LGPD e telerradiologia: como proteger dados de imagens médicas ao terceirizar laudos.
Uma tomografia ou uma ressonância magnética vai muito além de uma imagem diagnóstica: ela carrega o nome, a data de nascimento, o histórico clínico e, com frequência, achados relevantes que o próprio paciente ainda desconhece.
Quando esses arquivos saem do hospital para passar pela avaliação de um radiologista em outra cidade, a adequação à LGPD na telerradiologia deixa de ser um debate teórico para se tornar uma prioridade estratégica.
Segundo o relatório Cost of a Data Breach, elaborado pela IBM, o setor de saúde continua no topo da lista das violações mais onerosas. O custo médio por incidente atinge US$ 6,64 mi, sendo o 13º ano seguido como setor mais caro, e as organizações levam, em média, 247 dias para identificar e conter um vazamento.
Ao longo deste artigo, analisamos as exigências legais, as responsabilidades de cada agente na cadeia de tratamento, as principais vulnerabilidades no fluxo de exames e os pontos essenciais ao contratar um parceiro especializado.
Por que a LGPD exige proteção reforçada para dados de saúde?
A Lei Geral de Proteção de Dados enquadra as informações de saúde na categoria de dados pessoais sensíveis. As imagens e os laudos médicos identificam o indivíduo e revelam detalhes da sua condição clínica, o que eleva significativamente os riscos de discriminação, uso fraudulento ou exposição indevida caso ocorram falhas na segurança ou no compartilhamento.
Na radiologia, esse cuidado precisa ser ainda maior porque o arquivo de imagem raramente viaja sozinho: o cabeçalho DICOM armazena o nome do paciente, sua data de nascimento e identificadores do exame, enquanto o laudo adiciona hipóteses diagnósticas e o contexto clínico.
Compreender o enquadramento dessas informações é a etapa fundamental para estruturar uma operação segura.
Dados sensíveis e a base legal da tutela da saúde.
Quando o assunto é quanto custa a telerradiologia, a resposta mais honesta é "depende", mas depende de variáveis específicas e mapeáveis.
Conhecer cada uma delas permite que o gestor negocie com mais segurança e evite surpresas contratuais.
Na rotina médica e hospitalar, a hipótese legal mais adotada é a tutela da saúde, que permite o tratamento de dados sem a necessidade de consentimento direto do titular, desde que realizado exclusivamente dentro de procedimentos conduzidos por profissionais, serviços de saúde ou autoridades sanitárias.
Embora autorize o diagnóstico por imagem à distância, essa base legal não descarta a obrigatoriedade de cumprir os princípios estipulados pela lei, com destaque para a finalidade, a necessidade e a segurança dos dados.
Em termos práticos: ao enviar exames para uma central externa de laudos, o hospital precisa comprovar que a transferência serve estritamente ao propósito diagnóstico e que trafegam apenas as informações estritamente indispensáveis.
Quem responde pelos dados do paciente na terceirização dos laudos?
Em um arranjo de terceirização de laudos, o hospital ou a clínica atua predominantemente como controlador, pois é quem toma as decisões sobre as finalidades e os meios do tratamento dos dados.
A empresa de telerradiologia assume o papel de operadora, executando o processamento das informações de acordo com as diretrizes e instruções estabelecidas pelo controlador.
No entanto, a contratação de um serviço externo não isenta o hospital do dever de fiscalização e cuidado, visto que a LGPD estabelece a responsabilidade solidária em casos de danos provocados por falhas no tratamento de dados.
Delimitar essa divisão com clareza em contrato evita lacunas e divergências operacionais, principalmente na ocorrência de incidentes.
Controlador e operador na prática.
Conforme detalhado no guia orientativo da ANPD sobre agentes de tratamento, o ponto central que diferencia o controlador do operador é o poder de tomada de decisão. O controlador determina o porquê e o como, enquanto o operador atua sob demanda.
A legislação determina que o operador responderá solidariamente por eventuais danos caso descumpra a lei ou aja em desacordo com as instruções lícitas fornecidas pelo controlador (art. 42, § 1º, I). Por essa razão, formalizar diretrizes contratuais claras e auditáveis é indispensável.
A ANPD recomenda ainda que qualquer eventual contratação de sub-operadores, como provedores de infraestrutura em nuvem, passe por autorização prévia e expressa do controlador.
Na telerradiologia, isso garante que a instituição contratante saiba exatamente quais sistemas ou fornecedores têm acesso às suas imagens.
As exigências complementares da Resolução CFM
nº 2.107/2014
Além das diretrizes impostas pela LGPD, a prática da telerradiologia no país deve obedecer à Resolução CFM nº 2.107/2014. A norma exige estrutura tecnológica adequada, sigilo profissional e a preservação do segredo médico na guarda e na transmissão dos exames.
A resolução orienta que as imagens trafeguem acompanhadas das informações clínicas essenciais ao diagnóstico e determina que o paciente formalize a autorização para a transmissão dos dados por meio do Termo de Consentimento Livre e Esclarecido (TCLE).
Trata-se de duas esferas complementares: enquanto a legislação geral sustenta o tratamento via tutela da saúde sem necessidade de consentimento para o ato assistencial, a regulação ética médica exige a ciência prévia do paciente quanto ao modelo de envio do exame.
Recomenda-se, portanto, incluir essas disposições de forma clara nos termos de admissão das instituições.
