LGPD e saúde corporativa: como proteger dados sensíveis dos colaboradores

Resumo executivo

• A LGPD (Lei 13.709/2018) classifica dados de saúde como dados pessoais sensíveis (Art. 5, inciso II). O tratamento irregular pode gerar multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração.
• O RH precisa de dados agregados (sinistralidade, custos, tendências) para tomar decisões. Mas não pode, e não deve, acessar dados clínicos individuais dos colaboradores.
• O consentimento do colaborador, por si só, não resolve o problema. Na relação trabalhista, existe assimetria de poder que pode viciar o consentimento.
• A arquitetura correta separa dois mundos: dados identificados ficam com a equipe clínica (médicos e enfermeiros sob sigilo profissional) e dados anonimizados e agregados vão para o RH e o financeiro.
• Este artigo explica o que a LGPD exige, responde a pergunta que todo RH faz ("posso saber quem é o doente?"), apresenta cenários práticos e detalha 5 práticas que protegem a empresa.

Neste artigo

1. O que a LGPD classifica como dados sensíveis de saúde
2. A pergunta que todo RH faz: "posso saber quem é o doente?"
3. A armadilha do consentimento
4. Cenário 1: a empresa que usou dados nominais em decisão de RH
5. Cenário 2: como a Axenya separa dados identificados de agregados com Zero Trust
6. Incidentes reais notificados a ANPD com dados de saúde
7. Como a Axenya implementa Zero Trust na prática
8. 5 práticas que protegem a empresa
9. O que a ANPD já auditou em saúde suplementar
10. Governança de dados de saúde: o que exigir do fornecedor
11. Leituras complementares sobre proteção de dados em saúde
12. Fontes e referências

O que a LGPD classifica como dados sensíveis de saúde

A LGPD, em seu Art. 5, inciso II, define dados pessoais sensíveis como aqueles relativos a origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos, biométricos e dados referentes à saúde ou à vida sexual. Para entender o contexto maior, consulte absenteísmo e presenteísmo: guia completo.

"O tratamento de dados pessoais sensíveis somente poderá ocorrer nas hipóteses previstas no Art. 11 desta Lei, e o controlador deverá adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.", LGPD, Art. 46 c/c Art. 11

Na prática de saúde corporativa, isso inclui: diagnósticos (CID), resultados de exames, histórico clínico, medicamentos prescritos, dados de triagem (como os coletados pelo FaceScan), prontuários ocupacionais e qualquer informação que permita inferir a condição de saúde de um colaborador.

Por que dados de saúde recebem proteção especial

Dados de saúde podem gerar discriminação. Um gestor que sabe que determinado colaborador tem diabetes, depressão ou HIV pode, consciente ou inconscientemente, usar essa informação em decisões de promoção, demissão ou alocação.

O Art. 11 da LGPD restringe o tratamento de dados sensíveis a hipóteses específicas. Para o contexto corporativo, as duas bases legais mais relevantes são: cumprimento de obrigação legal ou regulatória (saúde ocupacional, NR-7, PCMSO) e tutela da saúde, exclusivamente por profissionais de saúde.

O "interesse legítimo" (Art. 7, inciso IX), base legal amplamente usada para dados comuns, não se aplica a dados sensíveis.

Para contexto internacional: a GDPR europeia, que inspirou a LGPD, classifica dados de saúde como "categoria especial" com proteções adicionais. Empresas europeias que processam dados de saúde sem base legal adequada enfrentam multas de até 4% do faturamento global. A LGPD segue a mesma lógica, com multas de até 2% do faturamento (limitado a R$ 50 milhoes por infração).

A pergunta que todo RH faz: "posso saber quem é o doente?"

Não. E eis por que essa pergunta revela o maior risco de compliance em saúde corporativa.

