LGPD aos 8 anos: nova régua para operadoras de saúde
O amadurecimento da regulamentação da ANPD amplia a exigência de governança sobre dados pessoais sensíveis e reforça a necessidade de integrar privacidade, segurança da informação e regulação da Saúde Suplementar.
Ao completar oito anos de sua sanção em 14 de agosto de 2026, a Lei Geral de Proteção de Dados Pessoais chega à Saúde Suplementar em um estágio de maior aprofundamento regulatório. Para as operadoras de planos de saúde, que tratam dados pessoais sensíveis em larga escala, a conformidade deixa de se concentrar em adequações genéricas e passa a exigir governança capaz de conciliar as regras da Autoridade Nacional de Proteção de Dados com as obrigações e os processos regulados pela Agência Nacional de Saúde Suplementar.
Leitura rápida
- Aos oito anos, a LGPD entra em uma fase mais madura, em que as operadoras precisam ir além de políticas e documentos formais;
- A atuação do encarregado de dados deve ter continuidade, inclusive quando o responsável principal estiver ausente;
- Incidentes com dados pessoais podem exigir comunicação rápida, o que torna essencial ter tecnologia, jurídico e compliance preparados para atuar em conjunto;
- O envio de dados para outros países também exige cuidados específicos, especialmente quando envolve informações sensíveis de beneficiários;
- Para as operadoras, proteção de dados e regulação da ANS precisam funcionar de forma integrada à governança e aos processos do dia a dia.
Oito anos depois, adequação documental já não encerra o debate
A evolução da regulamentação da proteção de dados no Brasil tornou mais específicas as responsabilidades das organizações que tratam informações pessoais. Na Saúde Suplementar, essa evolução ganha peso adicional porque prontuários, exames, históricos de autorização, dados assistenciais e informações relacionadas à utilização dos planos estão inseridos no universo dos dados pessoais sensíveis.
Para as operadoras, o desafio passa a envolver não apenas a existência de políticas e documentos de privacidade, mas também a capacidade de manter responsabilidades definidas, processos de resposta, controles internos e fluxos compatíveis com as determinações da ANPD e com a regulação própria do setor.
O amadurecimento da LGPD desloca a atenção da adequação formal para a capacidade de demonstrar governança contínua sobre dados sensíveis, incidentes, responsabilidades e fluxos regulatórios.
O encarregado precisa ter continuidade dentro da governança
A Resolução CD/ANPD nº 18, de 16 de julho de 2024, aprovou o regulamento sobre a indicação do Encarregado pelo Tratamento de Dados Pessoais e detalhou atribuições relacionadas à transparência, autonomia e atuação do responsável pela função.
Entre os pontos destacados está a possibilidade de designação de um encarregado substituto. Para as operadoras, essa estrutura contribui para preservar a continuidade da representação e da comunicação em situações nas quais o encarregado titular esteja indisponível, inclusive diante de requisições, auditorias ou incidentes que demandem resposta.
A continuidade da função do encarregado ganha relevância em organizações que mantêm operações e fluxos assistenciais permanentes e precisam preservar canais de comunicação mesmo durante ausências do responsável titular.
Incidentes passam a exigir coordenação em prazo definido
A Resolução CD/ANPD nº 15, de 24 de abril de 2024, aprovou o Regulamento de Comunicação de Incidentes de Segurança e estabeleceu critérios para situações que envolvam risco ou dano relevante aos titulares.
Nesses casos, a comunicação à ANPD e aos titulares deve ocorrer em até três dias úteis, contados do conhecimento do incidente. Para operadoras de planos de saúde, o tratamento de informações como prontuários, exames, dados de sinistralidade e históricos de autorização torna especialmente relevante a existência de processos previamente definidos para avaliação e resposta.
Na prática, o texto destaca a necessidade de um Plano de Resposta a Incidentes capaz de articular tecnologia, jurídico e compliance, evitando que a resposta seja construída apenas depois da identificação de um evento de segurança.
Transferências internacionais entram nos fluxos de dados sensíveis
A Resolução CD/ANPD nº 19, de 23 de agosto de 2024, regulamentou as transferências internacionais de dados pessoais e aprovou as Cláusulas-Padrão Contratuais aplicáveis a esses fluxos.
O tema pode alcançar atividades específicas da Saúde Suplementar. O documento destaca, como exemplo, situações relacionadas à importação de medicamentos especiais, biológicos ou utilizados em medicina de precisão, nas quais distribuidores ou agentes estrangeiros podem demandar laudos, informações de identificação, dosagens ou outros dados pessoais sensíveis.
Nesse contexto, a estrutura jurídica e contratual das transferências passa a fazer parte da governança do processo, ampliando a importância da identificação dos dados compartilhados, da finalidade do envio e das condições utilizadas para a transferência internacional.
A dupla regulação aproxima privacidade e operação assistencial
A relação entre proteção de dados e Saúde Suplementar também envolve a atuação conjunta da ANPD e da ANS. O Acordo de Cooperação Técnica entre as instituições busca aproximar a regulação de privacidade das obrigações sanitárias, assistenciais e econômicas que já fazem parte da rotina das operadoras.
