Telemedicina e LGPD: como seus dados de saúde são protegidos por lei

Quando você agenda uma consulta médica online, compartilha informações extremamente íntimas e sensíveis: seus sintomas, histórico de doenças, medicamentos em uso, exames anteriores, condições psicológicas. Em um mundo cada vez mais digital, a proteção dessas informações não é apenas uma questão de privacidade pessoal — é um direito garantido por lei.

A Lei Geral de Proteção de Dados (LGPD), em vigor desde setembro de 2020, estabelece um conjunto robusto de regras para o tratamento de dados pessoais no Brasil. E para os dados de saúde, a lei é ainda mais rigorosa: eles são classificados como "dados pessoais sensíveis" e recebem proteção especial.

Neste artigo, explicamos o que a LGPD determina para a telemedicina, quais são seus direitos como paciente, quais medidas técnicas garantem a segurança das consultas online e como verificar se uma plataforma de telemedicina realmente cumpre a lei.

O que é a LGPD e por que ela importa para a sua saúde

A Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), conhecida como LGPD, é a legislação brasileira que regula o tratamento de dados pessoais por pessoas físicas e jurídicas — públicas e privadas. Inspirada no Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR), a LGPD estabelece princípios, direitos dos titulares, obrigações dos controladores de dados e sanções pelo descumprimento.

A lei se aplica a qualquer operação realizada com dados pessoais de pessoas localizadas no Brasil, independente de onde o controlador dos dados esteja estabelecido. Isso significa que plataformas de telemedicina — nacionais ou internacionais — que atendam pacientes brasileiros devem cumprir a LGPD.

A ANPD (Autoridade Nacional de Proteção de Dados) é o órgão responsável por fiscalizar o cumprimento da lei e aplicar sanções, que podem chegar a 2% do faturamento da empresa no Brasil (até R$ 50 milhões por infração).

Para a área da saúde, a LGPD é especialmente relevante porque envolve dados que, se vazados ou mal utilizados, podem causar danos concretos às pessoas: discriminação por seguradoras, problemas no emprego, violação da intimidade, e exposição de condições médicas que a pessoa deseja manter privadas.

Dados de saúde: por que são considerados dados sensíveis

A LGPD estabelece uma categoria especial para certos tipos de dados que, por sua natureza, podem gerar discriminação ou causar danos graves ao titular quando expostos. São os chamados dados pessoais sensíveis, e entre eles estão expressamente os dados referentes à saúde.

Outros tipos de dados sensíveis incluem: dados sobre origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, dados genéticos, biométricos e sobre a vida sexual do titular.

Para os dados de saúde, a LGPD exige que:

• O tratamento seja realizado exclusivamente por profissionais de saúde ou entidades de saúde submetidos ao dever de sigilo;
• O consentimento do titular seja específico e destacado — não pode estar embutido em termos gerais de uso;
• Medidas de segurança técnicas e administrativas mais rigorosas sejam adotadas;
• O tratamento tenha finalidade específica e declarada, relacionada a cuidados de saúde;
• A portabilidade dos dados seja garantida quando solicitada pelo titular.

Importante: Nenhuma plataforma de telemedicina pode compartilhar seus dados de saúde com terceiros — seguradoras, empregadores, parceiros comerciais — sem seu consentimento específico e explícito para cada finalidade.

Como as plataformas de telemedicina devem tratar seus dados

Uma plataforma de telemedicina em conformidade com a LGPD deve seguir os dez princípios estabelecidos pela lei:

• Finalidade: os dados são coletados para finalidades específicas, legítimas e declaradas ao titular (prestação de serviço médico). Não podem ser usados para outros fins sem novo consentimento;
• Adequação: o tratamento deve ser compatível com as finalidades declaradas;
• Necessidade: apenas os dados estritamente necessários para a prestação do serviço devem ser coletados (princípio da minimização);
• Livre acesso: o paciente tem direito a consultar seus dados a qualquer momento;
• Qualidade dos dados: os dados devem ser exatos, claros e atualizados;
• Transparência: informações claras sobre o tratamento de dados devem estar disponíveis ao titular;
• Segurança: medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, vazamentos e outras situações adversas;
• Prevenção: adoção de medidas para prevenir danos antes que ocorram;
• Não discriminação: os dados não podem ser usados para fins discriminatórios;
• Responsabilização: a plataforma deve demonstrar que cumpre a lei e ser responsabilizada quando não o faz.

