Onde ficam os dados do seu prontuário eletrônico? (e o que a LGPD realmente exige)
A LGPD não obriga ninguém a manter dados no Brasil — esse é o mito mais repetido do setor. O que ela exige é outra coisa, e há 8 perguntas que separam um fornecedor sério de uma promessa de marketing.
Resposta direta
A LGPD não exige que os dados do prontuário fiquem em território brasileiro. Esse é provavelmente o mito mais repetido no mercado de software de saúde. O que a lei exige é que a transferência internacional, quando existir, aconteça por um dos mecanismos previstos no Art. 33 — decisão de adequação, cláusulas-padrão contratuais aprovadas pela ANPD, normas corporativas globais, entre outros. O que muda de verdade quando os dados estão no Brasil é latência, previsibilidade jurídica e simplicidade de auditoria — vantagens reais, mas que não devem ser vendidas como "exigência legal".
Quem é responsável pelo quê
Antes de olhar para o servidor, entenda os papéis (Art. 5º, VI e VII da LGPD):
Controlador é você — o médico ou a clínica. É quem decide por que e como os dados são tratados, e é de quem a ANPD e o paciente cobram;
Operador é o software — trata os dados em nome do controlador, seguindo suas instruções;
Suboperadores — os fornecedores do seu fornecedor (nuvem, e-mail transacional, serviços de IA). Eles existem em praticamente todo sistema; o que separa o sério do descuidado é declará-los.
A consequência prática incomoda, mas é importante: contratar um bom fornecedor reduz o risco, não transfere a responsabilidade. Perante o paciente e a ANPD, o controlador continua sendo você.
O que a Resolução ANPD 19/2024 mudou
Publicada em agosto de 2024, a Resolução CD/ANPD nº 19/2024 regulamentou os artigos 33 a 36 da LGPD e aprovou as cláusulas-padrão contratuais que devem ser incorporadas aos contratos que envolvem transferência internacional. Houve um período de adequação de 12 meses, já encerrado. Tradução prática: se o seu sistema processa dados fora do Brasil, essa transferência precisa estar amparada por um mecanismo formal — e você, como controlador, tem o direito de perguntar qual é.
As 8 perguntas para fazer ao fornecedor
Em que país (e região) ficam os servidores de produção? Peça a resposta por escrito, não a captura de tela de uma página de marketing;
Há transferência internacional? Sob qual mecanismo do Art. 33? "Não sei" é resposta reveladora;
Quais são os suboperadores? Nuvem, e-mail, IA, monitoramento — a lista deveria estar pública ou disponível sob pedido;
Onde ficam os backups? Backup em outro país também é transferência internacional;
Os dados são criptografados em trânsito e em repouso?
Como eu exporto tudo se decidir sair? Formato legível, sem depender de boa vontade — é a sua obrigação de guarda por 20 anos que está em jogo;
Existe segregação entre profissionais? Em clínica com mais de um profissional, cada prontuário deve ser acessível a quem tem vínculo assistencial, não a todos;
Qual o canal para atender pedidos de titulares e comunicar incidentes? Você vai precisar dele com prazo curto correndo.
E no CliniqMais?
Nossa infraestrutura de produção roda em servidores no Brasil (região de São Paulo) — migramos para cá em junho de 2026, justamente pelos ganhos de latência e simplicidade jurídica. Sendo transparente sobre o quadro completo: recursos de inteligência artificial podem envolver processamento por fornecedor no exterior, e isso está declarado nas nossas páginas legais — a Resolução CFM 2.454/2026 exige, com razão, que o uso de IA seja informado, e nós preferimos declarar a omitir. Os detalhes técnicos de criptografia, segregação e retenção estão na nossa página sobre LGPD no prontuário de saúde mental.
Perguntas frequentes
Meu sistema fica nos EUA. Estou irregular?
Não necessariamente. A transferência internacional é lícita quando amparada por um mecanismo do Art. 33 — hoje, tipicamente, as cláusulas-padrão da Resolução ANPD 19/2024. O problema não é o país: é a transferência sem mecanismo e sem transparência.
Preciso do consentimento do paciente para usar um sistema em nuvem?
Para o atendimento clínico em si, a base legal típica é a tutela da saúde (Art. 11, II, "f"), não o consentimento. O que o paciente precisa é ser informado — daí a importância de uma política de privacidade honesta e acessível.
Dado anonimizado sai da LGPD?
Dado efetivamente anonimizado, sim (Art. 12) — mas o padrão é exigente: se for possível reverter com esforço razoável, ele continua sendo dado pessoal. Em saúde mental, com bases pequenas e características raras, a reidentificação é mais fácil do que parece. Trate como pessoal, por padrão.
Preciso ter um encarregado (DPO) no meu consultório?
A Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte da indicação obrigatória de encarregado — mas mantém o dever de ter um canal de comunicação com titulares e com a ANPD, além de todas as demais obrigações da lei.
Fontes consultadas
Lei nº 13.709/2018 (LGPD) — Arts. 5º (controlador/operador), 11, 12 e 33 a 36 (transferência internacional).
Resolução CFM nº 2.454/2026 — uso de inteligência artificial na medicina (transparência).
Conteúdo revisado em 23 de agosto de 2026 pelo responsável técnico (psiquiatra, CRM-MG 58241 · RQE 37921). Este texto é informativo e não substitui assessoria jurídica especializada em proteção de dados.