LGPD em planos de saúde: dados de beneficiários sob controle

Um pedido de exame chega à operadora, passa pela autorização e gera uma cobrança no plano coletivo da empresa. A LGPD em planos de saúde exige que cada participante receba apenas os dados necessários para sua tarefa, com uma justificativa prevista na lei. O diagnóstico usado para avaliar o atendimento não deve circular automaticamente junto da fatura. Entender essa separação ajuda a proteger o beneficiário e organizar o trabalho de quem administra o plano.

Neste artigo, você verá como revisar cadastro, autorizações, auditorias e relatórios enviados ao empregador. O ponto de partida é acompanhar o caminho da informação, da entrada até o descarte. Com esse mapa, fica mais fácil decidir quem precisa de acesso e quais compartilhamentos precisam mudar.

LGPD em planos de saúde: o que muda na rotina

Dados sobre saúde recebem proteção especial na LGPD: são dados pessoais sensíveis. Isso inclui informações que revelem o estado de saúde, mesmo quando aparecem em pedidos, cobranças ou registros administrativos. A definição está no artigo 5º, e as condições para usar esses dados estão no artigo 11 da LGPD. Por isso, olhar apenas o nome da planilha pode esconder o conteúdo que ela revela.

O primeiro cuidado é separar os objetivos de cada atividade. Confirmar que alguém está vinculado ao plano exige informações diferentes de avaliar um procedimento ou conferir seu pagamento. A LGPD em planos de saúde pede essa análise por finalidade, isto é, pelo motivo concreto do uso. A mesma informação não ganha autorização para qualquer destino porque já está no sistema.

O consentimento é uma autorização da pessoa ou de seu responsável legal para usar os dados. Para dados de saúde, essa autorização deve aparecer em destaque e indicar o uso específico. O artigo 11 também permite usar esses dados sem consentimento quando forem indispensáveis para cumprir exigências da lei ou das regras do setor. Outra possibilidade é o uso indispensável para exercer direitos, inclusive os previstos em contrato.

A lei também permite o uso indispensável de dados para cuidar da saúde, exclusivamente em procedimentos realizados por profissionais ou serviços de saúde. Essa permissão também alcança procedimentos realizados pela autoridade sanitária, o órgão público responsável pela fiscalização e proteção da saúde. É preciso examinar cada atividade e registrar qual permissão da lei se aplica. O interesse comercial da operadora, sozinho, não autoriza o uso de dados sensíveis.

Comece pelo caminho do cadastro e da inclusão

Depois de distinguir as finalidades, acompanhe como o cadastro chega à operadora. No plano coletivo empresarial, o empregador pode atuar como estipulante, a empresa que contrata o plano para o grupo. Uma administradora de benefícios também pode participar do fluxo. Identifique a tarefa de cada organização antes de definir o que ela recebe.

A TOGETHER começa a adequação pelo data mapping, o mapeamento de dados. Nessa etapa, levanta quais informações entram, onde ficam, quem consulta e para quem são enviadas. Para aplicar a LGPD em planos de saúde, esse levantamento deve alcançar os arquivos de inclusão, alterações cadastrais, dependentes e exclusões. Ele também precisa encontrar cópias mantidas em e-mails e pastas das equipes.

Recomenda-se revisar cada campo do formulário com quem faz a inclusão. Se um documento contém informações além das necessárias, avalie outra forma de comprovação ou limite o conteúdo recebido. Defina quem corrige cadastros e como a alteração chega aos sistemas envolvidos. Um erro de vínculo não deve obrigar o beneficiário a reenviar documentos para várias pessoas sem necessidade.

Há uma diferença de vocabulário que merece atenção: operadora de plano não é automaticamente “operadora de dados” na LGPD. Na lei, controlador é quem decide como os dados serão usados; operador usa os dados em nome dele. Uma empresa pode assumir papéis diferentes conforme a atividade. Essa distinção orienta contratos e responsabilidades antes de avançar para as informações sobre os atendimentos.

Autorizações e auditorias precisam de acesso delimitado

Com o cadastro organizado, o próximo passo é limitar o acesso às informações necessárias para autorizar e conferir o atendimento. A auditoria assistencial verifica aspectos do atendimento e de sua cobrança. Isso pode exigir dados clínicos, mas não justifica abrir o histórico inteiro para qualquer pessoa do setor. Cada consulta deve ter relação com a tarefa realizada.

No pedido de exame do início do artigo, a equipe que avalia a autorização pode precisar de informações diferentes das usadas pelo financeiro. A recomendação é definir o que cada função pode consultar e registrar os acessos e as cópias de dados baixadas do sistema. Também convém revisar contas de quem mudou de equipe ou saiu da organização. Assim, a LGPD em planos de saúde aparece nas permissões reais do sistema.

A ANS mantém o Padrão TISS, que padroniza trocas eletrônicas de informações de saúde entre os participantes do setor. Seu componente de segurança e privacidade estabelece requisitos de proteção dessas informações. A página da versão setembro de 2026 identifica os componentes vigentes. A equipe responsável deve conferir essa referência ao revisar os sistemas e as conexões que trocam dados entre eles.

Para testar o processo, acompanhe uma solicitação e verifique quais pessoas conseguem abrir os anexos. Confira também o que aparece em telas de atendimento e nos arquivos baixados. Se o sistema estiver limitado, mas uma pasta compartilhada guardar todos os laudos, a exposição continua. Esse teste prepara a revisão da informação enviada para fora da operadora.

O que o empregador pode receber sobre o beneficiário?

Na saída dos dados, o empregador deve receber informações necessárias à administração do contrato e às cobranças, com justificativa legal e acesso limitado. Pagar o plano não dá acesso irrestrito ao histórico de saúde dos empregados. A análise deve separar cadastro, valores e informações clínicas. Essa é uma decisão central para cumprir a LGPD em planos de saúde nos contratos coletivos.

