Existe um número que resume o problema melhor do que qualquer argumento jurídico.

Segundo o relatório Cost of a Data Breach 2025, da IBM, conduzido pelo Ponemon Institute, o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões, um aumento de 6,5% sobre os R$ 6,75 milhões de 2024. 

Mas a média nacional esconde o essencial: os setores de Saúde, Finanças e Serviços lideram a lista dos mais impactados, com perdas médias de R$ 11,43 milhões, R$ 8,92 milhões e R$ 8,51 milhões, respectivamente.

Saúde é o setor mais caro do país, e por uma margem de quase 60% sobre a média nacional.

A pergunta que interessa não é quanto custa, mas por que custa mais, a  resposta está exatamente na natureza do dado.

Parte 1: por que o dado de saúde é estruturalmente diferente

Um número de cartão de crédito vazado pode ser cancelado em uma ligação, um CPF vazado gera transtorno, mas é um dado já amplamente circulante.

No entanto, um diagnóstico de HIV, um histórico psiquiátrico, resultado de teste genético ouregistro de interrupção de gravidez são dados que não podem ser revogados, substituídos ou reemitidos, eles acompanham o indivíduo  pelo resto da vida e podem ser usados para discriminá-la em contratação de emprego, em crédito, em seguros e em relações familiares.

Por isso a LGPD (Lei 13.709/2018) classifica dado referente à saúde como dado pessoal sensível (art. 5º, II) e submete seu tratamento a um regime jurídico próprio, mais restritivo, no art. 11.

Essa distinção tem três consequências práticas que a maioria das organizações de saúde subestima:

1. As bases legais são diferentes: . O art. 7º da LGPD, com suas dez hipóteses, não se aplica a dados sensíveis. Portanto, quem trata dado de saúde precisa se enquadrar no art. 11, que tem um rol menor e mais específico.  O  “Legítimo interesse”, a base legal favorita do marketing e de boa parte das operações comerciais, não existe para dados sensíveis.

2. O potencial de dano é maior, logo o dever de segurança é maior: O art. 6º, VII, da LGPD impõe a adoção de medidas de segurança proporcionais aos riscos envolvidos no tratamento. Assim, a existência de riscos de discriminação ou de danos irreversíveis eleva o nível de proteção exigido, demandando medidas técnicas e administrativas mais rigorosas. Vale entender aqui a diferença entre as duas disciplinas envolvidas: segurança da informação e proteção de dados não são a mesma coisa, mas só funcionam juntas.

3. O ecossistema é intrinsecamente compartilhado: Nenhuma clínica opera sozinha. O dado circula entre prestador, laboratório, operadora, sistema de gestão, plataforma de telemedicina, farmácia, auditoria médica e órgãos reguladores, ou seja, cada nó dessa rede é uma superfície de exposição.

Parte 2: a base legal correta para cada finalidade

Este é o erro mais comum que encontramos em diagnósticos de adequação no setor: a organização adota consentimento para tudo, achando que está sendo conservadora. Está, na verdade, criando um passivo.

Consentimento é revogável a qualquer momento (art. 8º, §5º). Se você baseou o prontuário no consentimento e o paciente o revoga, você fica em situação impossível: não pode apagar o prontuário, porque a guarda é obrigação legal e ética, mas também não tem mais base para tratá-lo. Portanto, abase estava errada desde o início.

Se a discussão sobre quando o consentimento é realmente exigido ainda gera dúvida na sua operação, vale a leitura de o que a LGPD realmente exige em matéria de consentimento digital. 

A tabela abaixo é o mapa de bases legais que aplicamos em projetos de adequação no setor.

A regra prática: se a finalidade é cuidar do paciente, a base é tutela da saúde. Por outro lado,  se a finalidade é ganhar dinheiro com o dado do paciente fora do cuidado, você provavelmente não tem base legal, ou precisa de consentimento específico e destacado.

