigo 3º impede o uso do regime diferenciado quando o agente realiza tratamento de alto risco, salvo uma hipótese restrita de organização coletiva prevista no artigo 8º. O artigo 4º define alto risco por uma combinação: ao menos um critério geral e ao menos um critério específico. As duas partes são obrigatórias.

Os critérios gerais são tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares. A resolução orienta a avaliação de larga escala pelo número significativo de titulares, pelo volume, pela duração, pela frequência e pela extensão geográfica. Impacto significativo pode existir quando o tratamento impede direitos ou uso de um serviço, ou pode causar danos materiais ou morais, discriminação, fraude, roubo de identidade ou outras consequências descritas no regulamento.

Entre os critérios específicos estão uso de tecnologia emergente, vigilância de zonas públicas, certas decisões exclusivamente automatizadas e uso de dados sensíveis ou de dados de crianças, adolescentes e idosos. Dado referente à saúde é dado pessoal sensível sob o artigo 5º da LGPD. Isso satisfaz o lado específico. Ainda é preciso testar o lado geral.

Como aplicar o teste a uma clínica sem automatizar a conclusão

Uma agenda que recebe nome, contato, horário e uma informação sobre o serviço procurado pode tratar dado de saúde, dependendo do que o conjunto revela. O conteúdo sobre legítimo interesse e dados de saúde no formulário explica por que campo e finalidade precisam ser avaliados separadamente.

Depois de identificar dados sensíveis, a clínica deve medir o critério geral com fatos. Quantas pessoas estão incluídas? Qual volume fica retido? O tratamento é contínuo ou ocasional? Abrange uma unidade local ou uma rede? Uma falha poderia impedir atendimento, expor condição de saúde ou produzir discriminação? Essas perguntas ajudam a aplicar os fatores do regulamento sem transformar um único número em regra universal.

Dois consultórios com a mesma receita podem chegar a resultados diferentes. Um pode manter uma agenda limitada e com pouca retenção. Outro pode integrar várias unidades, perfis sensíveis, automações decisórias e histórico amplo. A análise pertence a cada operação de tratamento. O porte da empresa não apaga a natureza, escala ou consequência do fluxo.

Dispensa de encarregado não significa ausência de contato

O artigo 11 da Resolução nº 2 dispensa os agentes de pequeno porte elegíveis de indicar encarregado. O parágrafo seguinte impõe uma condição operacional: quem não indicar encarregado deve disponibilizar canal de comunicação com o titular para cumprir a função de aceitar reclamações e comunicações, prestar esclarecimentos e adotar providências.

Esse canal precisa existir na prática. A clínica deve publicar um meio acessível, atribuir responsabilidade interna, registrar solicitações e impedir que mensagens fiquem esquecidas numa caixa sem acompanhamento. A lei não exige que o nome público do canal seja “encarregado” quando a dispensa é válida. Também não basta publicar um endereço que ninguém monitora.

Nomear voluntariamente um encarregado continua possível. A resolução considera isso uma política de boas práticas e governança. A escolha pode fazer sentido quando há muitos fornecedores, contratos empresariais, solicitações frequentes ou necessidade de coordenação. Ela não substitui a análise de enquadramento nem transforma uma pessoa em garantia de conformidade.

Quais obrigações permanecem mesmo com a dispensa?

O artigo 6º da resolução afirma que flexibilizações não isentam o agente dos demais dispositivos da LGPD, de outras normas aplicáveis nem de obrigações contratuais. A clínica ainda precisa definir hipóteses legais, respeitar finalidade e necessidade, atender direitos e proteger os dados. O artigo sobre BAA, DPA e contrato de operador LGPD mostra por que documento e papel real precisam continuar alinhados.

O regulamento também exige medidas administrativas e técnicas essenciais, considerando risco e realidade do agente. Uma política de segurança pode ser simplificada, mas deve proteger contra acesso não autorizado, perda, destruição, alteração ou tratamento inadequado. Simplificada descreve a forma do documento. Não reduz o dever de enfrentar riscos previsíveis do fluxo.

As regras sobre base legal de dados sensíveis continuam separadas. A eventual dispensa de encarregado não autoriza coleta excessiva, reaproveitamento para marketing ou acesso amplo. Para dados pediátricos, a análise ainda deve considerar o melhor interesse e as regras aplicáveis, como detalha o guia sobre agendamento pediátrico, LGPD e ECA Digital.

Que evidência sustenta a decisão?

