A LGPD não obriga ninguém a manter dados no Brasil — esse é o mito mais repetido do setor. O que ela exige é outra coisa, e há 8 perguntas que separam um fornecedor sério de uma promessa de marketing.
A LGPD não exige que os dados do prontuário fiquem em território brasileiro. Esse é provavelmente o mito mais repetido no mercado de software de saúde. O que a lei exige é que a transferência internacional, quando existir, aconteça por um dos mecanismos previstos no Art. 33 — decisão de adequação, cláusulas-padrão contratuais aprovadas pela ANPD, normas corporativas globais, entre outros. O que muda de verdade quando os dados estão no Brasil é latência, previsibilidade jurídica e simplicidade de auditoria — vantagens reais, mas que não devem ser vendidas como "exigência legal".
Antes de olhar para o servidor, entenda os papéis (Art. 5º, VI e VII da LGPD):
A consequência prática incomoda, mas é importante: contratar um bom fornecedor reduz o risco, não transfere a responsabilidade. Perante o paciente e a ANPD, o controlador continua sendo você.
Publicada em agosto de 2024, a Resolução CD/ANPD nº 19/2024 regulamentou os artigos 33 a 36 da LGPD e aprovou as cláusulas-padrão contratuais que devem ser incorporadas aos contratos que envolvem transferência internacional. Houve um período de adequação de 12 meses, já encerrado. Tradução prática: se o seu sistema processa dados fora do Brasil, essa transferência precisa estar amparada por um mecanismo formal — e você, como controlador, tem o direito de perguntar qual é.
Nossa infraestrutura de produção roda em servidores no Brasil (região de São Paulo) — migramos para cá em junho de 2026, justamente pelos ganhos de latência e simplicidade jurídica. Sendo transparente sobre o quadro completo: recursos de inteligência artificial podem envolver processamento por fornecedor no exterior, e isso está declarado nas nossas páginas legais — a Resolução CFM 2.454/2026 exige, com razão, que o uso de IA seja informado, e nós preferimos declarar a omitir. Os detalhes técnicos de criptografia, segregação e retenção estão na nossa página sobre LGPD no prontuário de saúde mental.
Não necessariamente. A transferência internacional é lícita quando amparada por um mecanismo do Art. 33 — hoje, tipicamente, as cláusulas-padrão da Resolução ANPD 19/2024. O problema não é o país: é a transferência sem mecanismo e sem transparência.
Para o atendimento clínico em si, a base legal típica é a tutela da saúde (Art. 11, II, "f"), não o consentimento. O que o paciente precisa é ser informado — daí a importância de uma política de privacidade honesta e acessível.
Dado efetivamente anonimizado, sim (Art. 12) — mas o padrão é exigente: se for possível reverter com esforço razoável, ele continua sendo dado pessoal. Em saúde mental, com bases pequenas e características raras, a reidentificação é mais fácil do que parece. Trate como pessoal, por padrão.
A Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte da indicação obrigatória de encarregado — mas mantém o dever de ter um canal de comunicação com titulares e com a ANPD, além de todas as demais obrigações da lei.
Conteúdo revisado em 23 de agosto de 2026 pelo responsável técnico (psiquiatra, CRM-MG 58241 · RQE 37921). Este texto é informativo e não substitui assessoria jurídica especializada em proteção de dados.
← Todos os artigos · Conheça os planos do CliniqMais
CliniqMais — prontuário eletrônico para psiquiatria e saúde mental no Brasil