apointoo.
Solicitar acesso
Privacidade e Compliance

Criptografar dados de uma agenda médica transforma dados pessoais em dados anonimizados pela LGPD?

cmsapointoo··8 min de leitura

Não. Criptografar dados de uma agenda médica não os transforma automaticamente em dados anonimizados pela LGPD. Se a clínica, o operador ou outra parte autorizada conserva a chave ou outro meio razoável de recuperar a associação com a pessoa, os dados continuam dentro do regime de proteção de dados pessoais. Quando revelam informação sobre saúde, exigem ainda o cuidado aplicável a dados pessoais sensíveis.

A criptografia é uma proteção técnica importante, mas responde a uma pergunta diferente. Ela reduz a leitura não autorizada durante armazenamento ou transmissão. A anonimização do artigo 12 exige avaliar se a associação pode ser revertida por meios próprios ou com esforços razoáveis. Essa diferença muda inventário, direitos do titular, resposta a incidentes, retenção e contratos.

O que o artigo 12 exige para considerar um dado anonimizado?

O artigo 12 da LGPD diz que dados anonimizados não são considerados dados pessoais, salvo quando o processo puder ser revertido com meios próprios ou com esforços razoáveis. A análise não termina no nome dado à técnica. Ela depende da possibilidade concreta de voltar a associar o conjunto a uma pessoa.

O § 1º manda considerar fatores objetivos para avaliar o que é razoável, incluindo custo e tempo necessários para reverter o processo conforme as tecnologias disponíveis. Portanto, uma equipe não deve declarar anonimização apenas porque um campo ficou ilegível numa tela ou porque o banco mostra texto cifrado. Deve examinar chaves, tabelas auxiliares, identificadores, contexto e acesso de todos os agentes relevantes.

Essa classificação também não resolve a destinação do registro. O fluxo sobre eliminação de prontuário e dados de marketing mostra que prazo, finalidade e obrigação de guarda variam por conjunto. Criptografar um item não cria uma nova autorização para conservá-lo.

Por que a criptografia costuma ser pseudonimização, não anonimização?

A ANPD distingue anonimização de pseudonimização. No estudo jurídico, a autoridade explica que a pseudonimização mantém possível a identificação mediante informação adicional separada. O artigo 13, § 4º da LGPD usa essa mesma estrutura. O guia de segurança para agentes de pequeno porte cita a criptografia como exemplo de técnica que pode dificultar a identificação do titular.

Uma chave de descriptografia funciona como informação adicional capaz de restaurar o conteúdo. Se o controlador, operador ou serviço contratado consegue usar essa chave no fluxo normal, a associação não desapareceu. O dado pode estar protegido contra leitores não autorizados, mas continua pessoal para quem conserva uma rota razoável de acesso.

Nem toda implementação de criptografia produz exatamente o mesmo desenho de pseudonimização. A chave pode proteger um disco inteiro, um banco, uma coluna ou um campo. O aplicativo pode descriptografar automaticamente para usuários autorizados. A conclusão precisa refletir essa arquitetura real, sem transformar uma orientação técnica da ANPD em rótulo universal.

Quando uma agenda médica contém dados pessoais sensíveis?

Uma agenda contém dados pessoais quando registra pessoa identificada ou identificável. Se o conjunto revela condição, procedimento, especialidade, profissional procurado ou outra informação relativa à saúde, pode envolver dados pessoais sensíveis conforme o artigo 5º da LGPD. Um horário isolado pode não revelar saúde, mas sua associação com paciente, clínica e contexto pode alterar a análise.

Por isso, a classificação deve ser feita por campo e fluxo, não pelo nome comercial do sistema. Nome, telefone, identificador de conta, motivo da consulta, mensagem livre, especialidade, status e histórico de alteração têm riscos diferentes. O artigo sobre legítimo interesse em formulários de agendamento explica por que uma base genérica não deve cobrir silenciosamente dados de saúde.

Minimização continua sendo necessária mesmo com criptografia. A agenda deve coletar somente o que o agendamento realmente exige e evitar detalhes clínicos em campos livres, nomes de recursos, logs e notificações. Menos conteúdo sensível reduz exposição e simplifica acesso, correção, retenção e eliminação.

O que a criptografia protege na prática?

A criptografia pode proteger dados em armazenamento e em trânsito, desde que o sistema use controles adequados e gerencie as chaves com cuidado. Ela dificulta a leitura de discos, arquivos, backups ou mensagens por quem não possui a chave. Também pode reduzir impacto de certos incidentes, mas não impede toda forma de acesso ou uso indevido.

Um usuário autorizado pode ver os dados depois que a aplicação os descriptografa. Um erro de permissão pode expor registros pela interface. Uma exportação pode produzir uma cópia fora do controle original. Logs podem receber campos em texto claro. Backups podem usar outra chave. Nada disso é corrigido apenas pela presença de um ícone de cadeado.

