LGPD na telerradiologia: do “contrato” ao “controle real”

Em telerradiologia, LGPD não é um capítulo do jurídico. É o jeito como a operação prova que tem domínio sobre dados sensíveis em um fluxo que atravessa unidades, turnos, sistemas e pessoas. Quando o assunto fica restrito ao contrato, sobra uma sensação de conformidade e falta o que realmente interessa em saúde: controle contínuo, rastreável e auditável.

Imagem e laudo carregam dados pessoais sensíveis. Não só nome e CPF, mas hipóteses clínicas, histórico, achados e decisões que, fora de contexto, viram exposição. A lei não foi escrita para atrapalhar o cuidado, mas para exigir que o cuidado seja feito com segurança e com limites claros.

Diretores e compliance costumam perguntar o que muda na prática. Muda o foco. A discussão deixa de ser “tem cláusula” e vira “quem acessa, por quê, por quanto tempo, com qual registro, e o que acontece quando dá errado”. Esse é o ponto em que LGPD se transforma em segurança operacional.

Telerradiologia adiciona fricções próprias: acesso remoto, múltiplos clientes no mesmo parque tecnológico, integrações com PACS, RIS e prontuário, além de compartilhamentos inevitáveis com parceiros de TI e infraestrutura. Se não houver desenho de controles, o sistema funciona, mas ninguém consegue demonstrar que funciona com proteção.

O caminho mais maduro é encarar LGPD como gestão de risco assistencial e reputacional, sustentada por governança, processos e tecnologia. Documento ajuda, claro. Só que documento sem log, sem trilha, sem teste e sem revisão é papel.

Bases legais e papéis

O primeiro controle é conceitual e, por isso mesmo, costuma ser negligenciado: qual é a base legal do tratamento e quem é controlador ou operador em cada etapa. Em telerradiologia, é comum que a instituição assistencial seja controladora do dado do paciente e o prestador de telerradiologia atue como operador, seguindo instruções e limites definidos. Há cenários híbridos, mas eles precisam estar escritos, não subentendidos.

Para dados sensíveis de saúde, a LGPD traz hipóteses específicas que permitem o tratamento sem depender de consentimento como regra, incluindo situações ligadas à tutela da saúde por profissionais e serviços de saúde, cumprimento de obrigação legal ou regulatória, e proteção da vida ou incolumidade física. Escolher a base legal certa é menos “jurídico” do que parece: ela define o que pode ser pedido, o que pode ser compartilhado e o que precisa de justificativa adicional.

Um bom sinal de maturidade é quando as áreas conseguem responder, sem rodeio, três perguntas: por que o dado existe no fluxo, quem decide sobre esse uso, e quem executa. A partir daí, o contrato deixa de ser peça central e vira um dos suportes da governança.

Dados em excesso, risco em excesso

Minimização não significa empobrecer a requisição clínica nem dificultar o diagnóstico. Significa manter o dado proporcional à finalidade. Em radiologia, isso aparece em detalhes: campos obrigatórios na solicitação, anexos desnecessários, envio de documentos inteiros quando bastaria um resumo, e compartilhamentos automáticos que ninguém revisou.

Um fluxo bem desenhado define o “mínimo clínico” por tipo de exame e contexto, e evita captura de informação que não tem utilidade diagnóstica. É o tipo de controle que reduz exposição sem tocar na qualidade assistencial. Quando a operação cresce, minimização vira a forma mais barata de reduzir risco.

Na telerradiologia, também vale olhar para o que vai no laudo. Há diferença entre registrar uma informação que sustenta o raciocínio clínico e replicar, no texto, dados identificáveis ou históricos extensos que não são necessários para a decisão.

Gestão de acesso

Em serviços de imagem, a maior parte do risco nasce de acessos legítimos que não deveriam existir: permissões amplas demais, contas genéricas, ausência de revisão periódica, e falta de segregação por cliente, por função e por necessidade. Isso fica crítico em telerradiologia, onde a produtividade depende de acesso rápido e onde plantões mudam com frequência.

Controle real começa com princípios simples: menor privilégio, acesso por perfil, autenticação forte, revisão de permissões em ciclos curtos e desativação imediata de contas quando o vínculo muda. Parece básico, mas é o que impede que o sistema vire um repositório aberto por conveniência.

Há um ponto delicado: subespecialistas e auditoria precisam de acesso. A solução não é negar, é desenhar. Acesso para revisão e auditoria pode ser temporário, rastreado e com justificativa registrada, preservando a qualidade sem perder o controle.

Trilhas de auditoria e logs

Auditoria em LGPD, no mundo real, depende de log. Quem acessou exame, quando, de onde, o que visualizou, o que exportou, e o que alterou em laudo ou metadado. Sem isso, não há como investigar incidente, responder a auditoria externa ou sustentar prestação de contas.

