O que a LGPD exige especificamente de operadoras e hospitais?
A LGPD (Lei 13.709/2018) classifica dados de saúde como sensíveis (Art. 11), exigindo base legal específica, consentimento qualificado ou hipóteses excepcionais para tratamento. Operadoras e hospitais precisam de DPO obrigatório, RIPD por finalidade, controles técnicos reforçados e plano de resposta a incidentes com reporte à ANPD em até 48h.
O que torna saúde um caso especial sob a LGPD
Diferente de dados pessoais comuns, dados de saúde são classificados como dados pessoais sensíveis pelo Art. 5º, II, e tratados especificamente no Art. 11 da LGPD. Isso significa que o tratamento só pode ocorrer mediante consentimento específico e destacado do titular (Art. 11, I) ou em hipóteses excepcionais que incluem proteção da vida, tutela da saúde por profissional ou serviços de saúde, e estudos por órgãos de pesquisa. Operadoras de planos de saúde e hospitais ainda precisam compatibilizar com a Resolução ANS 511/2022, que estabelece a Política de Segurança Cibernética obrigatória - incluindo gestão de identidades, criptografia em repouso e em trânsito, segregação de redes, e teste anual de incidentes. A ANPD já aplicou multa milionária a operadora de saúde por incidente envolvendo dados sensíveis em 2024.
Roteiro de conformidade LGPD para o setor de saúde
O checklist mínimo que CISO/DPO de hospital ou operadora deve implementar inclui: (1) Mapear todo o fluxo de dados de saúde - captação, processamento, compartilhamento com seguradoras e órgãos públicos, retenção e descarte; (2) Nomear DPO formal com competência técnica e independência funcional (Art. 41); (3) Elaborar RIPD para cada finalidade de tratamento - telemedicina, prontuário eletrônico, faturamento, pesquisa clínica; (4) Implementar controles técnicos exigidos pela Resolução ANS 511/2022 e ISO 27799 - criptografia, log de acesso a prontuário, segregação de redes; (5) Atualizar contratos com operadores e suboperadores (Art. 39) - empresas de tecnologia, call centers, prestadores; (6) Plano de Resposta a Incidentes com simulado anual e protocolo de reporte à ANPD em 48h; (7) Política de retenção de dados - prontuário tem prazo legal de 20 anos (CFM); (8) Programa contínuo de conscientização para corpo clínico, administrativo e operadores de TI.
O papel da Tripla
A Tripla atende operadoras e hospitais com DPO as a Service (vDPO), plataforma Autoritas para gestão do programa LGPD, e SOC 24×7 com CyberWatch MDR especializado em incidentes em ambiente hospitalar. Cases reais incluem Hermes Pardini (OneTrust + DPO) e Federação Unimed Centro Brasileira. Para auditar onde você está hoje, o Diagnóstico Executivo Tripla mapeia maturidade em LGPD + ANS 511 em 24 perguntas com radar de risco.