PNISD e LGPD: o que muda para hospitais e operadoras

A nova Política Nacional de Informação e Saúde Digital reforça privacidade desde a concepção e alcança prestadores privados e fornecedores de tecnologia.

A relação entre PNISD e LGPD passa a ser tema de primeira ordem: a Política Nacional de Informação e Saúde Digital já está em vigor e muda o ponto de partida da governança de dados em saúde. Para quem cuida de política de privacidade em hospitais, clínicas e operadoras, a leitura atenta da norma é obrigatória.

O que aconteceu

O Ministério da Saúde publicou a Portaria GM/MS nº 12.301, de 27 de outubro de 2026, que altera a Portaria de Consolidação GM/MS nº 2/2017 para instituir a PNISD no âmbito do SUS. A política entra no ordenamento como Anexo XLVI e revoga o Anexo XLII da mesma consolidação (art. 5º, III, da portaria), substituindo a antiga Política Nacional de Informação e Informática em Saúde (PNIIS).

A portaria vale desde a data de publicação (art. 6º). Ela organiza a transformação digital do SUS em torno do cidadão, da unificação do histórico clínico e da telessaúde, e consolida a Rede Nacional de Dados em Saúde (RNDS) como plataforma de interoperabilidade (art. 3º, IX, do Anexo).

Por que isso importa para o setor

Embora seja uma política do SUS, o alcance não se limita ao setor público. O art. 1º, § 2º, do Anexo prevê que as disposições se aplicam, no que couber, às entidades e prestadores de serviços de saúde, públicos e privados (inciso III) e aos prestadores de serviços de tecnologia que atuem na área da saúde (inciso IV).

Além disso, o art. 4º, II, fala em integração e interoperabilidade de sistemas de informação em saúde, públicos ou privados. Para hospitais privados, operadoras e fornecedores de prontuário eletrônico, a política passa a ser um referencial de conduta, ainda que algumas obrigações recaiam sobretudo sobre os gestores do SUS.

O que a política diz sobre proteção de dados

O texto não cita expressamente a Lei 13.709/2018 (LGPD), mas incorpora seus conceitos em vários dispositivos:

• art. 2º, VI: proteção dos dados pessoais de saúde e autodeterminação informativa como princípio;
• art. 2º, IX: segurança da informação e da infraestrutura que a suporta;
• art. 3º, V: privacidade e segurança da informação desde a concepção e por padrão;
• art. 3º, VII: captura única e reuso de dados em saúde;
• art. 4º, XII: desenvolvimento da inteligência artificial em saúde com governança, supervisão humana e gestão de riscos.

O ponto central é a combinação entre reuso de dados e privacidade desde a concepção. Quanto mais os dados circulam pela RNDS, mais importa saber quem acessa, com qual base legal e com qual finalidade.

Implicações práticas para o Encarregado e para o gestor

O art. 12 do Anexo dirige-se aos estabelecimentos de saúde em todo o território nacional. Eles devem adequar seus sistemas, de forma gradativa, à interoperabilidade com a RNDS e à identificação correta das pessoas (inciso I), assegurar a segurança da informação e a proteção dos dados pessoais de saúde (inciso III) e zelar pela privacidade e pela confidencialidade (inciso IV).

O art. 13 atribui aos profissionais de saúde a responsabilidade pela autoria e pela qualidade dos dados. Na prática, cada alteração relevante precisa ser atribuível a quem a fez. Isso conversa diretamente com o princípio da qualidade dos dados (art. 6º, V, da LGPD) e com a rastreabilidade das alterações em prontuário.

Outro sinal relevante é a adoção do CPF como identificador prioritário (arts. 7º, V, 8º, V, e 9º, V). Ele facilita a integração, mas amplia o impacto de qualquer falha de segurança e exige controle rigoroso de acesso.

Por fim, o art. 4º do Anexo estabelece prazo de 180 dias, contados da publicação, para a pactuação, pela Comissão Intergestores Tripartite, do Plano de Ação de Transformação para a Saúde Digital do SUS. Hospitais públicos, secretarias e demais entidades que dependem de recursos devem acompanhar esse plano, pois seus desdobramentos definirão metas, responsabilidades e cronogramas: o art. 15 prevê que o financiamento considere o nível de maturidade digital e a adesão à PNISD.

O que fazer a partir de agora

Algumas medidas fazem sentido já nas próximas semanas:

1. Ler o texto integral da portaria no Diário Oficial e mapear quais dispositivos se aplicam à sua instituição, como prestadora, gestora ou fornecedora.
2. Revisar o inventário de dados (ROPA) dos sistemas que enviam ou consomem dados da RNDS, com base legal, finalidade e compartilhamento documentados (arts. 7º, 11 e 37 da LGPD).
3. Verificar se o prontuário eletrônico registra autoria, trilha de auditoria e controle de acesso compatíveis com a responsabilidade prevista no art. 13.
4. Incluir cláusulas de privacidade e segurança nos contratos com fornecedores de tecnologia, já que eles estão no alcance do art. 1º, § 2º, IV.
5. Se a instituição usa ou pretende usar inteligência artificial, formalizar governança, supervisão humana e avaliação de riscos antes da implantação.

Como o ecossistema HDPO pode ajudar

A HDPO apoia instituições de saúde na leitura regulatória, no mapeamento de operações de tratamento e na estruturação do programa de governança, e o PROTEGON organiza ROPA, avaliações de risco e evidências de conformidade em um único ambiente.