LGPD na saúde: o que a lei exige de um documento do paciente assinado eletronicamente

Para a LGPD na saúde, não existe "assinatura em conformidade com a LGPD" no sentido de um selo. A lei não traz uma lista de ferramentas de assinatura aprovadas nem um certificado que um fornecedor possa comprar. Quem colhe assinaturas de pacientes em tela precisa de um processo que se encaixe no próprio programa de proteção de dados: uma assinatura válida, proteção para o dado de saúde que está no formulário e um contrato com quem o armazena.

O ponto de partida está no art. 5º, II, e no art. 11 da LGPD: dado de saúde é dado pessoal sensível, e o art. 11 só permite tratar dados sensíveis na LGPD em hipóteses fechadas. Duas importam aqui. A do inciso I, quando o titular consente "de forma específica e destacada, para finalidades específicas", e a do inciso II, alínea f, a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Para o atendimento em si, a alínea f costuma sustentar o tratamento; o consentimento do inciso I entra quando o uso vai além do cuidado, como lembretes por e-mail ou o compartilhamento com terceiros. Muita gente não espera isso: a assinatura no formulário de entrada nem sempre é a base legal.

Para que serve, então? Para provar. O art. 8º da LGPD pede que o consentimento seja fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, e ele pode ser revogado a qualquer momento (§ 5º). Mostrar o que foi consentido, e quando, é exatamente o que um termo assinado faz.

A pergunta se divide em duas:

• A assinatura é válida? É direito dos contratos e da prova (MP 2.200-2, Lei 14.063).
• O dado de saúde do formulário está protegido? São a LGPD (arts. 11, 39 e 46), o sigilo profissional e o contrato com o fornecedor.

Um fornecedor ajuda nas duas coisas, mas não tira a responsabilidade de você, e quem promete "assinatura em conformidade com a LGPD" de fábrica vende um rótulo. Se a LGPD alcança os seus formulários depende do seu papel, então comece por aí. Nossa página de assinatura para a área da saúde lista os documentos que as clínicas mais enviam. O equivalente americano se chama HIPAA e aparece mais adiante.

A LGPD alcança qualquer pessoa ou empresa que trate dados pessoais, e os papéis estão no art. 5º. O controlador decide sobre o tratamento: a clínica, o hospital, o laboratório. O operador (art. 5º, VII) trata os dados em nome do controlador, e isso inclui um serviço de assinatura que guarda termos de pacientes assinados.

Diferente do direito americano, nenhum limite deixa alguém fora do art. 11. Uma academia com ficha de saúde, um nutricionista autônomo ou um coach que pede histórico médico tratam dado sensível como um hospital. O poder público também entra: a LGPD tem capítulo próprio para ele, a partir do art. 23. Para os profissionais de saúde, soma-se o dever de sigilo da própria profissão.

Ache a sua linha antes de comparar fornecedores. Ela decide se um contrato com o operador é obrigatório (quase sempre), que norma da saúde se soma e com que rigor você deve avaliar o fornecedor.

Na recepção, uma pilha inteira de papel vira "os formulários". Só uma parte nasce de uma norma que pede assinatura.

O termo de consentimento para o tratamento de dados tem regra própria: o art. 11, I, da LGPD exige consentimento específico e destacado, e o art. 8º aceita o meio escrito ou outro que demonstre a vontade do titular. O consentimento do paciente para um procedimento vem da ética médica: o Código de Ética Médica (art. 22) exige obtê-lo depois de esclarecer o paciente. E os documentos que o próprio profissional emite, como receita de controle especial e atestado, têm regra de assinatura na Lei 14.063. A tabela mostra de onde vem cada assinatura.

A LGPD não descreve um sistema de assinatura. O art. 46 manda os agentes de tratamento adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. Elas valem para o sistema que guarda o dado de saúde, não para a assinatura em si, e um termo assinado faz da sua conta de assinatura um desses sistemas.

A lei diz o que proteger, não qual tecnologia usar. A escolha é sua, e você precisa justificá-la. Se um incidente acontecer, o art. 48 manda comunicar a autoridade nacional e o titular quando houver risco ou dano relevante.

Quão seguro você precisa estar de que o signatário é o paciente

A LGPD não diz. É uma decisão de risco, formulário por formulário. A Lei 14.063 (art. 4º) organiza as assinaturas em três níveis, pela confiança que dão na identidade do signatário: simples, avançada e qualificada. Um link para o e-mail cadastrado serve para dar ciência de um aviso. Um consentimento que libera o prontuário para um advogado ou empregador merece mais: um código enviado por outro canal ou uma checagem de documento. Registre a decisão por escrito.

A trilha de auditoria é prova, não enfeite

Quando o paciente diz que nunca assinou, você apresenta a trilha: quem enviou o termo, quando foi aberto e assinado e se o arquivo mudou depois. O art. 37 da LGPD já exige o registro das operações de tratamento, e a Lei 13.787 (art. 2º) pede integridade, autenticidade e confidencialidade do documento digital. Nosso guia sobre o que a trilha de auditoria de uma assinatura eletrônica registra vai campo a campo. Garanta que você consegue exportá-la: um registro que só se lê dentro do aplicativo do fornecedor se perde junto com o contrato.

