Segurança de dados na telemedicina: o que médicos e clínicas precisam observar
A segurança de dados na telemedicina não é apenas uma característica do software utilizado. Ela depende da combinação entre tecnologia, processos internos, responsabilidade profissional e cumprimento das normas aplicáveis ao atendimento remoto.
Na prática, médicos e clínicas precisam proteger informações durante a coleta, o acesso, a transmissão e o armazenamento, controlar quem pode consultar o prontuário, documentar o atendimento adequadamente e saber como agir diante de um incidente de segurança.
Criptografia ou armazenamento em nuvem, isoladamente, não comprovam que uma operação de telemedicina seja segura ou esteja em conformidade. A avaliação precisa considerar todo o ciclo de tratamento dos dados.
Quais regras valem para a segurança de dados na telemedicina?
O marco brasileiro mudou desde a expansão da telemedicina em 2020. A Lei nº 14.510/2022 passou a disciplinar a telessaúde em todo o território nacional e estabeleceu princípios como consentimento livre e informado, direito de recusa ao atendimento remoto, confidencialidade dos dados e responsabilidade digital.
Para a prática médica, a principal referência é a Resolução CFM nº 2.314/2022, que revogou a antiga Resolução CFM nº 1.643/2002 e regulamenta a telemedicina.
A norma determina que dados e imagens constantes no prontuário sejam preservados de acordo com as regras de guarda, integridade, confidencialidade, privacidade e sigilo profissional. Também exige que o atendimento por telemedicina seja registrado em prontuário médico ou em Sistema de Registro Eletrônico de Saúde (SRES).
O SRES precisa atender ao NGS2
Um ponto importante da Resolução CFM nº 2.314/2022 é o requisito técnico aplicável ao SRES. O sistema deve possibilitar captura, armazenamento, apresentação, transmissão e impressão da informação digital identificada em saúde e atender integralmente aos requisitos do Nível de Garantia de Segurança 2 (NGS2).
A referência ao padrão ICP-Brasil ou a outro padrão legalmente aceito qualifica o padrão previsto na norma e não deve ser interpretada como uma alternativa ao cumprimento do NGS2.
A resolução também estabelece que, quando houver contratação de serviço terceirizado de arquivamento, a responsabilidade pela guarda dos dados e do atendimento deve ser compartilhada contratualmente entre o médico e a empresa contratada.
Dados de saúde são dados pessoais sensíveis
A Lei Geral de Proteção de Dados Pessoais (LGPD) classifica informações referentes à saúde como dados pessoais sensíveis.
Por isso, agentes de tratamento devem adotar medidas técnicas e administrativas capazes de proteger esses dados contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.
Isso significa que a proteção não termina na escolha de uma plataforma. Ela envolve a forma como médicos, recepcionistas, gestores, fornecedores e demais pessoas autorizadas acessam e utilizam as informações.
Consentimento e transparência fazem parte da segurança
A legislação de telessaúde e a norma do CFM exigem consentimento para o atendimento remoto. A Resolução CFM nº 2.314/2022 determina que o paciente ou seu representante legal autorize o atendimento por telemedicina e a transmissão de suas imagens e dados por meio de consentimento livre e esclarecido, que deve integrar o SRES.
O paciente também deve conhecer as limitações próprias da teleconsulta e ter preservado o direito de optar pelo atendimento presencial nas situações previstas nas normas aplicáveis.
Consentimento, porém, não substitui os demais deveres de proteção de dados. A clínica ainda precisa definir finalidades, limitar acessos, proteger sistemas e organizar a operação de acordo com a LGPD.
Quais medidas de segurança devem ser avaliadas na prática?
A LGPD estabelece a obrigação geral de segurança. Para transformar esse dever em rotina operacional, é útil avaliar controles técnicos e administrativos compatíveis com os riscos do serviço.
O guia de segurança da informação da ANPD, embora orientativo e direcionado a agentes de pequeno porte, apresenta medidas úteis para essa análise.
- Controle de acesso: cada profissional deve utilizar credenciais próprias, com permissões compatíveis com sua função. Autenticação, autorização e auditoria ajudam a limitar e rastrear acessos.
- Proteção na transmissão e no armazenamento: dados sensíveis devem contar com medidas adequadas contra leitura, alteração ou acesso indevido. Criptografia pode fazer parte dessa estratégia, mas não substitui os demais controles.
- Gestão de fornecedores: contratos com empresas de tecnologia e arquivamento devem deixar claras as responsabilidades relacionadas ao tratamento e à proteção dos dados.
- Cópias de segurança: backups ajudam na continuidade da operação e na recuperação de informações em caso de falha ou incidente.
- Atualização de sistemas e dispositivos: computadores, sistemas operacionais e softwares utilizados na rotina precisam receber manutenção e atualizações de segurança.
