Pular para o conteúdo

Regulatório

LGPD no laboratório clínico: resultado é dado sensível

Dado de saúde tem regime próprio no art. 11 da LGPD. Para o laboratório, isso muda três coisas concretas: quem pode ver, o que vai no log e o que acontece quando o titular pede exclusão do que a Anvisa manda guardar.

Equipe Omnix7 min de leitura

A LGPD (Lei 13.709/2018) trata dado de saúde como dado pessoal sensível (art. 11). Não é rigor de redação: o regime jurídico é outro, com base legal mais restrita e responsabilidade maior no vazamento.

Para o laboratório, três consequências são práticas e verificáveis hoje.

1. Quem pode ver o quê

Acesso a dado sensível é por necessidade, não por hierarquia. O recepcionista precisa do cadastro e do pedido; não precisa do resultado. O técnico da bancada precisa do resultado; não precisa do endereço.

O que isso exige do sistema:

  • papéis com permissão granular, não “usuário comum” e “administrador”;
  • escopo multi-tenant real: numa rede, a unidade A não enxerga paciente da unidade B por padrão;
  • trilha de acesso — quem abriu o prontuário de quem, e quando. Trilha de escrita quase todo sistema tem; de leitura, poucos. E o vazamento acontece na leitura.

2. O que não pode ir para o log

Log de aplicação é copiado para ferramenta de observabilidade, backup e, às vezes, tíquete de suporte. Se ele carrega CPF, CNS, nome, data de nascimento, número de acesso ou valor de resultado, o dado sensível acabou de se espalhar por três sistemas com controles diferentes.

A prática correta é redação na origem: a lista de campos redigidos é configuração do logger, não disciplina do desenvolvedor. Assim, o campo novo que alguém criar amanhã já nasce protegido se tiver um dos nomes da lista.

Vale para mensagens também. Aviso de laudo por WhatsApp diz “seu laudo está disponível” com link autenticado — nunca o resultado no corpo da mensagem. A conversa fica no aparelho, e o aparelho não é seu.

3. Exclusão do titular contra guarda regulatória

O titular pede exclusão dos dados. A Anvisa exige guarda de registros por prazo determinado. Quem vence?

A resposta não é “ignorar o pedido”. É entender que o art. 16 da LGPD prevê conservação para cumprimento de obrigação legal ou regulatória — o laudo e a trilha de rastreabilidade ficam. Mas o que não tem amparo em obrigação legal sai: telefone de contato para marketing, e-mail para comunicação comercial, cópias de conveniência.

Daí uma regra de modelagem que evita dor: PII não se duplica. Guardar patient_name em cinco tabelas por conveniência de consulta significa que o pedido de exclusão precisa varrer cinco lugares — e a cópia esquecida é a que vaza. Quando o snapshot histórico for exigido por rastreabilidade, ele é registro histórico, e a decisão precisa ser explícita, não acidental.

O que costuma faltar

  • Registro de consentimento por finalidade. Consentir em receber o laudo por WhatsApp não é consentir em receber campanha.
  • Base legal declarada para cada tratamento. Para o exame em si, a base costuma ser tutela da saúde; para a comunicação comercial, não é.
  • Prazo de retenção configurado, com expurgo que roda. Guardar para sempre “por segurança” é aumentar a superfície do vazamento.
  • Contrato com operador (fornecedor de nuvem, laboratório de apoio, gateway de mensagem) definindo papéis.

Um exercício desconfortável

Peça a alguém que exporte os logs da última semana e procure por um CPF. Depois procure por um valor de resultado.

Se achar, o laboratório está tratando dado sensível fora do controle que ele mesmo desenhou — e o vazamento, quando vier, não vai ser pelo banco de dados.

Leitura relacionada