Se um serviço de assinatura guarda termos de pacientes assinados, ele é o seu operador (art. 5º, VII, da LGPD): trata dados em seu nome, e o art. 39 manda que o faça segundo as instruções do controlador, que verifica se elas são cumpridas. Vale mesmo que o serviço só guarde os arquivos e nunca os abra. O que conta é que ele trata dado de saúde por sua conta.

A LGPD não traz uma lista fechada de cláusulas, como o direito americano faz para o BAA ou o regulamento europeu para o contrato de tratamento. Ela fixa as consequências: o operador responde solidariamente pelos danos quando descumpre a lei ou as instruções lícitas do controlador (art. 42, § 1º, I), e as sanções chegam a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52, II). O contrato é onde você traduz isso em obrigações práticas. Um contrato de dois parágrafos que não diz nada disso não cumpre o papel. Sem contrato, nenhum termo de paciente on-line.

Na prática, o contrato deve prever que o operador vai:

1. 1.
   Tratar os dados somente conforme as suas instruções por escrito (art. 39).
2. 2.
   Adotar as medidas de segurança do art. 46.
3. 3.
   Manter o sigilo de todas as pessoas que tenham acesso.
4. 4.
   Usar subcontratados só com a sua autorização, repetindo as mesmas obrigações.
5. 5.
   Ajudá-lo a atender os direitos do titular (art. 18).
6. 6.
   Avisá-lo de qualquer incidente de segurança, para que você cumpra o art. 48.
7. 7.
   Devolver ou eliminar os dados ao fim do contrato.

Confira também se o contrato nomeia o plano ou a conta que você de fato usa. Muita assinatura de fornecedor cobre só um tipo de conta.

Esses três aparecem em quase toda lista de fornecedores. Em 14 de outubro de 2026, lemos o que cada um diz no próprio site sobre a lei americana HIPAA e o respectivo contrato com o operador (Business Associate Agreement, BAA). Não é uma declaração sobre a LGPD, mas mostra com que clareza um fornecedor publica as suas condições. Os planos mudam; confira de novo antes de assinar.

• Adobe Acrobat Sign. A central de ajuda diz que você não pode processar informações de saúde protegidas (PHI) pelo Acrobat Sign até o BAA ser concluído, que a aptidão para a HIPAA só existe em assinatura enterprise ou business e que nem toda conta se qualifica.
• Dropbox Sign. A central de ajuda diz que a empresa dá suporte à conformidade com a HIPAA para clientes de um plano anual Standard ou Premium que tenham um BAA assinado e atinjam um valor mínimo de contrato.
• O Trust Center da DocuSign lista a HIPAA entre as normas que a empresa cumpre, ao lado do 21 CFR Part 11 e da Sarbanes-Oxley. Essa página de visão geral não cita plano nem processo de BAA; pergunte ao seu contato da DocuSign quais são as condições do seu plano.

É justo reconhecer: Adobe e Dropbox publicam as condições do BAA, e isso torna a papelada previsível. Nos dois, o BAA fica em planos pagos para empresas; um plano gratuito costuma entregar a assinatura sem o contrato. O equivalente brasileiro do BAA é o contrato com o operador (LGPD, art. 39). Peça por escrito a cada fornecedor.

Se uma assinatura da DocuSign se sustenta num litígio é outra questão, de prova: uma assinatura da DocuSign tem validade jurídica?

A validade é a metade fácil. A MP 2.200-2 (art. 10, § 2º) não impede outro meio de comprovar autoria e integridade, inclusive certificados que não sejam da ICP-Brasil, desde que as partes o admitam. A Lei 14.063 (art. 4º) distingue as assinaturas simples, avançada e qualificada; para documentos de profissionais de saúde aceita a avançada ou a qualificada, e só exige a qualificada em receitas de controle especial e atestados (arts. 13 e 14). Para termos de consentimento e contratos com o operador, enviar documentos para assinatura on-line é rotina nas clínicas. Em Portugal, vale o regulamento eIDAS.

O prontuário tem um relógio longo. A Lei 13.787/2018 (art. 6º) fixa o prazo mínimo de 20 anos a partir do último registro, em papel ou digitalizado, e deixa o regulamento fixar prazos diferentes. Em vez de eliminar, o prontuário pode ser devolvido ao paciente (§ 2º). Os termos assinados e a trilha de auditoria fazem parte do prontuário, então conte com que durem o mesmo tempo. A digitalização precisa assegurar integridade, autenticidade e confidencialidade, com certificado ICP-Brasil ou outro padrão legalmente aceito (art. 2º, § 2º), e a Resolução CFM 1.821/2007 detalha as normas técnicas. Nosso levantamento dos prazos de guarda de documentos nos Estados Unidos serve de comparação para ver como esses relógios se empilham.