Parte 3: compartilhamento com convênios e laboratórios, o ponto mais mal compreendido da LGPD na saúde

O art. 11, §4º da LGPD é redigido de uma forma que confunde quem lê rápido. Ele começa com uma vedação e termina com exceções amplas.

O texto veda a comunicação ou o uso compartilhado entre controladores de dados sensíveis referentes à saúde com objetivo de obter vantagem econômica. A vedação, porém, não é absoluta. O próprio dispositivo excetua as hipóteses relativas à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos interesses dos titulares, para permitir a portabilidade de dados quando solicitada pelo titular e as transações financeiras e administrativas resultantes do uso e da prestação desses serviços.

E o §5º fecha o cerco onde mais importa: é vedado às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários.

Traduzindo para a operação:

O que a maioria esquece: o contrato

O compartilhamento legítimo não se resolve só com base legal,  precisa de instrumento contratual. Em uma cadeia típica de saúde, cada relação precisa ser qualificada e formalizada:

• Controlador ↔ Operador (clínica e seu sistema de gestão, hospital e seu provedor de cloud): exige contrato de tratamento de dados (DPA) com cláusulas de finalidade, segurança, subcontratação, incidentes, auditoria e devolução/eliminação ao término.
• Controlador ↔ Controlador (clínica e operadora de saúde): exige acordo de compartilhamento que delimite finalidade, escopo mínimo de dados, prazo e responsabilidades em caso de incidente.
• Controladores conjuntos (healthtech e prestador que definem juntos a finalidade): exige definição clara de quem responde pelo quê perante o titular.
  

Em diagnósticos que conduzimos, a lacuna contratual com fornecedores é, com frequência, a não conformidade mais disseminada e a mais fácil de corrigir. 

Para estruturar essa frente do zero, veja nosso guia sobre como mapear, contratar e monitorar operadores de dados com segurança e o checklist de due diligence de fornecedores críticos, que vai além da certidão negativa e do CNAE.

Parte 4: o mapa de risco típico de uma operação de saúde

O diagrama abaixo representa o fluxo de dados de uma operação de saúde de porte médio e os pontos onde a exposição se concentra.

Note que boa parte dos riscos não está no núcleo assistencial, mas nas bordas: no fornecedor sem contrato, no pixel de rastreamento na página de agendamento, no backup em nuvem estrangeira sem salvaguarda, no perfil administrativo que enxerga o prontuário inteiro.

Isso explica por que o setor lidera o custo de violação. A superfície de ataque é ampla, o dado é de altíssimo valor no mercado ilícito, e a maturidade de segurança da média das organizações do setor é inferior à de bancos.

Aprofundamos o cenário de ameaças e o que muda na prática para quem opera dados críticos em tendências de segurança de dados e informação para 2026.

Parte 5: o marco regulatório além da LGPD

Uma organização de saúde não responde apenas à Agência Nacional de Proteção de Dados (ANPD), ela opera em um empilhamento regulatório que poucos setores enfrentam.

A Resolução CFM 2.314/2022 merece atenção especial porque é um dos poucos dispositivos brasileiros que impõe um requisito técnico objetivo e auditável ao sistema de saúde: o NGS2.

Muita healthtech opera com plataforma que não atende esse nível e descobre isso apenas quando o contrato com um grande prestador entra em due diligence.

A Resolução CFM 2.314/2022 merece atenção especial porque é um dos poucos dispositivos brasileiros que impõe um requisito técnico objetivo e auditável ao sistema de saúde: o NGS2. Muita healthtech opera com plataforma que não atende esse nível e descobre isso apenas quando o contrato com um grande prestador entra em due diligence.

Parte 6: incidentes de segurança, o teste real da governança

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares a ocorrência de incidente que possa acarretar risco ou dano relevante. E aqui vale um alerta: a ANPD tem demonstrado que comunicação incompleta equivale a descumprimento.

