LGPD em BI hospitalar: o que exigir do fornecedor

A LGPD (Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018) classifica os dados referentes à saúde como dados pessoais sensíveis, com regras mais rígidas de tratamento. Ao contratar um BI, o hospital continua responsável pelos dados dos seus pacientes, e precisa saber exatamente o que o fornecedor faz com eles. Esta é uma lista prática do que perguntar e exigir. Ela não substitui a avaliação jurídica do hospital nem a do seu encarregado de dados (DPO).

1. Minimização: o que sai do hospital

Pergunte quais dados o BI precisa e por quê. Indicadores de gestão raramente precisam identificar o paciente. Exija:

• a lista das informações levadas para fora do hospital;
• que nome, CPF, data de nascimento e outros identificadores diretos não sejam levados quando não forem necessários;
• que o paciente seja identificado, quando preciso, por um código (pseudonimização).

2. Controle de acesso

• Acesso por usuário, sem contas compartilhadas.
• Autenticação forte (senha e um segundo fator).
• Perfis de acesso: cada pessoa vê só o que precisa.
• Usuários temporários com prazo de validade para auditorias e consultorias.
• Separação entre clientes: os dados de um hospital nunca acessíveis por outro.

3. Registro e auditoria

O hospital deve conseguir saber quem acessou o quê, quando, e quais configurações foram alteradas. Pergunte por quanto tempo os registros são mantidos e como acessá-los.

4. Onde ficam os dados e quem pode vê-los

• Em que servidores e em que país os dados ficam armazenados.
• Quem da equipe do fornecedor tem acesso, para quê, e se esse acesso é registrado.
• Se há subcontratados (provedores de nuvem, serviços de IA) e quais.
• Como os dados trafegam (criptografia em trânsito) e como são guardadas as chaves de acesso.

5. Inteligência artificial

Se o BI tem IA, pergunte se os dados ou as perguntas são enviados a serviços de IA de terceiros, se esses serviços armazenam ou usam o conteúdo e se há dados de pacientes envolvidos. Veja inteligência artificial na gestão hospitalar.

6. Contrato

• Papéis definidos: o hospital como controlador e o fornecedor como operador, com as obrigações de cada um.
• Finalidade do tratamento limitada à prestação do serviço.
• Comunicação de incidentes de segurança, com prazo.
• O que acontece com os dados no fim do contrato: devolução e eliminação.

7. Impacto no sistema do hospital

A leitura dos dados deve ser feita com um usuário somente leitura, sem possibilidade de alterar o sistema de gestão, e com o mínimo de carga sobre o banco.

Como o Clic Health trata esses pontos

No Clic Health, o paciente segue para a nuvem identificado só por código (nome, CPF e data de nascimento ficam no hospital), cada hospital tem uma chave própria, o acesso é por usuário com senha e código pessoal, os acessos são registrados, há usuários temporários com prazo e a leitura do Tasy é somente leitura. A IA não envia dados a serviços externos de IA. Os detalhes estão em segurança e LGPD e nas perguntas sobre segurança.

Perguntas relacionadas

O hospital precisa do consentimento do paciente para usar um BI?

A base legal para o tratamento de dados de saúde depende da finalidade e deve ser definida pelo hospital, com a sua assessoria jurídica e o DPO. Em gestão, a minimização e a pseudonimização reduzem muito o risco.

Dados com o paciente em código ainda são dados pessoais?

Dados pseudonimizados continuam sendo dados pessoais pela LGPD quando a identificação é possível com informação mantida à parte. A pseudonimização reduz o risco, mas não elimina as obrigações.

Quem é responsável em caso de vazamento?

A LGPD define responsabilidades para o controlador e o operador. O contrato deve detalhar as obrigações de cada um, incluindo a comunicação de incidentes.