- Políticas e treinamento: a equipe deve saber quais informações pode acessar, como protegê-las e como comunicar uma ocorrência suspeita.
Nuvem não é sinônimo automático de segurança
Um sistema hospedado em nuvem pode adotar controles robustos, mas o modelo de hospedagem, por si só, não garante proteção ou conformidade. A análise deve considerar arquitetura, controles de acesso, segurança da transmissão, gestão de vulnerabilidades, continuidade, fornecedores e responsabilidades contratuais.
Da mesma forma, a existência de criptografia não elimina riscos decorrentes de senhas compartilhadas, dispositivos comprometidos, permissões excessivas ou falhas de processo.
É obrigatório gravar a teleconsulta?
Não há uma obrigação geral de manter a gravação completa de áudio e vídeo de toda teleconsulta. A própria Resolução CFM nº 2.314/2022 parte do princípio de que o registro completo com áudio, imagens e vídeo não é obrigatório, assim como não é no atendimento presencial.
O que precisa ser preservado é o registro clínico exigido pelas normas aplicáveis, incluindo as informações relevantes do atendimento e a conduta médica.
Se a operação optar por realizar gravações adicionais, esse material passa a exigir avaliação específica de finalidade, necessidade, transparência, acesso, armazenamento e proteção de dados.
O que fazer diante de um incidente com dados de pacientes?
Clínicas e consultórios devem ter um fluxo interno para identificar, conter, registrar e avaliar incidentes de segurança. Nem toda vulnerabilidade ou falha técnica gera automaticamente uma obrigação de comunicação externa.
De acordo com a LGPD, a comunicação é exigida quando um incidente de segurança puder acarretar risco ou dano relevante aos titulares. A regulamentação da ANPD sobre comunicação de incidentes estabelece, para os casos que atendem aos critérios previstos, prazo de três dias úteis para comunicação pelo controlador à ANPD e aos titulares, ressalvada a existência de prazo específico em outra legislação.
Por isso, é importante definir previamente responsáveis, canais internos, documentação do incidente e critérios de escalonamento. A avaliação jurídica e de proteção de dados pode ser necessária conforme a natureza e o impacto da ocorrência.
A segurança de dados não esgota as regras da telemedicina
Além dos requisitos de privacidade e segurança, a Resolução CFM nº 2.314/2022 contém outras condições que precisam ser observadas na operação médica.
Entre elas, a norma prevê que a consulta presencial continua sendo a referência e que, nos casos de doenças crônicas ou de acompanhamento prolongado, deve haver consulta presencial com o médico assistente em intervalos não superiores a 180 dias. A relação médico-paciente pode começar virtualmente quando os requisitos da resolução forem atendidos, mas deve haver continuidade com atendimento presencial.
A resolução também estabelece requisitos para documentos médicos emitidos a distância e para pessoas jurídicas que prestam serviços de telemedicina, comunicação ou arquivamento de dados. Esses pontos devem ser validados de acordo com a operação concreta e com eventuais normas posteriores aplicáveis.
Como avaliar uma plataforma de telemedicina com mais segurança?
Antes da contratação ou renovação de uma solução, vale transformar as exigências regulatórias e os riscos da clínica em perguntas objetivas:
- o SRES utilizado atende integralmente aos requisitos de NGS2 aplicáveis?
- existem contas individuais, níveis de permissão e registros de auditoria?
- como os dados são protegidos durante transmissão e armazenamento?
- como funciona a cópia, exportação e disponibilidade do prontuário para o paciente?
- quais responsabilidades de segurança e guarda estão previstas no contrato com fornecedores?
- há processo documentado para identificação e resposta a incidentes?
- os requisitos de registro e responsabilidade técnica aplicáveis à empresa prestadora estão atendidos?
Essas verificações ajudam a evitar uma avaliação baseada apenas em expressões como “sistema seguro”, “dados na nuvem” ou “criptografia”, que não são suficientes para demonstrar, sozinhas, o atendimento às obrigações legais e profissionais.
Segurança de dados exige revisão contínua
A telemedicina amplia as possibilidades de atendimento, mas também exige que clínicas e profissionais tratem privacidade, prontuário e segurança da informação como parte da rotina assistencial.
Revisar acessos, contratos, processos internos e requisitos técnicos periodicamente é tão importante quanto escolher a tecnologia. Mudanças na legislação, nas normas profissionais e na própria infraestrutura da clínica podem exigir novos controles.
Para conhecer recursos relacionados à organização do registro clínico e da rotina do consultório, consulte a área de prontuário eletrônico do iMedicina. A adequação técnica e regulatória de cada operação deve ser avaliada conforme seu contexto específico.