Onde estão as principais vulnerabilidades no fluxo de exames?
Durante o ciclo de vida da imagem médica, quatro pontos concentram maior risco de incidentes: o envio inicial do arquivo ao PACS, o tráfego de dados pela rede até a central de laudos, o armazenamento em nuvem e a navegação do médico radiologista na estação de trabalho.
Ausência de criptografia, permissões de acesso amplas demais e integrações não homologadas costumam ser as origens de falhas na segurança em uma gestão de telerradiologia.
? No transporte de dados: o envio pontual de arquivos via aplicativos de mensagem instantânea ou mídias físicas sem controle rompe o rastreamento e impede a criação de trilhas formais de auditoria;
? No armazenamento: é imprescindível validar a localização física ou lógica dos servidores, os métodos de criptografia para dados em repouso, as políticas de retenção de dados e o procedimento de exclusão definitiva das informações após o encerramento do contrato;
? No controle de acesso: o profissional deve acessar estritamente os exames necessários para a realização do laudo, mediante autenticação segura e registro detalhado de logs;
? Na minimização de dados: ocultar ou desidentificar informações desnecessárias do cabeçalho DICOM, mantendo somente o estritamente necessário para garantir a associação correta ao paciente, reduz significativamente os impactos decorrentes de eventuais acessos indevidos.
Como avaliar fornecedores de telerradiologia sob a ótica da LGPD?
A escolha de um parceiro de telerradiologia exige uma verificação criteriosa ancorada em cinco pilares principais:
- Governança de dados: nomeação formal do Encarregado de Proteção de Dados (DPO), manutenção dos registros das operações de tratamento e políticas de privacidade transparentes e atualizadas;
- Cláusulas contratuais rigorosas: definição clara das finalidades do tratamento, tipos de dados manipulados, regras para inclusão de sub-operadores, prazos de retenção, procedimentos para descarte seguro, direito a auditorias e obrigação de notificação imediata de incidentes;
- Segurança técnica e infraestrutura: emprego de criptografia para dados em trânsito e em repouso, políticas restritivas de controle de acesso, controle de logs, backups periódicos e plano de continuidade de negócios;
- Corpo médico e rastreabilidade: laudos elaborados e assinados por radiologistas com Registro de Qualificação de Especialista (RQE) ativo, com histórico completo de acessos a cada exame;
- Certificações e auditorias: comprovação de padrões internacionais de qualidade e segurança, como as normas ISO 9001 e ISO/IEC 27001, respaldadas por auditorias periódicas.
Empresas com atuação consolidada na área de diagnóstico por imagem, como a Assemed Laudos, adotam essa governança de forma integrada à sua operação diária.
Contar com infraestrutura própria, certificação ISO 9001, certificação LGPD, e equipes organizadas por subespecialidades, a exemplo da neurorradiologia, garante previsibilidade, rastreabilidade e segurança em todos os processos da Assemed.
Como agir em caso de incidentes de segurança com imagens médicas?
Conforme estabelecido pela Resolução CD/ANPD nº 15/2024, caso ocorra um incidente de segurança capaz de acarretar risco ou dano relevante aos titulares dos dados, o controlador deve notificar a ANPD e os pacientes afetados no prazo de até três dias úteis, contados a partir da ciência do fato.
Todos os incidentes, independentemente de exigirem notificação pública ou não, precisam ser devidamente documentados e mantidos em registro por, no mínimo, cinco anos.
Como o prazo legal de notificação recai sobre o hospital, o contrato de prestação de serviços deve impor à empresa parceira a obrigação de comunicar qualquer anomalia de imediato, repassando todas as informações técnicas necessárias.
Vale ressaltar que a regulamentação permite o envio complementar de detalhes sobre o incidente em até 20 dias úteis. Dessa forma, a comunicação inicial não exige a conclusão do relatório pericial de investigação.
O descumprimento dessas obrigações expõe as instituições a sanções administrativas previstas no art. 52 da LGPD, que incluem multas simples de até 2% do faturamento, limitadas a R$ 50 milhões por infração.
Desenvolver e testar planos de resposta a incidentes antes que qualquer crise ocorra é a conduta mais recomendada para garantir reações rápidas e coordenadas.
A segurança da informação como fator decisivo de contratação
A LGPD não inviabiliza nem dificulta a operação da telerradiologia; pelo contrário, estabelece os padrões necessários para que a terceirização ocorra com eficiência, ética e responsabilidade.
As imagens e os laudos permanecem sob a guarda do hospital como controlador, enquanto as centrais de laudos operam com responsabilidades bem delimitadas e amparadas pelas normas éticas do CFM e pelas resoluções da ANPD.
Para as instituições que buscam adequar seus fluxos de trabalho, três ações iniciais são recomendadas:
- Mapear integralmente o caminho percorrido pelos exames e identificar os canais utilizados no envio externo;
- Revisar os contratos vigentes com parceiros de diagnóstico para adequar os papéis de controlador e operador às exigências da lei;
- Estruturar, junto ao DPO e à diretoria médica, um fluxo claro de resposta para os primeiros três dias úteis após qualquer suspeita de incidente.
Ao transformar exigências legais em processos operacionais claros, o gestor protege a reputação da instituição, garante a privacidade do paciente e estabelece critérios objetivos para selecionar os melhores fornecedores de laudos.