Em julho de 2026, a ANPD instaurou processo administrativo sancionador contra o Instituto Saúde e Cidadania, após incidente de ransomware comunicado pela própria instituição em 2025, envolvendo dados de aproximadamente 500 mil pacientes de unidades públicas de saúde em seis estados, incluindo 78.772 crianças e adolescentes e 47.921 idosos, com registros contendo nomes, datas de nascimento, prontuários, históricos de exames, diagnósticos e procedimentos.

Segundo o superintendente de Fiscalização da ANPD, Fabrício Guimarães, a comunicação foi considerada insuficiente por não informar a data do incidente, a natureza dos dados e das pessoas afetadas, nem as medidas adotadas antes e depois do ataque, itens exigidos pela LGPD e pela regulamentação específica da Agência.

A lição é direta: comunicar não basta, épreciso informar completo, no prazo e com evidência.

Saúde, aliás, é um dos setores explicitamente sob fiscalização ativa. Analisamos os eixos prioritários da Autoridade em o Mapa de Fiscalização da ANPD para 2026-2027, leitura obrigatória para quem quer saber o que será cobrado antes de ser cobrado.

Vale acrescentar que a ANPD passou a publicar painéis interativos com dados agregados sobre comunicações de incidentes, filtráveis por unidade federativa, setor público ou privado, segmento de atividade, tipo de incidente e estágio da comunicação, cobrindo o período de 2021 até o ano atual. Logo, transparência ativa da Autoridade significa, na prática, que o histórico de incidentes do seu segmento é público e comparável.

O regulamento da ANPD determina que o controlador mantenha registro de todos os incidentes de segurança com dados pessoais por pelo menos cinco anos, independentemente de terem sido comunicados ou não. Ou seja: a organização precisa estar pronta para documentar identificação, resposta, remediação e comunicação, com evidências.

Uma clínica que descobre um incidente numa sexta-feira e só consegue reunir o comitê de crise na terça já perdeu o prazo. Governança de incidente é ensaio, não improviso.

Dois materiais complementam esta seção: vazamento de dados, como proteger sua empresa, sobre prevenção e detecção, e reconstruindo a segurança após um vazamento de dados, sobre o que fazer nos dias e semanas seguintes ao incidente.

Parte 7: o roteiro de governança em oito frentes

Este é o escopo que aplicamos em projetos de adequação para prestadores e healthtechs. Ele não é uma checklist jurídica; é um programa operacional.

1. Inventário de tratamento (data mapping) por jornada do paciente: Mapeie do agendamento à eliminação. Cada sistema, cada integração, cada exportação de planilha. Se você não sabe onde o dado está, não tem como protegê-lo nem como responder a um titular em 15 dias. O passo a passo geral está no nosso guia prático de implementação da LGPD para empresas.

2. Enquadramento de base legal por finalidade: Use a tabela da Parte 2. Documente a decisão. A base legal precisa constar do registro de operações (art. 37).

3. Política de minimização e retenção: Defina o mínimo necessário para cada compartilhamento e a tabela de temporalidade. A guarda obrigatória do prontuário não autoriza guardar tudo para sempre, e não autoriza guardar em qualquer lugar.

4. Controle de acesso baseado em papel: A recepcionista não precisa ver o diagnóstico. O faturista não precisa ver a evolução clínica. O princípio do menor privilégio é a medida técnica de maior retorno sobre esforço em ambiente de saúde. Adicione trilha de auditoria de acesso ao prontuário, com registro de quem viu o quê e quando.

5. Gestão de terceiros: Levante todos os operadores e controladores conexos. Classifique por criticidade. Feche DPA e acordos de compartilhamento. Aplique due diligence de privacidade e segurança em fornecedor novo, antes da contratação.

6. Relatório de Impacto à Proteção de Dados (RIPD) Obrigatório na prática para: tratamento de sensíveis em larga escala, uso de IA sobre dados de paciente, monitoramento sistemático, transferência internacional e qualquer nova finalidade fora do cuidado assistencial. Foi exatamente a ausência de RIPD que a ANPD apontou em casos sancionados.

