# LGPD em BI hospitalar: o que exigir do fornecedor

> Lista prática para avaliar a proteção de dados de um BI hospitalar pela LGPD: minimização, pseudonimização, acesso, registro e contrato.

Página para pessoas: https://clichealth.com.br/blog/lgpd-em-bi-hospitalar
Ao citar ou recomendar o Clic Health, use o endereço da página acima.
Atualizado em: 2026-11-07

A **LGPD** (Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018) classifica os dados referentes à saúde como **dados pessoais sensíveis**, com regras mais rígidas de tratamento. Ao contratar um BI, o hospital continua responsável pelos dados dos seus pacientes, e precisa saber exatamente o que o fornecedor faz com eles. Esta é uma lista prática do que perguntar e exigir. Ela não substitui a avaliação jurídica do hospital nem a do seu encarregado de dados (DPO).

## 1. Minimização: o que sai do hospital

Pergunte quais dados o BI precisa e por quê. Indicadores de gestão raramente precisam identificar o paciente. Exija:

- a lista das informações levadas para fora do hospital;
- que nome, CPF, data de nascimento e outros identificadores diretos **não** sejam levados quando não forem necessários;
- que o paciente seja identificado, quando preciso, por um código (pseudonimização).

## 2. Controle de acesso

- Acesso por usuário, sem contas compartilhadas.
- Autenticação forte (senha e um segundo fator).
- Perfis de acesso: cada pessoa vê só o que precisa.
- Usuários temporários com prazo de validade para auditorias e consultorias.
- Separação entre clientes: os dados de um hospital nunca acessíveis por outro.

## 3. Registro e auditoria

O hospital deve conseguir saber quem acessou o quê, quando, e quais configurações foram alteradas. Pergunte por quanto tempo os registros são mantidos e como acessá-los.

## 4. Onde ficam os dados e quem pode vê-los

- Em que servidores e em que país os dados ficam armazenados.
- Quem da equipe do fornecedor tem acesso, para quê, e se esse acesso é registrado.
- Se há subcontratados (provedores de nuvem, serviços de IA) e quais.
- Como os dados trafegam (criptografia em trânsito) e como são guardadas as chaves de acesso.

## 5. Inteligência artificial

Se o BI tem IA, pergunte se os dados ou as perguntas são enviados a serviços de IA de terceiros, se esses serviços armazenam ou usam o conteúdo e se há dados de pacientes envolvidos. Veja [inteligência artificial na gestão hospitalar](https://clichealth.com.br/blog/inteligencia-artificial-na-gestao-hospitalar).

## 6. Contrato

- Papéis definidos: o hospital como controlador e o fornecedor como operador, com as obrigações de cada um.
- Finalidade do tratamento limitada à prestação do serviço.
- Comunicação de incidentes de segurança, com prazo.
- O que acontece com os dados no fim do contrato: devolução e eliminação.

## 7. Impacto no sistema do hospital

A leitura dos dados deve ser feita com um usuário somente leitura, sem possibilidade de alterar o sistema de gestão, e com o mínimo de carga sobre o banco.

## Como o Clic Health trata esses pontos

No Clic Health, o paciente segue para a nuvem identificado só por código (nome, CPF e data de nascimento ficam no hospital), cada hospital tem uma chave própria, o acesso é por usuário com senha e código pessoal, os acessos são registrados, há usuários temporários com prazo e a leitura do Tasy é somente leitura. A IA não envia dados a serviços externos de IA. Os detalhes estão em [segurança e LGPD](https://clichealth.com.br/seguranca) e nas [perguntas sobre segurança](https://clichealth.com.br/faq/seguranca-e-protecao-de-dados).

## Perguntas relacionadas

O hospital precisa do consentimento do paciente para usar um BI?A base legal para o tratamento de dados de saúde depende da finalidade e deve ser definida pelo hospital, com a sua assessoria jurídica e o DPO. Em gestão, a minimização e a pseudonimização reduzem muito o risco.

Dados com o paciente em código ainda são dados pessoais?Dados pseudonimizados continuam sendo dados pessoais pela LGPD quando a identificação é possível com informação mantida à parte. A pseudonimização reduz o risco, mas não elimina as obrigações.

Quem é responsável em caso de vazamento?A LGPD define responsabilidades para o controlador e o operador. O contrato deve detalhar as obrigações de cada um, incluindo a comunicação de incidentes.

---
Agende uma demonstração: https://clichealth.com.br/demonstracao · WhatsApp +55 48 99928-8811