Um dos pontos dessa interface envolve o compartilhamento de informações por meio do padrão TISS/TUSS. O tratamento necessário ao cumprimento de obrigações regulatórias precisa coexistir com o princípio da minimização previsto na LGPD, de modo que o fluxo de dados permaneça limitado ao necessário para a finalidade regulatória.
Outro eixo relevante é a vedação ao uso de dados de saúde para seleção de risco na contratação ou exclusão de beneficiários. O documento também relaciona essa atuação coordenada ao acompanhamento de práticas que utilizem históricos de saúde ou recursos preditivos para recusa de propostas ou diferenciação individual de cobertura.
Incidentes setoriais exigem uma leitura além da privacidade
A articulação entre ANPD e ANS também é relevante nos casos de incidentes de grande alcance envolvendo dados de beneficiários. Nesses episódios, a avaliação pode ultrapassar a infração relacionada à proteção de dados e alcançar consequências para a prestação da assistência e para a continuidade dos serviços.
Essa perspectiva reforça que segurança da informação, privacidade e continuidade operacional não funcionam como frentes isoladas. Na Saúde Suplementar, a governança de dados precisa dialogar com processos assistenciais, regulatórios e de gestão.
Matriz de conformidade para operadoras de saúde
| Frente normativa | Dispositivo | Interface com a operação |
|---|---|---|
| Encarregado e suplência | Resolução CD/ANPD nº 18/2024 | Estruturação formal do encarregado e do substituto para preservar a continuidade da função e do atendimento relacionado à proteção de dados. |
| Comunicação de incidentes | Resolução CD/ANPD nº 15/2024 | Comunicação em até três dias úteis nos incidentes sujeitos aos critérios de risco ou dano relevante, com necessidade de integração entre as áreas responsáveis pela resposta. |
| Transferência internacional | Resolução CD/ANPD nº 19/2024 | Estruturação dos mecanismos aplicáveis ao envio internacional de dados, inclusive em fluxos relacionados a medicamentos ou atividades assistenciais realizadas no exterior. |
| Vedações ao uso de dados | LGPD, art. 11, § 4º, e ACT ANPD-ANS | Vedação ao tratamento de dados de saúde para seleção de risco na contratação ou exclusão de beneficiários. |
A maturidade regulatória depende de governança integrada
Aos oito anos da LGPD, o cenário descrito aponta para uma etapa em que a proteção de dados precisa estar incorporada aos processos reais das operadoras. As Resoluções CD/ANPD nº 15, nº 18 e nº 19/2024 aprofundam temas relacionados à resposta a incidentes, atuação do encarregado e transferências internacionais, enquanto a interação entre ANPD e ANS aproxima essas exigências das particularidades da Saúde Suplementar.
Nesse ambiente, segurança da informação e privacidade dos beneficiários passam a integrar uma visão mais ampla de governança regulatória, reputacional e financeira. A capacidade de articular responsabilidades, controles e respostas tende a ser tão relevante quanto a existência dos documentos formais de conformidade.
Perguntas frequentes
Quais resoluções da ANPD são destacadas no contexto dos oito anos da LGPD?
O texto destaca as Resoluções CD/ANPD nº 15/2024, nº 18/2024 e nº 19/2024, relacionadas, respectivamente, à comunicação de incidentes, à atuação do encarregado e às transferências internacionais de dados.
Qual é o prazo para comunicar determinados incidentes de segurança?
Nos casos enquadrados nos critérios de risco ou dano relevante, a Resolução CD/ANPD nº 15/2024 estabelece comunicação à ANPD e aos titulares em até três dias úteis contados do conhecimento do incidente.
A regulamentação permite a existência de encarregado substituto?
Sim. A regulamentação sobre o encarregado contempla a possibilidade de designação de substituto, contribuindo para a continuidade da função durante a indisponibilidade do titular.
Por que a relação entre ANPD e ANS importa para as operadoras?
A articulação aproxima a regulação de proteção de dados das obrigações próprias da Saúde Suplementar, incluindo compartilhamento de informações, uso de dados de saúde e resposta a incidentes envolvendo beneficiários.
Referências normativas citadas no artigo
- Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).
- Resolução CD/ANPD nº 15, de 24 de abril de 2024 — Regulamento de Comunicação de Incidente de Segurança.
- Resolução CD/ANPD nº 18, de 16 de julho de 2024 — Regulamento sobre a atuação do Encarregado pelo Tratamento de Dados Pessoais.
- Resolução CD/ANPD nº 19, de 23 de agosto de 2024 — Regulamento de Transferência Internacional de Dados e cláusulas-padrão contratuais.
- Acordo de Cooperação nº 01/2024 — Autoridade Nacional de Proteção de Dados (ANPD) e Agência Nacional de Saúde Suplementar (ANS).
Governança de dados precisa acompanhar a evolução regulatória
A integração entre proteção de dados, segurança da informação, compliance e processos regulatórios é parte relevante da maturidade de gestão das organizações do setor de saúde. A CTS acompanha essas interfaces com uma abordagem técnica e orientada à governança.