Na prática, isso significa que ao acessar uma plataforma de telemedicina, você deve encontrar uma Política de Privacidade clara, detalhada e escrita em linguagem acessível, que explique exatamente quais dados são coletados, para qual finalidade, por quanto tempo são armazenados e com quem podem ser compartilhados.

Criptografia e segurança técnica nas consultas online

Além das obrigações legais da LGPD, a segurança técnica das consultas de telemedicina é garantida por um conjunto de tecnologias e protocolos que protegem seus dados em trânsito e em repouso.

Criptografia de ponta a ponta (E2E): é o padrão ouro para a segurança em videochamadas médicas. Nesse modelo, os dados da chamada são criptografados no dispositivo do paciente antes de serem transmitidos e só são descriptografados no dispositivo do médico — nenhum intermediário, incluindo a própria plataforma, consegue acessar o conteúdo da conversa.

Protocolo HTTPS e TLS: toda comunicação entre o navegador do usuário e os servidores da plataforma deve ocorrer via HTTPS, com certificado SSL/TLS válido. Isso garante que dados inseridos em formulários (dados pessoais, histórico clínico) não possam ser interceptados durante a transmissão.

Armazenamento criptografado: os dados armazenados nos servidores (prontuários, receitas, relatórios de consulta) devem ser criptografados em repouso, de modo que um acesso não autorizado ao servidor não resulte em exposição dos dados em texto claro.

Autenticação segura: o acesso à plataforma deve exigir autenticação robusta. A autenticação de dois fatores (2FA) é uma medida adicional que dificulta significativamente acessos não autorizados.

Servidores certificados: plataformas sérias utilizam infraestrutura de nuvem com certificações de segurança reconhecidas, como ISO 27001 e SOC 2, que garantem padrões rigorosos de proteção de dados.

Consentimento informado: seus direitos na coleta de dados

A LGPD estabelece que o consentimento para o tratamento de dados sensíveis — como dados de saúde — deve ser livre, informado, inequívoco e específico. Isso tem implicações práticas importantes para como as plataformas de telemedicina devem estruturar seus fluxos de uso.

Seus direitos como titular de dados de saúde incluem:

• Direito de acesso: solicitar a confirmação de que seus dados estão sendo tratados e obter cópia dos dados que a plataforma possui sobre você;
• Direito de correção: corrigir dados incompletos, inexatos ou desatualizados;
• Direito de exclusão: solicitar a exclusão dos seus dados quando o tratamento for baseado em consentimento e você revogar esse consentimento (com algumas exceções legais, como a obrigação de manter prontuário médico por 20 anos);
• Direito à portabilidade: receber seus dados em formato estruturado para transferência a outro prestador de serviços;
• Direito de revogação do consentimento: retirar o consentimento a qualquer momento, sem prejuízo da legalidade do tratamento realizado anteriormente;
• Direito à informação: ser informado sobre as entidades públicas e privadas com as quais a plataforma compartilhou seus dados;
• Direito de oposição: opor-se ao tratamento de dados realizado com base em outras hipóteses legais que não o consentimento, quando descumprida a LGPD.

O que acontece com seus dados após a consulta

Uma dúvida frequente dos pacientes é: o que acontece com meus dados depois que a consulta termina? A resposta depende da política de retenção de dados de cada plataforma — e a LGPD exige que essa política seja transparente e declarada.

Do ponto de vista regulatório da saúde, o Conselho Federal de Medicina estabelece que o prontuário médico deve ser mantido pelo prazo mínimo de 20 anos após o último atendimento (Resolução CFM 1.821/2007). Isso significa que a plataforma tem obrigação legal de guardar o registro das consultas por esse período.

