LGPD e dados de saúde: quais são os direitos do paciente
Pela LGPD (Lei 13.709/2018), dado referente à saúde é dado pessoal sensível e só pode ser tratado nas hipóteses que a lei lista. Como titular, o paciente pode pedir confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento. O pedido vai primeiro a quem guarda os dados; se não houver resposta, cabe petição à ANPD.
Por que dado de saúde tem proteção reforçada
A LGPD define dado pessoal sensível no art. 5º, inciso II. A lista inclui, entre outros, o dado referente à saúde, o dado genético e o dado biométrico, quando ligados a uma pessoa. Receita, laudo, exame, diagnóstico e histórico de tratamento entram aqui.
O art. 11 diz que dado sensível só pode ser tratado em hipóteses específicas. A primeira é o consentimento do titular, dado de forma específica e destacada, para finalidades específicas. As outras dispensam consentimento, mas só quando o tratamento for indispensável, por exemplo para cumprir obrigação legal ou regulatória, ou para a tutela da saúde em procedimento feito por profissionais de saúde, serviços de saúde ou autoridade sanitária.
Na prática: uma clínica, uma farmácia, uma associação de pacientes ou um aplicativo precisam ter uma dessas bases para guardar e usar seus dados de saúde. E precisam contar a você qual é.
Os direitos do titular, um por um
O art. 18 da LGPD lista o que o titular pode pedir ao controlador (quem decide sobre o tratamento dos dados), a qualquer momento e mediante requisição:
- Confirmação de que existe tratamento dos seus dados.
- Acesso aos dados.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desacordo com a lei.
- Portabilidade dos dados a outro fornecedor, mediante pedido expresso, conforme a regulamentação.
- Eliminação dos dados tratados com base no seu consentimento, salvo as exceções do art. 16.
- Informação sobre com quais entidades públicas e privadas seus dados foram compartilhados.
- Informação sobre a possibilidade de não consentir e sobre as consequências da negativa.
- Revogação do consentimento.
Como exercer esses direitos
O caminho começa em quem guarda os dados. O art. 41 obriga o controlador a indicar um encarregado, cujo nome e contato devem ser divulgados publicamente, de preferência no site. É para esse canal que o pedido vai.
O art. 18, § 5º, diz que o pedido será atendido sem custo para o titular. Quando a providência não puder ser imediata, o controlador deve responder explicando o motivo ou indicando quem é o responsável pelos dados (art. 18, § 4º).
Para o pedido de acesso, o art. 19 prevê duas formas: em formato simplificado, imediatamente, ou por declaração clara e completa, com origem dos dados, critérios e finalidade, em até 15 dias contados do requerimento.
- Encontre o contato do encarregado na política de privacidade do serviço.
- Faça o pedido por escrito e diga qual direito está exercendo.
- Guarde o protocolo, a data e as mensagens trocadas.
- Se não houver resposta ou ela não resolver, leve o caso à ANPD.
Quando o controlador não responde
O art. 18, § 1º, garante ao titular o direito de peticionar contra o controlador perante a autoridade nacional. O § 8º do mesmo artigo diz que esse direito também pode ser exercido nos órgãos de defesa do consumidor.
No portal gov.br, o serviço "Abrir requerimento relacionado à LGPD" recebe a petição de titular. A página do serviço orienta que o direito seja pedido primeiro ao controlador e lista, entre os documentos, a comprovação desse contato prévio. O acesso é feito com a conta gov.br.
A própria página lembra que os direitos não são absolutos. Um pedido de exclusão, por exemplo, pode não ser atendido quando o controlador tem obrigação legal de guardar aqueles dados.
Limites que o paciente deve conhecer
Revogar o consentimento não apaga o que foi feito antes com base nele: o art. 8º, § 5º, ratifica os tratamentos anteriores enquanto não houver pedido de eliminação. E dados usados para cumprir obrigação legal podem continuar guardados, conforme o art. 16.
O art. 21 protege o paciente de retaliação: dados sobre o exercício regular de direitos pelo titular não podem ser usados em prejuízo dele. Em caso de dano concreto, a LGPD prevê reparação (art. 42). Para avaliar o seu caso, procure orientação jurídica.
Na Kolibri
Na Kolibri, o paciente controla no próprio app o que cada associação lê: escolhe item por item (receitas, histórico de fornecimento, dados cadastrais, contato, endereço), ajusta ou revoga quando quiser. Os documentos ficam no cofre, cifrados, cada um com chave própria, e a tela "Quem acessou meu cofre" mostra toda leitura feita por associação ou fundação, inclusive as tentativas barradas. Termos e Política de Privacidade são versionados, com o aceite registrado por versão.
Perguntas frequentes
Dado de saúde é dado sensível na LGPD?
Sim. O art. 5º, inciso II, inclui o dado referente à saúde entre os dados pessoais sensíveis, que têm regras mais rígidas no art. 11.
Posso pedir cópia de todos os meus dados de saúde?
Sim. O acesso é um direito do art. 18. Pelo art. 19, a declaração completa deve ser entregue em até 15 dias do pedido, e pode ser em meio eletrônico ou impresso, à sua escolha.
Pagar para exercer direitos da LGPD é permitido?
Não. O art. 18, § 5º, diz que o requerimento do titular será atendido sem custos.
Onde reclamo se a empresa ignorar meu pedido?
Na ANPD, pelo serviço "Abrir requerimento relacionado à LGPD" no gov.br, anexando a prova do pedido feito antes ao controlador. Órgãos de defesa do consumidor também podem receber a reclamação.
Fontes
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (texto compilado) — Planalto
- Abrir requerimento relacionado à LGPD (ANPD) — ANPD / gov.br
Conteúdo informativo, que não substitui orientação médica ou jurídica. Atualizado em 30/09/2026.