Trilha de auditoria tem duas camadas. A primeira é técnica: logs de PACS, RIS, laudos, integrações e infraestrutura, com sincronização de horário, integridade e retenção adequada. A segunda é operacional: capacidade de correlacionar log com contexto, como plantão, escala, solicitação e motivo de acesso.

Quando esses dois níveis se encontram, compliance deixa de operar no escuro. E a liderança consegue tomar decisões baseadas em fatos, não em versões. É também o que diferencia “temos políticas” de “temos evidências”.

Retenção e descarte

Na saúde, retenção tem obrigações assistenciais, regulatórias e de defesa técnica. Ao mesmo tempo, reter além do necessário amplia a superfície de ataque, custo e exposição. O equilíbrio não se resolve com uma frase genérica, e sim com uma tabela de retenção por tipo de dado e sistema, alinhada à finalidade e a obrigações aplicáveis.

Em telerradiologia, o desafio costuma ser a multiplicação de cópias: caches locais, backups, réplicas para contingência, exports para discussão clínica e arquivos temporários em estações. Um programa sério mapeia onde os dados “nascem”, onde “circulam” e onde “ficam esquecidos”. Quase sempre é nesse esquecido que a LGPD aparece como problema.

Descarte seguro e documentado fecha o ciclo. Não é só apagar. É garantir que o dado não permaneça acessível em locais paralelos e que exista evidência do procedimento.

Criptografia e proteção de transporte

Em telerradiologia, o dado está em trânsito o tempo todo. Entre unidade e PACS, entre PACS e estação remota, entre laudo e prontuário, entre backups e contingência. Criptografia em trânsito, com canais protegidos e configuração consistente, é o tipo de controle que não aparece para o usuário final e, ainda assim, evita incidentes graves.

Criptografia em repouso também importa, especialmente em bancos de dados, armazenamento de imagens, backups e ambientes de virtualização. Aqui, tecnologia precisa de processo: gestão de chaves, rotação, controle de acesso às chaves e validação periódica do que está, de fato, criptografado.

Outra peça prática é controlar exportação e cópia. Em radiologia, a tentação de salvar imagens para “ver depois” ou enviar por canais informais surge nos momentos de pressão. Um fluxo bem desenhado reduz essa necessidade com ferramentas adequadas e com regras claras.

Resposta a incidentes

Incidente em saúde não é hipótese remota. Pode ser perda de credencial, ransomware, vazamento por configuração, envio indevido de exame, acesso indevido interno. O que define maturidade é como o serviço detecta, contém, investiga, documenta e comunica.

A LGPD prevê o dever de comunicação à ANPD e aos titulares quando houver risco ou dano relevante. E a ANPD regulamentou o processo de comunicação de incidentes, com prazos e informações mínimas, o que obriga a operação a ter prontidão de evidências, não só boa intenção. Em termos práticos, isso puxa uma disciplina: playbooks, pontos de contato, cadeia de decisão, preservação de logs e critérios de severidade.

Planos de resposta que funcionam são testados. Não por formalidade, mas porque, sem simulação, o primeiro teste vira o incidente real, e aí tudo demora mais do que deveria.

Integração de tecnologia e processo

O erro mais comum em programas de conformidade é tratar controle como checklist. Segurança operacional pede integração. Política sem monitoramento não detecta desvio. Monitoramento sem governança gera alertas que ninguém resolve. Governança sem capacidade técnica vira reunião.

Na telerradiologia, o desenho mais sólido costuma reunir: mapeamento de dados por sistema, matriz de acesso por função, trilha de auditoria integrada, retenção com descarte seguro, criptografia onde faz sentido e resposta a incidentes com responsabilidades claras entre hospital, TI, prestador e fornecedores. Esse conjunto reduz risco assistencial e também reduz custo invisível, como retrabalho em auditorias, disputas sobre responsabilidade e interrupções operacionais.

Para revisar controles e rastreabilidade no seu fluxo de imagem e laudo, fale com a STAR.

  Referências

• Brasil. Lei nº 13.709/2018 (LGPD). Presidência da República, Planalto.
• ANPD. Comunicação de Incidente de Segurança (CIS) e orientações para peticionamento eletrônico.
• ANPD. Notícia sobre a Resolução CD/ANPD nº 15/2024 e o Regulamento de Comunicação de Incidente de Segurança (RCIS).
• ANPD. Resolução CD/ANPD nº 15/2024 e anexo com o Regulamento de Comunicação de Incidente de Segurança (texto integral em PDF).
• ANPD. Guia orientativo sobre segurança da informação para agentes de tratamento, com checklist de medidas.
• ANPD. Guia orientativo para definições de controlador, operador e encarregado (DPO).