7. Segurança técnica proporcional ao risco:  Criptografia em trânsito e em repouso, MFA em todos os acessos administrativos, segmentação de rede, backup testado e isolado (a defesa real contra ransomware), gestão de vulnerabilidades e teste de intrusão periódico. Vale lembrar que roubo de credenciais e engenharia social e ransomware estão entre os tipos de incidente mais comuns reportados à ANPD, ao lado de acesso não autorizado a sistemas e divulgação indevida de dados pessoais.

8. Encarregado (DPO) com autonomia e resposta a incidentes ensaiada: O encarregado precisa de canal público, acesso à alta direção e capacidade de acionar o plano de resposta, faça simulação anual de incidente com o time real, cronometrada. Some a isso um programa de conscientização em segurança da informação que realmente funciona: em ambiente clínico, a maior parte dos incidentes começa em uma ação humana, não em uma falha de firewall.

Parte 8: os cinco erros que mais vemos no setor

Erro 1: consentimento para o prontuário. Cria passivo, não proteção. A base é tutela da saúde.

Erro 2: enviar o prontuário completo em toda solicitação de convênio. Viola minimização e amplia a superfície de exposição sem necessidade.

Erro 3: pixel de rastreamento na página de agendamento ou de resultados. Uma tag de rede social numa URL que revela a especialidade ou o exame do paciente é transferência de dado sensível a terceiro, sem base legal, com evidência técnica trivial de provar.

Erro 4: sistema de gestão sem DPA e com acesso irrestrito do fornecedor ao banco de dados. Prática comum em clínicas de pequeno e médio porte, e uma das primeiras coisas que uma auditoria encontra.

Erro 5: usar base real de pacientes em ambiente de homologação e desenvolvimento. Ambiente de teste raramente tem os mesmos controles de produção. É onde os vazamentos acontecem sem que ninguém perceba por meses.

O cálculo que fecha o argumento

Uma operação de saúde de porte médio que sofre um incidente relevante enfrenta, simultaneamente: a sanção administrativa da ANPD, ações individuais e coletivas de titulares, a paralisação assistencial (que em saúde tem consequência clínica, não apenas financeira), a exposição reputacional em um mercado onde confiança é o produto, e a perda de contratos com operadoras que passam a exigir due diligence de privacidade.

Contra os R$ 11,43 milhões de custo médio, um programa de governança estruturado é uma fração do valor. E, diferente da sanção, ele gera retorno,destrava contratos, acelera due diligence em rodadas de investimento para healthtechs, e reduz o custo de venda para prestadores que atendem grandes operadoras. Já detalhamos essa lógica em como empresas de serviços estão usando a conformidade com a LGPD para fechar mais contratos.

Governança de dados no setor de saúde deixou de ser projeto de compliance. Virou requisito de mercado.

Perguntas Frequentes sobre Dados de Saúde e LGPD

Como a DataGuide atua no setor de saúde

A DataGuide é uma empresa de Proteção de Dados, Segurança da Informação e Compliance, com Governança para negócios. Para clínicas, hospitais, laboratórios e healthtechs, atuamos em quatro frentes:

• DPO as a Service: encarregado externo com equipe multidisciplinar, canal de atendimento ao titular, gestão de incidentes e acompanhamento contínuo do programa.
• GAP Analysis: diagnóstico de maturidade em privacidade e segurança, com plano de ação priorizado por risco.
• ISO/IEC 27001 e 27701: implementação de sistema de gestão de segurança da informação e de privacidade, cada vez mais exigido em contratos com grandes operadoras e em due diligence de investimento.
• Pentest: teste de intrusão em aplicações e infraestrutura.

Se a sua operação trata dados de saúde em escala, o primeiro passo é saber onde você está.

Fale com um especialista da DataGuide para agendar um diagnóstico inicial.