A avaliação de RIPD para agenda online com dados de saúde ajuda a registrar finalidade, necessidade, riscos e medidas. Criptografia pode entrar como uma salvaguarda, mas não substitui a análise de base legal, transparência, direitos, operadores, transferências e retenção.

Como testar se ainda existe uma rota de reidentificação?

Comece com uma pergunta simples: alguém dentro do fluxo aprovado consegue associar o registro a uma pessoa usando uma chave, tabela, token, diretório, conta ou combinação de atributos? Se a resposta for sim, não trate o conjunto como anônimo apenas porque os dados foram cifrados ou separados.

  1. Identifique os campos pessoais e sensíveis presentes na agenda.
  2. Mapeie onde ocorre criptografia e onde ocorre descriptografia.
  3. Liste chaves, cópias, tabelas auxiliares e agentes com acesso.
  4. Teste com dados sintéticos quais papéis recuperam a associação.
  5. Avalie custo, tempo e tecnologia necessários para a reversão.
  6. Registre usos autorizados, retenção, exportações e destino final.
  7. Submeta a classificação de alto risco à revisão jurídica e técnica.

O teste deve observar o conjunto completo, não uma coluna isolada. Remover o nome pode ser insuficiente quando telefone, data, profissional e unidade permitem reconhecer a pessoa. Por outro lado, uma avaliação de anonimização não deve prometer risco zero. O estudo da ANPD trata anonimização como processo contextual baseado em risco de reidentificação.

Quais evidências devem acompanhar a classificação?

Guarde um registro da versão do conjunto, técnicas aplicadas, chaves ou informações adicionais mantidas separadamente, papéis com acesso, teste de reversão, premissas tecnológicas e responsável pela aprovação. A conclusão deve ter data de revisão, porque novos dados, novas combinações e novas técnicas podem mudar o risco.

Evite usar dados reais para demonstrar a proteção. Amostras sintéticas podem validar cifragem, rotação, recuperação e permissões sem criar outra cópia de informações de pacientes. Para evidenciar operação, registre configurações, identificadores de execução, resultados e exceções, sem despejar conteúdo sensível em chamados ou planilhas.

Se a organização mantiver o conjunto como dado pessoal, precisa conservar os controles correspondentes. Isso inclui acesso mínimo, segregação, monitoramento, resposta a incidentes e atendimento a titulares. O guia sobre incidente com dados de saúde no agendamento mostra que avaliação e comunicação dependem do evento e do risco, não apenas da técnica de cifragem.

Não por si só. Criptografia é uma medida de segurança. Ela não cria consentimento, tutela da saúde, obrigação legal ou outra hipótese de tratamento. Também não transforma uma finalidade incompatível em adequada. A organização deve justificar coleta, uso, compartilhamento e conservação separadamente.

Os direitos do titular continuam aplicáveis enquanto o conjunto permanecer pessoal. Uma resposta de acesso pode exigir formato seguro. Uma correção deve alcançar o registro correto. Uma eliminação pode envolver restrição imediata de uso e tratamento posterior de backups conforme política aprovada. O simples fato de um arquivo estar cifrado não encerra o pedido.

Responsabilidades de controlador e operador também permanecem. O contrato deve definir instruções, acesso a chaves, subcontratação, incidentes, devolução, eliminação e evidência. A discussão sobre DPA e contrato de operador LGPD ajuda a separar o papel jurídico do controle técnico. Nenhuma cláusula ou configuração, isoladamente, prova conformidade.

Perguntas frequentes

Criptografar o nome do paciente torna a agenda anônima?

Não automaticamente. Se a aplicação consegue descriptografar o nome ou associar outros campos à pessoa, o conjunto continua pessoal. A avaliação deve considerar toda a rota de reidentificação, não somente a aparência de uma coluna.

Dados criptografados deixam de ser dados pessoais sensíveis?

Não quando continuam associados ou associáveis a uma pessoa e revelam informação de saúde. A criptografia protege o conteúdo, mas não altera sozinha a natureza jurídica dos dados nem elimina os deveres aplicáveis.

Apagar a chave garante anonimização?

Não sem prova adicional. É preciso verificar outras chaves, cópias em texto claro, exportações, backups, tabelas auxiliares e combinações de atributos. A destruição efetiva de uma chave pode apoiar uma conclusão técnica estreita, não uma declaração universal.

Uma agenda criptografada está em conformidade com a LGPD?

Criptografia pode apoiar segurança, mas conformidade também depende de finalidade, necessidade, hipótese de tratamento, transparência, direitos, retenção, contratos e governança. Nenhuma configuração isolada resolve todas essas obrigações.

Referências

Leia também

Criptografar dados de uma agenda médica transforma dados pessoais em dados anonimizados pela LGPD? | Apointoo