A coparticipação, valor que o beneficiário paga por determinados atendimentos, exige atenção. Uma nota técnica da ANS reúne análises sobre a necessidade de conferir cobranças sem expor dados além do necessário. O documento discute o problema; não é uma autorização geral para entregar diagnósticos ao RH. A decisão sobre cada relatório deve considerar sua finalidade e o detalhe realmente indispensável.

Como orientação prática, a TOGETHER recomenda separar os relatórios por destinatário. Para descontos, avalie quais identificadores e valores bastam para a tarefa. Se houver contestação, defina um canal restrito para esclarecimento, evitando encaminhar toda a documentação clínica por e-mail. Relatórios gerenciais devem preferir informações agrupadas quando o objetivo não exige identificar pessoas.

Mesmo um relatório sem nomes pode revelar alguém em uma equipe pequena. Cruzar setor, afastamento e procedimento pode permitir a identificação. Antes de enviar, avalie se o destinatário consegue reconhecer o beneficiário com outras informações disponíveis. Essa avaliação ajuda a reduzir o risco de identificação ao orientar ajustes no relatório. Também é preciso limitar quem o acessa e para quais decisões ele pode ser usado.

Dados de saúde não podem selecionar quem entra ou sai

Além de controlar destinatários, é preciso controlar o uso posterior dos dados. O artigo 11, parágrafo 5º, proíbe operadoras de usar dados de saúde para selecionar riscos na contratação de qualquer modalidade e na contratação ou exclusão de beneficiários. Em termos práticos, a condição de saúde não pode servir a essa seleção. A proibição é expressa na LGPD em planos de saúde.

Por isso, revise relatórios e ferramentas que apontem pessoas pelo custo esperado de seus tratamentos. Pergunte quem recebe o resultado e qual decisão toma com ele. Um dado coletado para autorizar assistência não pode ser reaproveitado para a seleção proibida. A assinatura de um consentimento não afasta essa proibição legal.

O controle deve alcançar fornecedores que elaboram análises para a operadora. Documente o objetivo do serviço, os dados utilizados e os usos proibidos. Verifique se as entregas respeitam esses limites, inclusive quando o fornecedor usa decisões tomadas automaticamente por sistemas. A revisão precisa olhar o resultado utilizado pela gestão, além das cláusulas do contrato.

Transforme os limites em responsabilidades verificáveis

Depois de revisar os usos, distribua as correções entre as equipes que conseguem executá-las. Para organizar a LGPD em planos de saúde, a TOGETHER recomenda um registro simples por fluxo. Ele deve indicar o problema encontrado, o responsável e a evidência da correção. A tabela traz exemplos de verificações práticas.

Fluxo	Responsável a envolver	O que conferir
Inclusão e alteração	Cadastro e administradora	Campos necessários e atualização dos sistemas
Autorização e auditoria	Equipe de atendimento à saúde e tecnologia	Permissões por função e consultas registradas
Coparticipação	Financeiro e privacidade	Conteúdo enviado ao empregador
Análises de utilização	Gestão e fornecedores	Objetivos das análises e controles contra a seleção proibida

O plano de ação também deve definir por quanto tempo cada registro fica guardado e qual obrigação justifica sua conservação. Os artigos 15 e 16 da LGPD tratam do fim do uso e das situações em que os dados podem continuar guardados. Evite tanto guardar tudo indefinidamente quanto apagar documentos ainda necessários. Inclua as cópias dos fornecedores nessa revisão e registre como o descarte será confirmado.

Como a TOGETHER ajuda a organizar esses fluxos

O mapa permite direcionar tempo e recursos para os pontos que mais precisam de correção. A consultoria em LGPD da TOGETHER pode apoiar a revisão de compartilhamentos, contratos e rotinas de acesso. O serviço de DPO as a Service oferece apoio contínuo à função de responsável pela proteção de dados. Isso ajuda as equipes a avaliar novos relatórios e responder às solicitações dos beneficiários.

Na aplicação da LGPD em planos de saúde, o trabalho deve partir dos processos existentes. Uma exposição conhecida precisa ser corrigida enquanto o restante do levantamento avança. O objetivo é dar às equipes critérios utilizáveis na próxima autorização, cobrança ou troca de dados com o sistema de um fornecedor.

Conclusão

Proteger os dados dos beneficiários exige acompanhar o caminho entre cadastro, assistência e cobrança. Cada destinatário precisa receber o necessário para sua tarefa, e os dados de saúde não podem alimentar a seleção de riscos proibida pela lei. Comece revisando um fluxo completo, como o pedido de exame que termina em coparticipação. Converse com a TOGETHER para transformar esse levantamento em prioridades, responsáveis e mudanças verificáveis.

Perguntas frequentes

A LGPD em planos de saúde exige consentimento para tudo?

Não. O artigo 11 prevê outras situações em que o uso é permitido, como quando os dados são indispensáveis para cumprir a lei ou as regras do setor. A organização deve identificar qual permissão da lei se aplica a cada atividade e respeitar seus limites. Quando usar o consentimento, a autorização deve aparecer em destaque e indicar o uso específico dos dados.

O RH pode receber diagnósticos porque a empresa paga o plano?

O pagamento não dá acesso irrestrito a diagnósticos. Cada compartilhamento precisa de finalidade, justificativa legal e avaliação do mínimo necessário, inclusive na cobrança de coparticipação.

Retirar os nomes torna um relatório anônimo?

Não necessariamente. Se outras informações permitirem reconhecer a pessoa com esforços razoáveis, os dados continuam protegidos pela LGPD. Grupos pequenos exigem especial atenção.