apointoo.
Solicitar acesso
Privacidade e Compliance

SaaS de agenda médica precisa guardar registros de acesso por seis meses pelo Marco Civil?

cmsapointoo··9 min de leitura

Um SaaS de agenda médica pode estar sujeito à guarda de registros de acesso a aplicações por seis meses, mas essa regra não manda conservar por seis meses todo o conteúdo da agenda. O Marco Civil da Internet define esse registro de forma estreita: data e hora de uso da aplicação a partir de determinado endereço IP.

O artigo 15 aplica o prazo a provedores de aplicações constituídos como pessoa jurídica e que exerçam a atividade de forma organizada, profissional e com fins econômicos. A análise ainda precisa considerar o papel real da empresa, a operação no Brasil e eventual ordem para preservação por prazo superior. Depois vem outra pergunta: quais outros dados podem ou devem ser guardados sob a LGPD?

Qual registro o Marco Civil manda guardar?

O artigo 5º, inciso VIII, chama de registro de acesso a aplicações o conjunto de informações sobre data e hora de uso de uma aplicação a partir de determinado endereço IP. Essa definição importa porque limita o objeto da regra. Ela não inclui automaticamente o conteúdo digitado, o motivo do contato, as mensagens, o histórico clínico ou todo evento técnico emitido pelo sistema.

Em uma agenda, o time pode produzir vários registros com nomes parecidos. O servidor web registra requisições. A camada de segurança registra tentativas de autenticação. O produto registra criação, alteração ou cancelamento de horários. A integração registra entregas e falhas. Só chamar tudo de “log” não torna os conjuntos equivalentes ao registro definido no artigo 5º.

A equipe deve manter um dicionário simples. Para cada conjunto, registre campos, origem, finalidade, prazo, leitores e destino final. Esse mapa também ajuda a responder um pedido LGPD de acesso à agenda sem entregar registros de segurança que não pertençam ao escopo aprovado.

Quem entra na regra de seis meses?

O artigo 15 dirige a obrigação ao provedor de aplicações de internet constituído como pessoa jurídica e que exerça essa atividade de forma organizada, profissional e com fins econômicos. Para quem se enquadra, os registros de acesso devem ser mantidos por seis meses, sob sigilo, em ambiente controlado e seguro.

Esse texto exige uma análise do serviço e da entidade, não apenas do setor do cliente. Uma empresa não escapa da pergunta porque se apresenta como ferramenta administrativa. Também não se enquadra apenas porque atende uma clínica. O jurídico deve relacionar a definição legal ao fluxo efetivamente oferecido e documentar a conclusão.

O prazo ordinário também não elimina ordens específicas de preservação. O Marco Civil permite que autoridade policial, administrativa ou Ministério Público requeira cautelarmente a manutenção de registros por prazo superior, dentro do procedimento legal. Por isso, uma rotina automática precisa aceitar bloqueio jurídico para registros identificados, sem congelar indiscriminadamente todo o banco.

Seis meses começam quando e terminam como?

A definição legal vincula o registro ao momento de uso da aplicação. Na prática, uma política deve explicar como o sistema calcula o vencimento a partir do evento registrado, qual fuso foi adotado e como trata relógios inconsistentes. O texto da lei não fornece uma arquitetura, um formato de timestamp ou um produto de nuvem. Essas decisões pertencem ao controle técnico.

O vencimento do prazo não deve ser confundido com exclusão imediata de todo dado relacionado à conta. Primeiro, identifique qual registro completou seis meses. Depois, verifique se há preservação válida, outra obrigação ou disputa que alcance aquele conjunto. Por fim, execute a regra de destino e confirme as cópias abrangidas.

Uma fila de expiração pode falhar em silêncio. Por isso, acompanhe eventos elegíveis, eventos processados, exceções autorizadas e erros. A prova adequada não é uma planilha com linhas pessoais. Use contagens, identificadores de execução, configurações aprovadas e amostras sintéticas. O artigo sobre eliminação de prontuário e dados de marketing mostra por que cada conjunto precisa de prazo próprio.

Guardar o registro autoriza usar os dados para outra finalidade?

Não. Dever de guarda e liberdade de uso são questões diferentes. O artigo 16 do Marco Civil veda a guarda de dados pessoais excessivos em relação à finalidade para a qual o titular consentiu seu tratamento. Também restringe a guarda de registros de acesso a outras aplicações sem consentimento prévio, respeitadas as condições legais.

A LGPD reforça a separação. O princípio da necessidade limita o tratamento ao mínimo pertinente, proporcional e não excessivo. Finalidade e adequação exigem compatibilidade entre o que foi informado e o uso real. Segurança e prevenção exigem medidas contra acesso, perda, alteração ou tratamento inadequado.