A clínica deve conseguir reconstruir por que aplicou ou rejeitou a dispensa. Um registro curto pode reunir categoria empresarial, receita considerada, composição do grupo econômico, operações avaliadas, volume, frequência, extensão, categorias de titulares e possíveis impactos. Para cada operação com dado sensível, registre qual critério específico existe e se algum critério geral também foi satisfeito.

Guarde a versão do regulamento usada, a data da revisão, o responsável pela decisão e o canal publicado para titulares. Não inclua dados reais de pacientes nessa evidência. Use inventários, contagens agregadas e fluxos sintéticos. A documentação precisa demonstrar a análise sem criar uma nova base sensível.

A ANPD pode pedir comprovação do enquadramento e pode determinar o cumprimento de obrigações dispensadas ou flexibilizadas conforme natureza, volume e risco. Por isso, a conclusão deve ser revisável, não uma declaração permanente feita na abertura da empresa.

Como dividir responsabilidades entre clínica e plataforma

A clínica costuma decidir as finalidades e os campos de seu agendamento, enquanto a plataforma pode executar tratamento conforme instruções. Esses papéis dependem das atividades reais. O fornecedor não deve declarar que toda clínica está dispensada, pois não conhece sozinho receita, grupo econômico, escala, impacto e outras operações do cliente.

A plataforma pode oferecer canal configurável, exportação de solicitações, permissões, registros de acesso e documentação dos subprocessadores. A clínica conserva a decisão jurídica sobre seu enquadramento. Se ocorrer incidente, os papéis e o fluxo de comunicação precisam estar definidos antes da crise; o artigo sobre incidentes com dados de saúde trata dessa divisão.

Contrato, interface e processo interno devem contar a mesma história. Se o aviso público indica um canal, o suporte precisa saber encaminhar a solicitação. Se a clínica nomeia encarregado voluntariamente, seus dados de contato precisam permanecer atuais. Se usa a dispensa, alguém ainda deve responder pelo funcionamento do canal.

Quando revisar o enquadramento

Revise a análise quando houver crescimento relevante, entrada num grupo econômico, nova unidade, mudança de fornecedor, retenção maior, integração de bases, automação decisória ou inclusão de novos grupos vulneráveis. A revisão também é necessária quando a ANPD altera normas ou quando o fluxo real deixa de coincidir com o inventário.

Uma verificação anual pode ser suficiente para uma operação estável, mas não substitui revisão orientada por mudança. O gatilho deve acompanhar fatos que alterem porte ou risco. Até a conclusão da nova análise, evite ampliar coleta e acesso com base numa dispensa antiga.

Perguntas frequentes

Todo consultório individual está dispensado de encarregado?

Não automaticamente. É preciso confirmar o enquadramento como agente de pequeno porte e verificar as exclusões de receita, grupo econômico e tratamento de alto risco. A forma individual da atividade é um dado da análise, não a conclusão completa.

Tratar dados de saúde sempre torna a operação de alto risco?

Não para fins da Resolução nº 2. Dados de saúde cumprem um critério específico. O teste de alto risco também exige, cumulativamente, larga escala ou possibilidade de impacto significativo sobre interesses e direitos fundamentais.

A clínica dispensada pode deixar de publicar contato de privacidade?

Não. O artigo 11 exige canal de comunicação com o titular quando o agente elegível não indica encarregado. O canal deve permitir que reclamações, comunicações e pedidos recebam tratamento efetivo.

Nomear encarregado voluntariamente prova conformidade com a LGPD?

Não. A resolução trata a nomeação voluntária como boa prática, mas bases legais, segurança, direitos, contratos e controles continuam separados. A conformidade depende das operações reais e das regras aplicáveis a cada uma.

Referências

Incidente com dados de saúde no agendamento: quem comunica à ANPD e em quanto tempo?

cmsapointoo on August 16, 2026

O controlador comunica à ANPD e aos titulares quando o incidente satisfaz o teste de risco relevante da Resolução CD/ANPD nº 15/2024. O prazo geral é de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais. O operador não substitui o controlador nessa obrigação. Ele deve informar o controlador sem demora injustificada e entregar as informações necessárias.

Dados de saúde não dispensam o teste completo. A resolução exige possível impacto significativo sobre interesses e direitos fundamentais e, cumulativamente, pelo menos um critério listado, como dados sensíveis. A comunicação pode ser complementada em vinte dias úteis. O controlador registra o incidente por pelo menos cinco anos, mesmo sem comunicação.

