apointoo.
Solicitar acesso
Privacidade e Compliance

Agenda online com dados de saúde exige RIPD antes do lançamento?

cmsapointoo··9 min de leitura

Uma agenda online não exige automaticamente um Relatório de Impacto à Proteção de Dados Pessoais apenas porque trata dados de saúde. A ANPD recomenda que o controlador elabore o RIPD antes de iniciar uma operação que possa gerar alto risco. A Autoridade também pode exigir o documento, inclusive em operações com dados pessoais sensíveis. São fundamentos diferentes de uma obrigação universal para todo formulário de clínica.

Enquanto não houver regulamento específico sobre RIPD, a ANPD indica como parâmetro, no que couber, o teste de alto risco da Resolução CD/ANPD nº 2/2022: ao menos um critério geral combinado com um critério específico. Dado de saúde satisfaz um critério específico, mas não encerra sozinho a análise. O controlador decide e documenta; o SaaS operador pode fornecer evidências técnicas, sem assumir a decisão jurídica da clínica.

O que é um RIPD na LGPD?

O artigo 5º, XVII define o RIPD como documentação do controlador que descreve processos de tratamento capazes de gerar riscos às liberdades civis e aos direitos fundamentais, além de medidas, salvaguardas e mecanismos de mitigação. O documento não é um selo do produto nem uma declaração curta de conformidade.

O artigo 38 permite que a ANPD determine ao controlador a elaboração do relatório, inclusive para tratamento de dados sensíveis. Seu conteúdo mínimo inclui tipos de dados coletados, metodologia usada para coleta e segurança das informações e análise das medidas e salvaguardas adotadas.

Um bom relatório precisa descrever a operação real. Para uma agenda, isso inclui campos visíveis e ocultos, finalidades, titulares, integrações, acessos, retenção, transferências, incidentes plausíveis e controles. O guia sobre base legal e dados de saúde no formulário mostra por que campo e finalidade não podem ser avaliados como um bloco único.

Quem responde pela elaboração?

A ANPD é direta: o controlador é responsável pelo RIPD. Na agenda de uma clínica, a identificação do controlador depende das decisões reais sobre finalidades e meios essenciais. O contrato e o rótulo comercial do fornecedor ajudam a registrar a relação, mas não mudam os papéis por vontade das partes.

O operador pode fornecer arquitetura, inventário de campos, subprocessadores, regiões, retenção, permissões, logs, testes e histórico de incidentes. A ANPD admite a consulta a operadores e considera desejável ouvir o encarregado. Essa colaboração não transfere ao fornecedor a decisão de prosseguir, modificar ou interromper o tratamento.

A divisão deve aparecer no contrato e no processo. O artigo sobre BAA, DPA e contrato de operador LGPD explica por que instruções, evidências e responsabilidades precisam acompanhar o papel efetivo, não apenas o título do documento.

Quando a ANPD recomenda preparar o relatório?

A orientação geral é elaborar o RIPD quando as operações possam gerar alto risco aos princípios da LGPD, às liberdades civis ou aos direitos fundamentais. A ANPD recomenda fazê-lo antes de iniciar o tratamento para a finalidade desejada. Isso permite avaliar probabilidade, impacto e salvaguardas antes de expor titulares.

Se não for possível preparar o documento antes, a orientação é elaborá-lo assim que o controlador identificar tratamento capaz de gerar alto risco. O relatório também deverá ser feito quando a ANPD o solicitar. Portanto, “antes do lançamento” é a sequência recomendada para uma operação identificada como potencialmente arriscada, não uma data legal automática para toda agenda.

O RIPD deve acompanhar mudanças relevantes. Novo campo clínico, integração, finalidade, decisão automatizada, grupo vulnerável, região, suboperador ou incidente pode alterar o risco. A ANPD recomenda revisão contínua quando fatos novos mudarem os fatores avaliados.

Como funciona o parâmetro de alto risco?

Enquanto não houver regulamento específico sobre RIPD, a ANPD diz que controladores podem usar, no que couber, o conceito do artigo 4º da Resolução nº 2. Esse conceito exige cumulativamente ao menos um critério geral e um critério específico.

Os critérios gerais são tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais. Os específicos incluem tecnologias emergentes ou inovadoras, vigilância de zonas públicas, decisões tomadas unicamente por tratamento automatizado e uso de dados sensíveis ou de crianças, adolescentes e idosos.

Uma agenda que trata dado de saúde pode preencher o critério específico de dado sensível. Ainda é preciso avaliar um critério geral no caso concreto. A própria ANPD diz que os critérios não são exaustivos para RIPD. Use-os como parâmetro documentado, não como calculadora que gera uma resposta universal.

Como avaliar uma agenda online no caso concreto?

Comece pelo fluxo, não pelo nome do produto. Uma agenda pode recolher somente contato e horário ou também motivo da consulta, especialidade, procedimento, documentos, respostas de triagem e dados de representante. Volume, frequência, duração, alcance geográfico e grupos vulneráveis mudam o risco.

Avalie efeitos possíveis sobre o titular: exposição de condição, discriminação, impedimento de serviço, fraude, perda de confidencialidade, indisponibilidade, alteração indevida ou uso incompatível. Um agendamento pediátrico merece análise própria; o conteúdo sobre LGPD, ECA Digital e melhor interesse ajuda a separar criança, responsável e finalidade.

