LGPD para agências de home care: o que é obrigatório (e o que é só boa prática)

Agências de home care e ILPIs lidam, todos os dias, com uma das categorias de dado mais sensíveis que existe: dado de saúde. A LGPD (Lei 13.709/2018) classifica esse tipo de informação como dado sensível, o que traz obrigações mais rígidas do que as aplicadas a um cadastro comum de cliente.

O que conta como dado sensível na sua operação

• Prontuário, evoluções clínicas e prescrições.
• Diagnósticos, medicações em uso e histórico de saúde do paciente.
• Avaliações de risco (Braden, Morse, Katz, MEEM) e qualquer nota sobre condição física ou mental.
• Fotos do paciente, mesmo as compartilhadas com a família em tom de atualização do dia a dia.

CPF, endereço e telefone da família também são dados pessoais, mas não sensíveis — ainda exigem cuidado, mas a régua de exigência sobre dado de saúde é mais alta.

Obrigações que realmente existem

• Base legal para tratar dado de saúde: para agências, a base mais comum é a execução do próprio contrato de prestação de serviço de saúde — mas isso precisa estar claro no contrato e no aceite do cliente, não presumido.
• Consentimento específico quando exigido: compartilhar fotos com a família, por exemplo, tende a exigir consentimento claro e revogável — a pessoa (ou o responsável legal) precisa poder dizer "não quero mais que compartilhem fotos".
• Direitos do titular: qualquer paciente ou responsável pode pedir para saber quais dados a agência guarda sobre ele, corrigir informação errada, ou solicitar eliminação quando o contrato termina (respeitado o prazo legal de guarda de prontuário, que costuma ser mais longo que o prazo comum de dados).
• Registro de quem acessou o quê: não é uma exigência explícita e literal da lei para toda operação, mas é o jeito mais direto de provar, se questionado, que o acesso ao prontuário foi restrito a quem realmente precisava dele.
• Comunicação de incidente: em caso de vazamento real (perda de notebook, invasão, e-mail enviado para a pessoa errada com dado de saúde), a lei exige comunicação à ANPD e aos titulares afetados em prazo razoável.

O que é boa prática, mas não é lei

Vale separar o que a lei exige do que é apenas recomendável, para não gastar energia no lugar errado:

• Ter uma política de privacidade publicada é praxe de mercado e ajuda a demonstrar transparência, mas o núcleo da LGPD está no tratamento correto do dado, não no texto em si.
• Criptografia de ponta a ponta em toda comunicação é uma boa prática de segurança, mas a lei fala em medidas adequadas ao risco — não exige um padrão técnico específico.
• Certificações de segurança (ISO 27001 etc.) não são exigidas por lei para uma agência de pequeno/médio porte — fazem mais sentido para quem processa dado em grande escala.

Por onde começar, na prática

Para a maioria das agências, o caminho mais realista é: (1) restringir quem no sistema acessa prontuário completo — normalmente só a equipe assistencial e a gestão; (2) ter uma tela onde a família ou o paciente possam pedir exportação ou eliminação dos próprios dados; (3) manter um registro simples de quem acessou o quê e quando, para eventuais questionamentos.