A saída é o que mais se esquece. Um bom contrato manda o operador devolver ou eliminar os dados ao fim. Ótimo para a privacidade, incômodo para você: os originais assinados e as trilhas precisam sobreviver à assinatura do serviço. Exporte por calendário, não na última semana de um contrato já cancelado. Uma exportação trimestral custa uma tarde; pular pode custar um mês muito ruim.

Preferimos que você nos escolha conhecendo os limites a descobri-los numa auditoria. Isto é o que a Chaindoc traz para um processo com dados de saúde, mais ou menos na ordem em que um revisor pergunta:

• Certificação. A Chaindoc tem a ISO 27001 para a gestão da segurança da informação e a ISO 9001 para a gestão da qualidade. A auditoria da ISO 27001 é a nossa única auditoria externa.
• Transporte. Documentos e links de assinatura trafegam por TLS.
• Criptografia, sem rodeios. Não há criptografia de ponta a ponta. Nossos servidores leem os arquivos para convertê-los, analisá-los e assiná-los; o que criptografamos são as chaves privadas de assinatura, com AES-256. Se a sua análise de riscos exige armazenamento de conhecimento zero, a Chaindoc não é essa ferramenta.
• Acesso por papel: papéis para cada membro da equipe mantêm as fichas de entrada na recepção e as notas fiscais no financeiro.
• Checagem do signatário. Uma etapa de verificação de identidade opcional para os formulários que precisam dela, nunca uma parte obrigatória da assinatura.
• Ordem de assinatura. Um pedido comum convida todos os signatários ao mesmo tempo; uma ordem fixa vem com as rotas de aprovação do plano Business.
• Na blockchain, e só isto. Ao publicar um documento, a impressão digital daquela versão é registrada numa blockchain. Quando cada signatário conclui, a prova dele é registrada. O arquivo, o conteúdo e a identidade dos signatários ficam fora da cadeia, e a cadeia não guarda quem visualizou um documento.
• ICP-Brasil. A Chaindoc não emite assinatura qualificada ICP-Brasil. Para receitas de controle especial e atestados médicos, use o certificado do próprio profissional.

O que não fazemos é dizer que a Chaindoc está "em conformidade com a LGPD". Nenhuma ferramenta pode estar, e como a lei alcança o seu uso depende do seu papel. Se você é controlador, acerte por escrito conosco o contrato com o operador, a localização dos dados e os subcontratados antes de subir dados de pacientes, como faria com qualquer fornecedor. Um hábito que ajuda em qualquer lugar: nomeie os documentos pelo tipo de formulário, não pelo paciente.

A LGPD vale no Brasil. Fora dele, as regras mudam de nome, mas perseguem o mesmo objetivo, e como o eIDAS e o RGPD tratam as assinaturas está no nosso artigo sobre eIDAS, RGPD e NIST na assinatura digital.

Estados Unidos. A HIPAA é uma lei federal que alcança só as "covered entities" (planos de saúde, câmaras de compensação e prestadores que cobram por via eletrônica) e os seus "business associates". Não existe certificação para software; a autoridade não certifica produtos. O BAA corresponde ao contrato com o operador, e o dado de saúde protegido se chama PHI. As orientações do HHS sobre HIPAA e computação em nuvem explicam por que até um serviço que guarda só dados criptografados pode ser business associate. Quem pesquisa "hipaa" no Brasil costuma querer saber se vale aqui: não, aqui valem a LGPD e, para a assinatura qualificada, a Lei 14.063.

Portugal. Não há ICP-Brasil: vale o RGPD, cujo art. 9.º trata os dados de saúde como categoria especial. A Lei n.º 58/2019 (art. 29.º) limita o acesso a dados de saúde ao princípio da necessidade de conhecer e impõe dever de sigilo a quem os acessa, inclusive aos prestadores de serviços do responsável. A assinatura eletrónica segue o regulamento eIDAS, executado em Portugal pelo Decreto-Lei n.º 12/2021, e o contrato com o subcontratante é o do art. 28.º do RGPD.

Percorra esta lista antes de o primeiro paciente receber um link.

1. 1.
   Defina o seu papel: controlador, operador ou paciente, e se o sigilo profissional vale para você. Anote com o motivo.
2. 2.
   Liste cada formulário que vai enviar e a norma por trás da assinatura, usando a tabela acima.
3. 3.
   Inclua o serviço de assinatura no seu registro das operações de tratamento, como qualquer sistema com dados de saúde.
4. 4.
   Consiga o contrato com o operador contra-assinado para o plano exato que vai usar. Só então suba dados reais.
5. 5.
   Dê a cada pessoa da equipe o próprio login e o papel mais restrito que funcione.
6. 6.
   Escolha uma checagem do signatário por formulário: um link por e-mail para ciências, algo mais forte para consentimentos com compartilhamento.
7. 7.
   Garanta que o paciente receba automaticamente uma cópia do que assina.
8. 8.
   Programe a exportação dos formulários assinados e das trilhas de auditoria e guarde-os pelo prazo do prontuário, no mínimo 20 anos.

Esses oito passos são o que a LGPD na saúde significa na prática, seja qual for o fornecedor. Pule o passo 4 e nenhuma promessa de marketing vai salvá-lo.