Outros dados, como os utilizados para fins de análise e melhoria do serviço, devem ter prazos de retenção declarados na Política de Privacidade. Após o cumprimento da finalidade ou do prazo legal, os dados devem ser eliminados de forma segura — não apenas "deletados", mas destruídos de modo que não possam ser recuperados.

Em caso de incidente de segurança que resulte em risco ou dano aos titulares (como um vazamento de dados), a LGPD exige que a plataforma notifique a ANPD e os titulares afetados em prazo razoável.

Como a EG Telemedicina garante a conformidade com a LGPD

Na EG Telemedicina, a conformidade com a LGPD e a proteção dos dados de saúde dos nossos pacientes são prioridades absolutas em todas as camadas da nossa operação. Implementamos:

• Criptografia de ponta a ponta em todas as videochamadas médicas realizadas pela plataforma;
• Armazenamento criptografado de prontuários, receitas e documentos médicos em servidores com certificação de segurança;
• Política de Privacidade clara, acessível e escrita em linguagem simples, disponível em nosso site;
• Consentimento específico e destacado para coleta e tratamento de dados de saúde, coletado antes do início de qualquer atendimento;
• Canal dedicado para exercício de direitos LGPD: nossos pacientes podem solicitar acesso, correção, exclusão e portabilidade de dados através de canal específico;
• Encarregado de Proteção de Dados (DPO) designado, responsável por supervisionar a conformidade com a LGPD e ser o ponto de contato com a ANPD;
• Verificação de identidade e CRM de todos os médicos cadastrados na plataforma, garantindo que seus dados são compartilhados apenas com profissionais habilitados;
• Auditorias de segurança regulares e testes de penetração para identificar e corrigir vulnerabilidades antes que possam ser exploradas;
• Política de retenção de dados em conformidade com as resoluções do CFM e as disposições da LGPD.

Acreditamos que confiança é a base de qualquer relação médico-paciente — presencial ou digital. E a proteção dos seus dados de saúde é um elemento inegociável dessa confiança.

Para exercer seus direitos LGPD ou tirar dúvidas sobre como tratamos seus dados, entre em contato com nossa equipe de privacidade. Para conhecer todos os serviços de telemedicina disponíveis, acesse nossa página de especialidades.

FAQ

A LGPD se aplica a plataformas de telemedicina internacionais?

Sim. A LGPD se aplica a qualquer organização que trate dados de pessoas localizadas no Brasil, independente de onde a empresa está sediada. Plataformas internacionais de telemedicina que atendam pacientes brasileiros são obrigadas a cumprir a lei.

Minha operadora de saúde pode acessar os dados da minha consulta online?

Não sem seu consentimento específico. O compartilhamento de dados de saúde com terceiros — incluindo operadoras de plano de saúde — requer consentimento explícito do titular para essa finalidade específica. Os dados de uma consulta médica estão protegidos pelo sigilo médico e pela LGPD.

O que devo fazer se suspeitar que meus dados de saúde foram vazados?

Reporte imediatamente à plataforma de telemedicina e à ANPD (gov.br/anpd). Você também pode acionar o Procon do seu estado. Guarde evidências da suspeita e monitore eventuais usos indevidos das informações.

Receitas e documentos médicos enviados por e-mail são seguros?

O e-mail padrão não é um canal seguro para transmissão de dados de saúde. Plataformas sérias utilizam sistemas de entrega de documentos criptografados, com links protegidos por senha ou autenticação, em vez de anexos de e-mail convencionais. Verifique a prática da sua plataforma.

Por quanto tempo a plataforma guarda meu prontuário?

Conforme a Resolução CFM 1.821/2007, o prontuário médico deve ser mantido por no mínimo 20 anos após o último atendimento. Após esse prazo legal, os dados devem ser eliminados de forma segura.

Posso solicitar a exclusão de todos os meus dados da plataforma?

Você pode solicitar a exclusão dos dados tratados com base em consentimento. Dados mantidos por obrigação legal (como o prontuário médico) não podem ser excluídos antes do prazo legal, mesmo mediante solicitação. A plataforma deve explicar claramente quais dados podem e quais não podem ser excluídos, e por quê.