Logo, a retenção do registro legal não autoriza enriquecer perfil comercial, reconstruir comportamento ou manter campos extras “para o caso de precisar”. Se uma equipe pretende usar outro conjunto para suporte, fraude, faturamento ou segurança, ela deve definir finalidade, fundamento e prazo próprios. A análise sobre legítimo interesse em formulários de agendamento explica por que dados sensíveis não cabem numa justificativa genérica.

Como separar registro de acesso, auditoria e dados da agenda?

Comece por três caixas, mesmo que a infraestrutura guarde tudo no mesmo serviço. A primeira contém somente o registro de acesso definido no Marco Civil. A segunda contém eventos internos de auditoria e segurança, como alteração de permissão ou mudança de configuração. A terceira contém dados funcionais da agenda. Misturar armazenamento físico não elimina essa separação lógica.

Cada caixa precisa de uma política. O registro legal recebe o prazo e as salvaguardas aplicáveis. O log de auditoria recebe prazo baseado em risco, obrigações, contratos e necessidade operacional. A agenda segue sua finalidade e as normas relevantes. Campos compartilhados devem manter controles coerentes, mas não herdam automaticamente o maior prazo encontrado.

Considere uma alteração de disponibilidade feita por um administrador. O registro de acesso pode documentar data, hora e IP de uso. O log de auditoria pode registrar que uma configuração mudou. A agenda passa a mostrar outro horário. São três fatos ligados, porém com finalidades diferentes. O sistema deve conseguir expirar um sem quebrar a integridade dos outros.

Que controles tornam a guarda defensável?

O artigo 15 não pede apenas retenção. Ele exige sigilo e ambiente controlado e seguro. Uma implementação defensável restringe leitura, registra ações administrativas, protege chaves e credenciais, monitora exportações e testa a expiração. O desenho deve reduzir cópias informais, pois uma exportação manual pode sobreviver ao ciclo do sistema principal.

  1. Documente o enquadramento do provedor e a versão da análise jurídica.
  2. Defina o esquema mínimo do registro de acesso e rejeite campos extras.
  3. Separe permissões de leitura, operação e alteração de retenção.
  4. Registre mudanças de configuração sem copiar o conteúdo protegido.
  5. Implemente expiração por evento e bloqueio para preservação autorizada.
  6. Teste a busca, a restrição de acesso e o vencimento com dados sintéticos.
  7. Revise réplicas, exportações e cópias sob responsabilidade de operadores.
  8. Guarde evidência proporcional da execução e das exceções.

Responsabilidades contratuais também precisam acompanhar o fluxo. O conteúdo sobre BAA, DPA e contrato de operador ajuda a distinguir instrução do controlador, dever do operador, subcontratação e retorno ou eliminação no encerramento. Contrato não corrige retenção mal configurada, mas reduz zonas sem dono.

Como responder a um pedido de eliminação?

Um pedido de titular não deve acionar uma exclusão cega nem uma recusa automática de seis meses. Localize os conjuntos abrangidos, separe o registro legal dos demais dados e examine o estágio do prazo. A resposta deve explicar de forma clara o que foi eliminado, bloqueado, conservado ou encaminhado a outro agente, conforme o caso.

A LGPD prevê hipóteses de conservação após o término do tratamento no artigo 16. Elas são específicas e não criam permissão geral para manter todo o perfil. Se a organização conservar determinado registro, restrinja os usos à finalidade aprovada e impeça que o item volte a alimentar rotinas incompatíveis.

Um pedido pode também revelar acesso indevido, cópia desconhecida ou falha de expiração. Nesse caso, o atendimento ao titular e o processo de incidente seguem trilhas coordenadas, mas distintas. O guia sobre comunicação de incidente à ANPD aborda avaliação de risco, agentes envolvidos e registro da decisão.

Perguntas frequentes

Todo log de uma agenda médica deve ficar seis meses?

Não. O Marco Civil define um registro específico composto por data, hora e endereço IP de acesso à aplicação. Logs de auditoria, integrações e dados funcionais exigem análise própria de finalidade, fundamento, risco e prazo.

O SaaS pode apagar o registro antes de seis meses se o usuário pedir?

Não deve decidir isso por um comando genérico. Se o provedor estiver sujeito ao artigo 15, a obrigação de guarda precisa entrar na análise. Outros dados do pedido podem receber eliminação, bloqueio ou conservação distinta.

Uma ordem pode estender o prazo?

Sim. O Marco Civil prevê procedimento para preservação cautelar de registros por prazo superior. A organização deve validar a ordem e restringir o bloqueio aos registros alcançados, com acesso controlado e evidência da decisão.

Se o banco usa criptografia, a obrigação está cumprida?

Não. Criptografia pode apoiar segurança, mas o artigo 15 também exige sigilo e controle. Escopo mínimo, permissões, monitoramento, expiração, cópias e resposta a incidentes continuam relevantes.

Referências

Leia também

SaaS de agenda médica precisa guardar registros de acesso por seis meses pelo Marco Civil? | Apointoo