Quem comunica e qual prazo se aplica?

Lei: o artigo 48 da LGPD atribui ao controlador a comunicação à autoridade nacional e ao titular quando um incidente de segurança puder acarretar risco ou dano relevante. A lei define controlador como a pessoa natural ou jurídica que toma as decisões referentes ao tratamento.

Regulamento: a Resolução CD/ANPD nº 15/2024 fixa três dias úteis para o controlador comunicar à ANPD, salvo prazo específico em outra legislação. A contagem começa quando ele sabe que o incidente afetou dados pessoais. A comunicação exigida aos titulares segue o mesmo prazo.

Orientação da ANPD: a página atual de comunicação de incidente repete essa divisão de papéis e prazos. O formulário, a agenda ou o fornecedor podem detectar o problema primeiro, mas o dever regulatório continua com o controlador. A relação entre papéis reais e documentos contratuais é aprofundada no conteúdo sobre BAA, DPA e contrato de operador LGPD.

O teste de comunicação tem dois requisitos cumulativos

Regulamento: a resolução considera relevante o risco ou dano quando o incidente puder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um critério enumerado. Dados pessoais sensíveis são um desses critérios. A lista também inclui, entre outros, dados de crianças, adolescentes ou idosos, dados financeiros e dados de autenticação em sistemas.

O impacto pode ser significativo quando impede direitos ou serviços, ou pode provocar dano material ou moral, discriminação, roubo de identidade ou fraude. Aplique esses critérios aos fatos. Não trate todo alerta como reportável, nem descarte o caso porque o dano ainda não ocorreu.

Recomendação editorial: use um formulário de decisão com duas perguntas separadas. Primeiro, descreva como interesses ou direitos podem ser afetados. Depois, marque qual critério regulamentar aparece e qual evidência sustenta a marcação. O envolvimento de saúde satisfaz um critério, mas não documenta sozinho a primeira parte.

Quando começa a contagem dos três dias úteis?

Regulamento: o marco é o conhecimento do controlador de que o incidente afetou dados pessoais. Uma suspeita técnica sem vínculo identificado com dados pessoais pode exigir investigação imediata, mas o texto regulamentar liga o prazo ao conhecimento desse efeito. A equipe precisa preservar quando e como essa conclusão foi alcançada.

O relógio não deve depender da reunião semanal, da conclusão de perícia completa ou da aprovação final de um relatório. A resolução permite comunicação preliminar e complemento posterior. Esperar certeza sobre todos os detalhes pode consumir o prazo mesmo quando já existe conhecimento suficiente de que dados pessoais foram afetados.

Recomendação editorial: registre detecção, aviso do operador, confirmação de que dados pessoais foram afetados e decisão. Inclua fuso horário, responsável e evidência, sem copiar conteúdo clínico para tickets amplos.

O que o operador precisa fazer?

Orientação da ANPD: o operador deve informar o controlador sem demora injustificada quando souber de incidente de segurança com dados pessoais. Também deve fornecer as informações necessárias para que o controlador cumpra suas obrigações.

Recomendação editorial: o contrato pode definir um prazo interno mais curto, mas não deve tratar essa cláusula como transferência da responsabilidade do controlador.

Recomendação editorial: o aviso do operador traz fatos disponíveis, hora da detecção, sistemas, possíveis categorias de dados, contenção, lacunas e próxima atualização. O operador evita conclusão jurídica definitiva sem conhecer titulares e impacto do fluxo.

Para uma agenda terceirizada, teste o caminho antes de um incidente real. Confirme contato de plantão, canal alternativo, autenticação, modelo de evidência e autoridade para preservar logs. O contrato deve tratar incidente como operação executável, não apenas como cláusula. A distinção entre origem do agendamento e origem de marketing também ajuda a localizar quais sistemas receberam cada dado.

Como funciona a comunicação inicial e o complemento?

Regulamento: a comunicação à ANPD deve apresentar as informações previstas na resolução, incluindo descrição da natureza e categoria dos dados, número de titulares afetados quando disponível, medidas técnicas e de segurança, riscos relacionados e ações adotadas para reverter ou mitigar efeitos. Quando uma informação ainda não estiver disponível, o controlador pode complementar a comunicação de forma fundamentada.

O complemento vence vinte dias úteis após a comunicação inicial. A primeira comunicação não pode ser vazia: entregue os fatos conhecidos, identifique lacunas e explique a investigação. Mantenha cada atualização ligada ao mesmo incidente.