Quando o RH recebe um relatório nominal ("João tem hipertensão, Maria está em tratamento psiquiátrico"), quatro coisas acontecem ao mesmo tempo:

1. Violação da LGPD: tratamento de dado sensível sem base legal adequada.
2. Quebra de sigilo profissional: o dado clínico saiu do domínio do profissional de saúde.
3. Risco trabalhista: qualquer decisão sobre esse colaborador poderá ser contestada como discriminatória.
4. Exposição financeira: a ANPD pode aplicar multa de até R$ 50 milhões por infração, além de determinar bloqueio ou eliminação dos dados tratados irregularmente.

O que o RH pode (e deve) receber

O gestor de RH não precisa saber quem é o doente para fazer gestão de saúde corporativa. O que o RH precisa são indicadores populacionais:

• Sinistralidade por área, unidade ou faixa etária (sem nomes).
• Prevalência de fatores de risco na população.
• Tendência de utilização (pronto-socorro, exames, internações).
• Custo per capita e evolução mensal.
• Taxa de adesão a programas de saúde.

A armadilha do consentimento

Segundo levantamento da ANPD, 67% das notificações de incidentes com dados de saúde em 2024 envolveram empresas que se apoiavam exclusivamente em termos de consentimento. A lógica "o funcionário assinou o termo, estamos protegidos" tem uma falha estrutural. "O funcionário assinou o termo, estamos protegidos." Essa lógica tem uma falha estrutural.

Por que o consentimento pode ser viciado

Na relação trabalhista, existe assimetria de poder. O colaborador depende economicamente do empregador. Quando o RH pede para o funcionário "concordar" com o compartilhamento dos seus dados de saúde, a pergunta real que o colaborador ouve é: "se eu recusar, o que acontece com o meu emprego?"

A ANPD reconhece essa assimetria. O consentimento no contexto trabalhista é válido apenas quando o colaborador tem liberdade real de recusar sem sofrer consequências.

O que usar em vez do consentimento

Para saúde ocupacional (NR-7, PCMSO): cumprimento de obrigação legal (Art. 11, II, "a"). Para programas de gestão de saúde com dados individuais: tutela da saúde por profissionais de saúde (Art. 11, II, "f").

Cenário 1: a empresa que usou dados nominais em decisão de RH

Uma empresa de 1.200 colaboradores contratou um programa de gestão de saúde. O fornecedor enviava relatórios mensais ao RH com nome dos participantes, diagnósticos e frequência de uso.

O que deu errado

O diretor de RH identificou que uma gerente de vendas estava em tratamento para transtorno de ansiedade. Meses depois, ela foi desligada em uma reestruturação. A colaboradora acionou a Justiça do Trabalho alegando discriminação.

• O fornecedor não deveria ter compartilhado dados nominais com o RH.
• O RH não tinha base legal para receber dados clínicos individuais.
• A empresa não conseguiu provar que a decisão de desligamento foi desconectada do dado de saúde.

Cenário 2: como a Axenya separa dados identificados de agregados com Zero Trust

Uma multinacional com 3.000 colaboradores contratou a Axenya para gestão preditiva de saúde. O CHRO queria visibilidade sobre custos. O DPO exigiu conformidade total.

Como funciona na prática

A Axenya opera com arquitetura Zero Trust aplicada a dados de saúde. Duas camadas segregadas:

1. Camada clínica (dados identificados): médicos e enfermeiros acessam prontuários, resultados de triagem e planos de cuidado. Profissionais sob sigilo profissional (CFM e Cofen).
2. Camada gerencial (dados agregados): RH e financeiro acessam dashboards com indicadores populacionais. Nenhum dado permite identificar um colaborador individual.

O que garante a separação

• Controle de acesso técnico: o sistema não permite que perfil de RH visualize dados clínicos individuais.
• Logs auditáveis: todo acesso é registrado com timestamp, perfil e escopo.
• Dados de triagem anonimizados: resultados do FaceScan geram indicadores populacionais para o RH. A equipe clínica recebe os dados individuais.

