Uma ILPI trata diariamente dados pessoais de alto valor e, em muitos casos, altamente sensíveis: informações de saúde, medicamentos, documentos, contatos de familiares, dados financeiros e registros da rotina do residente. A LGPD não é, portanto, um assunto restrito ao setor administrativo ou ao site da instituição; ela alcança a operação cotidiana.

A Lei Geral de Proteção de Dados, Lei nº 13.709/2018, classifica dados referentes à saúde como dados pessoais sensíveis. Esse tipo de informação exige atenção especial porque seu uso indevido pode gerar discriminação, exposição da intimidade e outros danos. A instituição deve saber quais dados coleta, para qual finalidade, quem acessa, por quanto tempo mantém e com quem compartilha.

O primeiro erro comum é acreditar que todo tratamento depende de consentimento. A LGPD prevê diferentes bases legais e hipóteses específicas para dados sensíveis. Em uma ILPI, a base adequada depende da finalidade concreta do tratamento e da relação jurídica envolvida. Por isso, consentimento não deve ser usado como uma autorização genérica para qualquer uso de dados.

O segundo erro é dar acesso amplo demais. Cuidador, supervisor, profissional de saúde, administrativo e gestor não necessariamente precisam ver as mesmas informações. O princípio da necessidade recomenda limitar o tratamento ao mínimo necessário para a finalidade. Na prática, isso se traduz em perfis e permissões coerentes com as funções de cada usuário.

O terceiro erro é compartilhar por conveniência. Fotos, informações clínicas, resultados de exames e ocorrências não devem circular indiscriminadamente em grupos de mensagens ou dispositivos pessoais. Antes de compartilhar, a instituição precisa avaliar finalidade, destinatário, segurança do canal e se aquela pessoa realmente precisa receber aquela informação.

Segurança da informação não se resume a senha. A ANPD recomenda medidas administrativas e técnicas proporcionais ao contexto, como política de segurança, controle de acesso, gestão de senhas, atualização de sistemas, cópias de segurança, treinamento da equipe e procedimentos para incidentes. Instituições pequenas também precisam adotar medidas compatíveis com seus riscos.

Outra prática importante é registrar a governança. A instituição deve conhecer seus principais fluxos de dados: admissão, atendimento, comunicação com família, contratos, RH, medicamentos, fornecedores e sistemas utilizados. Mapear esses fluxos ajuda a localizar excesso de coleta, compartilhamentos desnecessários e pontos de vulnerabilidade.

Quando ocorre um incidente, improvisar piora o problema. É importante ter um procedimento interno para identificar o que aconteceu, conter o acesso, preservar evidências, avaliar impacto e decidir as medidas cabíveis. As regras da ANPD sobre comunicação de incidentes devem ser observadas quando aplicáveis.

No SIDOSO, a arquitetura utiliza isolamento por instituição, perfis de acesso, registros de auditoria e controles voltados a dados sensíveis. Isso não significa “conformidade automática com a LGPD”: conformidade depende também dos processos, contratos, pessoas e decisões da própria instituição. O sistema é uma ferramenta para apoiar uma gestão de dados mais organizada e rastreável.

Fontes de referência: Lei nº 13.709/2018; materiais e guias orientativos da Autoridade Nacional de Proteção de Dados, especialmente os conteúdos sobre agentes de tratamento e segurança da informação. Em casos específicos, a instituição deve buscar orientação jurídica ou especializada.