Descreva também automações. Ordenar horários não é necessariamente uma decisão que afeta interesses, mas recusar, desviar ou atrasar acesso com base exclusivamente automatizada pode mudar a análise. Registre o que o sistema faz, os dados usados, as alternativas e a intervenção disponível.

O que deve entrar no documento?

A página da ANPD recomenda identificar agentes e encarregado, projeto, sistemas, categorias de titulares, dados pessoais e sensíveis, fontes, finalidades, compartilhamentos, transferências internacionais, retenção, descarte, hipóteses legais, riscos e medidas de mitigação. O nível de detalhe deve permitir compreender o tratamento e os riscos sem reproduzir dados reais de pacientes.

Use diagramas e exemplos sintéticos. Inclua interfaces, API, banco, filas, logs, backups, suporte e fornecedores. Registre quais campos chegam a cada destino e quem pode acessá-los. Uma lista genérica de serviços não mostra se texto clínico entra em analytics ou se uma equipe de marketing recebe o objeto inteiro.

O documento também precisa registrar decisões. Se uma área discordar do risco ou da salvaguarda, a ANPD considera boa prática manter a opinião e a justificativa da escolha. Ao final, o controlador avalia se prossegue, modifica ou interrompe o processo e acompanha a implementação das medidas.

O RIPD precisa ser enviado ou publicado?

Como regra geral, a LGPD não manda enviar automaticamente o RIPD à ANPD. A Autoridade pode requerer o documento e informações adicionais no exercício de suas atribuições. Mantenha uma versão controlada e pronta para revisão, sem tratar ausência de envio como dispensa de elaboração quando o risco justificar o relatório.

A publicação também não é obrigatória em regra para entidades privadas. A ANPD apresenta a divulgação como possível medida de transparência e admite uma versão pública diferente da interna para proteger segredos e outras informações resguardadas. Entidades públicas têm regras próprias.

Não publique arquitetura defensiva, credenciais, caminhos de ataque ou dados pessoais para demonstrar transparência. Uma versão pública pode resumir finalidades, categorias, riscos e salvaguardas sem expor controles sensíveis.

O que o RIPD não substitui?

O relatório não escolhe sozinho a hipótese legal, não corrige coleta excessiva e não transforma uma configuração insegura em aceitável. Base legal, finalidade, necessidade, transparência, direitos, segurança, contratos e resposta a incidentes continuam sendo decisões e controles próprios.

Também não substitui encarregado ou canal quando estes forem exigidos. A análise sobre encarregado em clínica pequena usa o mesmo teste de alto risco para uma finalidade regulatória diferente. Não copie a conclusão de uma obrigação para outra sem verificar o texto aplicável.

Se o relatório identificar risco de incidente, transforme a salvaguarda em procedimento testável. O guia sobre incidente com dados de saúde separa comunicação, papéis, prazo e registro. Citar esse fluxo no RIPD sem testá-lo não prova capacidade de resposta.

Um fluxo de decisão antes do lançamento

  1. Defina controlador, operadores, encarregado e aprovadores.
  2. Mapeie finalidades, campos, titulares, sistemas, destinos e retenção.
  3. Identifique dados sensíveis, vulneráveis, escala e possíveis efeitos.
  4. Aplique a combinação de um critério geral com um critério específico e registre outras condições de risco.
  5. Decida, com revisão qualificada, se o RIPD é recomendado ou exigido.
  6. Descreva metodologia, riscos, controles, lacunas e responsáveis.
  7. Teste salvaguardas com dados sintéticos antes de liberar o fluxo.
  8. Registre a decisão de lançar, limitar, redesenhar ou interromper.
  9. Defina gatilhos de revisão para mudanças e incidentes.

O resultado responsável é limitado: o controlador avaliou uma operação definida, numa versão e data específicas, e implementou as medidas registradas. Não converta isso em declaração permanente de que o produto ou a clínica está em conformidade com toda a LGPD.

Perguntas frequentes

Todo formulário que coleta dado de saúde exige RIPD?

Não automaticamente. Dado sensível é um fator importante, mas a ANPD recomenda avaliar o alto risco no caso concreto e pode exigir o relatório nas hipóteses legais.

O dado de saúde sozinho cumpre o teste da Resolução nº 2?

Ele cumpre um critério específico. O artigo 4º exige também ao menos um critério geral para o conceito de alto risco daquele regulamento. Para RIPD, a ANPD usa esse modelo como parâmetro não exaustivo.

O SaaS operador pode assinar o RIPD pela clínica?

Não deve presumir essa transferência. A ANPD atribui a responsabilidade ao controlador. O operador pode fornecer evidências e participar da análise conforme contrato e instruções.

O RIPD deve ser enviado à ANPD antes do lançamento?

Não como regra geral. A ANPD pode solicitar o documento. A recomendação é elaborá-lo antes do tratamento de alto risco para que controles e decisão sejam avaliados a tempo.

Referências

Leia também

Agenda online com dados de saúde exige RIPD antes do lançamento? | Apointoo