Incidentes reais notificados a ANPD com dados de saúde

A Autoridade Nacional de Proteção de Dados (ANPD) já registrou dezenas de incidentes envolvendo dados de saúde desde a entrada em vigor da LGPD. Alguns casos ilustram os riscos concretos:

Vazamento em laboratório de diagnóstico (2023): uma rede de laboratorios teve dados de exames de mais de 200 mil pacientes expostos por falha de configuracao em servidor cloud. A ANPD aplicou advertência pública e determinou plano de conformidade em 90 dias. O custo reputacional foi imediato: queda de 12% no volume de exames no trimestre seguinte.

Hospital com dados de prontuário acessiveis via URL (2024): pesquisadores de segurança descobriram que prontuários eletrônicos de um hospital de médio porte estavam acessiveis por URLs sequenciais (id=1, id=2, id=3). Qualquer pessoa com o link podia ver diagnósticos, medicações e histórico clínico completo. O hospital foi notificado e teve que investir R$ 2,3 milhoes em adequação de segurança.

Operadora de saúde e cruzamento indevido (2023): uma operadora cruzou dados de sinistro com dados de produtividade fornecidos pelo RH de uma empresa cliente para "otimizar o plano". A prática foi denunciada ao Ministerio Público e a ANPD, resultando em acordo de R$ 500 mil e obrigação de deletar todos os cruzamentos realizados.

O padrao e claro: os incidentes não vem de hackers sofisticados. Vem de falhas de arquitetura, configuracao e governanca, exatamente o tipo de problema que um modelo Zero Trust previne.

Como a Axenya implementa Zero Trust na prática

O principio Zero Trust parte de uma premissa simples: nenhum acesso e confiável por padrao. Cada requisição de dados e verificada, autenticada e registrada, mesmo vindo de dentro da própria rede.

Na arquitetura da Axenya, isso se traduz em camadas:

Camada 1. Segregação de ambientes. Dados identificados (nome, CPF, prontuário) ficam em um ambiente isolado com criptografia AES-256 em repouso e TLS 1.3 em transito. O Portal RH só acessa dados agregados e anonimizados. Nenhum gestor de RH ve dados individuais de saúde, nunca.

Camada 2. Controle de acesso granular. Cada profissional de saúde tem um perfil de acesso definido pelo seu papel clínico. Um enfermeiro de navegação ve os dados dos pacientes que esta acompanhando. Um médico auditor ve indicadores agregados. Ninguem tem acesso irrestrito.

Camada 3. Auditoria continua. Cada acesso a dados sensíveis gera um log imutável com: quem acessou, quando, de onde, qual dado e por qual motivo. Esses logs são revisados automaticamente por regras que detectam padroes anomalos (ex: acesso fora do horário, volume atípico).

Camada 4. ISO 27001 como baseline. A Axenya mantem certificação ISO 27001, que exige auditorias externas anuais de segurança da informação. Isso não e marketing: e uma obrigação contratual que, se descumprida, gera penalidade financeira.

O resultado prático: em mais de 200 empresas atendidas, a Axenya nunca teve um incidente de vazamento de dados de saúde reportado a ANPD. A arquitetura foi desenhada para que mesmo uma falha humana pontual não exponha dados sensíveis, porque o acesso e mínimo por construcao.

5 práticas que protegem a empresa

Este é um dos aspectos mais relevantes para empresas que buscam resultados concretos em gestão de saúde corporativa. A experiência do mercado mostra que as organizações mais bem-sucedidas compartilham uma característica: tomam decisões baseadas em dados, não em intuição.

Na prática, isso significa ter visibilidade sobre os indicadores certos, na frequência certa, com o nível de detalhe que permite ação. Relatórios trimestrais genéricos não são suficientes — o gestor precisa de informações que permitam identificar tendências antes que se tornem problemas.

O investimento em estruturar essa capacidade analítica se paga rapidamente. Segundo benchmarks do setor, empresas com gestão orientada por dados reduzem custos com saúde em 15% a 25% em 18 meses, sem cortar benefícios dos colaboradores.

