Guia da ANPD: segurança da informação na gestão de saúde
Leitura estimada: 5 min
Para começar
O essencial deste artigo
- Segurança precisa de responsáveis, prática e evidências, além de uma política escrita.
- O guia da ANPD é um ponto de partida; seu escopo não permite presumir o enquadramento de todo serviço de saúde.
O serviço compra um sistema, publica uma política e realiza uma apresentação sobre privacidade. Meses depois, ninguém sabe quem revisa os acessos, onde ficam as cópias exportadas ou como avisar sobre um envio equivocado. O documento existe; a rotina de proteção ainda não foi consolidada.
Segurança da informação precisa entrar na agenda de quem dirige hospitais, coordena atenção domiciliar e acompanha redes prestadoras. A TI executa controles importantes, mas não consegue decidir sozinha por que cada área precisa dos dados e quem deve recebê-los.
O que aproveitar do guia e onde ele termina
O Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, da ANPD, reúne medidas administrativas e técnicas, como política, treinamento, controle de acesso e cuidados com armazenamento e comunicações. O documento de 2021 continua disponibilizado na página oficial, junto de um checklist. A data de atualização da página não deve ser confundida com uma nova edição do guia. Fonte: guia e materiais da ANPD.
Este artigo apresenta uma leitura editorial e um roteiro próprio para discussão. Não reproduz o checklist oficial, não oferece certificação e não determina o enquadramento jurídico de uma organização.
Ser uma empresa pequena não significa receber automaticamente todas as flexibilizações previstas para agentes de pequeno porte. A Resolução CD/ANPD nº 2 contém condições e exclusões. Para caracterizar alto risco, seu art. 4º exige a combinação de pelo menos um critério geral e um específico; o uso de dados sensíveis, isoladamente, não encerra essa análise. Fonte: Resolução nº 2, arts. 3º e 4º.
Escolha uma rotina real para começar
Em vez de pedir uma apresentação genérica sobre segurança, escolha um percurso: entrada de um profissional, envio de documento à operadora, troca de plantão ou atendimento de uma solicitação de suporte. Acompanhe onde a informação nasce, quem a consulta e o que acontece depois.
| Contexto | Pergunta de gestão | Evidência a solicitar |
|---|---|---|
| Hospital | O acesso acompanha a função e a unidade de atuação? | Aprovação do perfil e conferência do acesso efetivo |
| Home care | Como o profissional recebe somente o necessário para sua atividade? | Fluxo definido, canal autorizado e orientação de uso |
| Operadora | O material recebido da rede tem finalidade e destinatário definidos? | Registro do compartilhamento e regra de consulta |
| Secretaria ou OSS | Quem responde quando equipes e contratos mudam? | Responsabilidades e procedimento de transição documentados |
Essas perguntas são um ponto de partida, não uma lista completa de controles. A resposta “o fornecedor cuida disso” é insuficiente quando a decisão depende da própria organização.
Dê um responsável e uma evidência a cada compromisso
Uma política que ninguém lê, um treinamento que ninguém pratica e uma permissão que ninguém revisa deixam compromissos importantes sem execução. A direção precisa acompanhar quem entrega, com que evidência e como corrige o desvio. Segurança também depende do padrão de disciplina que os gestores sustentam no cotidiano.
Uma tarefa descrita como “melhorar a segurança” não informa o que será entregue. Uma tarefa útil identifica o processo, o responsável, o prazo acordado e como a conclusão será demonstrada. Por exemplo: revisar os acessos de uma equipe e registrar as exceções que continuam justificadas.
O gestor precisa cobrar a entrega e remover os obstáculos. Se o time não recebeu treinamento, tempo ou acesso ao procedimento, essas condições precisam ser corrigidas. Se recebeu e ignora repetidamente a rotina, o desvio precisa ser tratado. Uma regra conhecida, necessária e viável não pode virar opcional por conveniência.
A LGPD exige medidas técnicas e administrativas de proteção desde a concepção do serviço até sua execução. A obrigação não se resume à compra de uma ferramenta. Fonte: LGPD, art. 46.
Visão geral
Da orientação à rotina verificável
Escolher
Acompanhar um percurso real da informação.
Atribuir
Definir responsável e entrega verificável.
Praticar
Demonstrar a rotina com a equipe.
Revisar
Conferir evidências e tratar exceções.
Treinamento precisa aparecer na execução
Propomos trocar a pergunta “todos assistiram?” por uma demonstração curta: a pessoa consegue localizar o canal correto, reconhecer uma solicitação inadequada e explicar como comunica um erro? Essa prática ajuda a identificar dúvidas antes que virem improviso.
No exemplo fictício de uma troca de plantão, a pessoa que sai encerra sua sessão e a que entra utiliza a própria identificação. Se o processo força o compartilhamento de credencial para o trabalho continuar, existe uma falha a resolver, não um comportamento a normalizar.
Para detalhar essa passagem, siga para controle de acesso na saúde. Para a formação do time, veja o papel dos usuários de referência.
Como levar o assunto para a reunião de gestão
Use uma pauta curta e verificável: o que foi concluído, que evidência sustenta a conclusão, quais exceções continuam abertas e quem precisa decidir. Uma ocorrência deve ser comunicada pelo canal definido, com fatos conhecidos e preservação das evidências, sem circular dados pessoais desnecessariamente na própria apuração.
Separar pendência, ocorrência e incidente sujeito a comunicação evita conclusões precipitadas. A avaliação de obrigações e prazos de incidente cabe aos responsáveis designados, conforme a regra aplicável; este roteiro não substitui esse procedimento.
Próxima leitura: aprofunde o controle que falta
Comece por um processo e leve suas pendências à próxima reunião. Se a dificuldade está em arquivos espalhados, leia compartilhamento e exportação de dados. Para avaliar um fornecedor, consulte também a página de segurança e privacidade da Salvus e transforme as dúvidas em requisitos verificáveis, sem presumir conformidade apenas pela existência de uma política.