Recomendação editorial: separe campos confirmados, estimados e desconhecidos. Não misture hipótese com fato. Preserve a origem de cada informação e a data da verificação. Essa estrutura reduz contradições entre o aviso inicial, a comunicação aos titulares e o relatório técnico posterior.

O que deve ser comunicado aos titulares?

Regulamento: quando o teste é satisfeito, o controlador deve comunicar os titulares em linguagem simples e de fácil entendimento, de forma direta e individualizada sempre que for possível identificá-los. A resolução define conteúdo mínimo, como natureza e categoria dos dados afetados, riscos e medidas adotadas ou recomendadas para mitigar efeitos.

A mensagem não deve criar nova exposição. Notificação visível no bloqueio de tela, enviada ao contato errado ou com o motivo da consulta pode ampliar o incidente. Considere o risco de revelar a relação de saúde.

Recomendação editorial: prepare um modelo sem preencher detalhes clínicos. Faça revisão por privacidade, segurança, atendimento e responsável jurídico. Se o controlador não consegue contatar alguém de forma individual, documente a avaliação do meio adotado segundo a resolução. O conteúdo sobre agendamento pediátrico ajuda a lembrar que titular, responsável e contato podem não ser a mesma pessoa.

Por que registrar até os incidentes não comunicados?

Regulamento: o controlador deve manter registro dos incidentes de segurança com dados pessoais por pelo menos cinco anos, contados da data do registro, inclusive quando não houver comunicação à ANPD ou aos titulares. O registro precisa conter os elementos exigidos pela resolução e sustentar a conclusão adotada.

Decidir não comunicar não apaga o incidente. O registro mostra como a equipe aplicou o teste cumulativo, relaciona eventos repetidos e sustenta eventual resposta à autoridade.

Recomendação editorial: guarde cronologia, sistemas, categorias, volumes estimados, titulares, análise de risco, decisões, comunicações, medidas e aprovadores. Controle o acesso e evite armazenar cópias desnecessárias dos dados afetados. Evidência de processo não exige duplicar informação de saúde.

Um runbook curto para clínicas e plataformas

Recomendação editorial: um runbook útil separa contenção técnica, avaliação regulatória e comunicação. Cada etapa precisa de responsável, substituto, prazo e evidência.

  1. Conter o acesso ou exposição sem destruir logs necessários à investigação.
  2. Abrir um identificador de incidente e registrar detecção, sistemas e responsáveis.
  3. Determinar se dados pessoais foram afetados e registrar o momento do conhecimento pelo controlador.
  4. Classificar categorias, titulares, escala, impacto e critérios da resolução.
  5. Aplicar o teste cumulativo e preservar a decisão fundamentada.
  6. Preparar comunicação inicial dentro do prazo, mesmo com complemento pendente.
  7. Coordenar mensagem aos titulares sem revelar informação adicional.
  8. Entregar complemento em até vinte dias úteis quando necessário.
  9. Manter o registro protegido por pelo menos cinco anos e acompanhar correções.

Use dados sintéticos nos exercícios. Teste falha de email, ausência do contato principal e detecção fora do horário comercial. Em arquiteturas regionais, o artigo sobre analytics global sem centralizar dados de saúde oferece um modelo relacionado para limitar cópias durante investigação.

Perguntas frequentes

Todo incidente com dado de saúde deve ser comunicado?

Não automaticamente. Dado sensível satisfaz um dos critérios da resolução, mas o incidente também precisa poder afetar significativamente interesses e direitos fundamentais. A decisão deve aplicar e registrar as duas partes do teste cumulativo.

O operador pode comunicar diretamente à ANPD?

A obrigação tratada pela LGPD e pela resolução é do controlador. O operador deve avisá-lo sem demora injustificada e fornecer as informações necessárias. Arranjos adicionais precisam de análise própria e não eliminam a responsabilidade do controlador.

É preciso esperar a investigação terminar?

Não. O prazo começa quando o controlador sabe que dados pessoais foram afetados. A resolução permite complementar informações, com justificativa, em vinte dias úteis após a comunicação inicial.

Por quanto tempo guardar um incidente não comunicado?

Por pelo menos cinco anos a partir do registro, segundo a Resolução CD/ANPD nº 15/2024. Guarde a análise, a decisão e as medidas sem duplicar desnecessariamente os dados pessoais envolvidos.

Referências