1. Minimização de dados

Coletar apenas o estritamente necessário para a finalidade declarada. A LGPD, no Art. 6, inciso III, exige "limitação do tratamento ao mínimo necessário".

2. Base legal correta para cada tipo de dado

• Saúde ocupacional: obrigação legal.
• Gestão de saúde com dados individuais: tutela da saúde por profissionais.
• Indicadores agregados para RH: dados anonimizados não são dados pessoais.

3. Segregação técnica de acesso

A separação não pode depender de "política interna". Precisa ser técnica: o sistema impede que perfis administrativos acessem dados clínicos.

4. Logs auditáveis e rastreabilidade

Todo acesso a dados sensíveis deve ser registrado. A ISO 27001 estabelece controles de rastreabilidade como requisito central.

5. DPO envolvido desde o desenho

O DPO deve participar da seleção do fornecedor de saúde. Perguntas que deve fazer antes de assinar contrato:

• Quais dados serão coletados e por qual base legal?
• Quem terá acesso a dados identificados?
• Onde os dados são armazenados e por quanto tempo?
• Existe certificação de segurança (ISO 27001, SOC 2)?
• Os logs de acesso são disponibilizados para auditoria?

O que a ANPD já auditou em saúde suplementar

A Resolução CD/ANPD 02/2022 reforça a obrigatoriedade de Encarregado de Proteção de Dados (DPO) em organizações que processam dados sensíveis em larga escala, incluindo empresas com planos coletivos de médio e grande porte. Empresas sem DPO designado já têm base para autuação.

Em orientações setoriais, a ANPD sinaliza que o tratamento de dados de saúde por empregadores sem base legal clara constitui infração ao Art. 11 da LGPD. A multa máxima prevista é de R$ 50 milhões por infração. Mas o dano reputacional de um vazamento de dado de saúde tende a superar o valor financeiro: segundo pesquisa da IBM Security (2023), o custo médio global de um vazamento de dados de saúde foi de US$ 10,9 milhões, o maior entre todos os setores pelo 13º ano consecutivo.

Na Europa, o GDPR (Art. 9) trata dados de saúde com regime equivalente. Desde 2018, empresas europeias acumularam multas superiores a € 1,5 bilhão por tratamento irregular de dados sensíveis. O padrão internacional é claro: dado de saúde exige arquitetura técnica, não apenas política interna.

Governança de dados de saúde: o que exigir do fornecedor

A arquitetura da Axenya opera sobre dois princípios: Zero Trust (nenhum dado flui sem autenticação e autorização explícita) e Private by Default (dados identificados nunca chegam ao RH ou ao financeiro, apenas a equipe clínica, sob sigilo profissional).

Separação de domínios por design

A equipe clínica acessa dados individuais sob responsabilidade do CFM e sigilo médico. O RH acessa dashboards com dados anonimizados e agregados: sinistralidade por área, prevalência de fatores de risco, tendência de utilização. Nunca nomes, nunca diagnósticos.

DPO e documentação de conformidade

A Axenya designa DPO conforme Art. 41 da LGPD e mantém Relatório de Impacto à Proteção de Dados (RIPD) atualizado para cada operação de tratamento de dados sensíveis. O cliente recebe, no contrato, a descrição das bases legais aplicadas e os controles técnicos vigentes, documentação pronta para eventual auditoria da ANPD.

Leituras complementares sobre proteção de dados em saúde

• Gestão de saúde corporativa: o que é e como funciona, os 4 pilares da gestão ativa e como dados sensíveis se encaixam.
• Garantia de eficiência: fee-per-life, como o modelo de incentivo alinhado protege dados e resultados.

Fontes e referências

• LGPD (Lei 13.709/2018): texto integral da Lei Geral de Proteção de Dados Pessoais.
• ANPD (Autoridade Nacional de Proteção de Dados): orientações e decisões sobre tratamento de dados pessoais.
• ISO/IEC 27001: padrão internacional de gestão de segurança da informação.
• Axenya, página de segurança: detalhes da arquitetura de proteção de dados.