LGPD na saúde em 2026: o ano da virada regulatória
Por Gustavo Clemente
O ano de 2026 consolidou uma inflexão no tratamento regulatório dos dados pessoais de saúde no Brasil. Três movimentos convergentes redesenharam o ambiente normativo em que hospitais, clínicas, laboratórios e operadoras operam: a transformação da ANPD em agência reguladora dotada de poderes de polícia efetivos; a publicação, pelo Conselho Federal de Medicina (CFM), do primeiro marco regulatório sobre inteligência artificial na prática médica; e a intensificação declarada da fiscalização sobre dados sensíveis de saúde, com metas quantificadas pela própria Autoridade.
O marco institucional mais relevante foi a sanção da Lei 15.352/2026, em 25 de fevereiro, que reposicionou a até então Autoridade Nacional de Proteção de Dados como Agência Nacional de Proteção de Dados — autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, equiparada às demais agências reguladoras (Anatel, Anvisa, ANS). A norma conferiu à ANPD autonomia funcional, técnica, decisória, administrativa e financeira, criou 200 cargos de especialista providos por concurso e reconheceu poder de polícia administrativa, incluindo apreensão de equipamentos e interdição de estabelecimentos. Em paralelo, as Resoluções CD/ANPD 30 e 31/2025 instituíram o Mapa de Temas Prioritários para 2026-2027 e fixaram a meta de ao menos dez ações de fiscalização até o final de 2026 voltadas a dados de saúde, biometria e dados financeiros. A Agência sinalizou que avaliará a efetividade das práticas — não apenas a existência formal de políticas.
O terceiro pilar veio do CFM. A Resolução 2.454/2026, aprovada em 11 de fevereiro e publicada no DOU em 27 de fevereiro, normatizou o uso da IA na medicina. A norma reafirma que a decisão clínica deve permanecer humana; classifica sistemas de IA por nível de risco; exige registro no prontuário do uso da ferramenta, da revisão humana e da informação prestada ao paciente; e assegura ao paciente o direito de recusar o emprego de IA em sua avaliação. Embora não seja norma de proteção de dados, a resolução opera dentro do arcabouço da LGPD: o dado clínico processado por IA é dado pessoal sensível (art. 5º, II), sujeito ao regime do art. 11, e o prontuário passa a funcionar como instrumento de rastreabilidade da governança tecnológica. A Resolução CD/ANPD 15/2024, ainda vigente, mantém o prazo de três dias úteis para comunicação de incidentes de segurança — exigência que, sem plano de resposta formalizado e testado, se torna praticamente impossível de cumprir sob pressão operacional.
A convergência entre esses movimentos sugere que 2026 marca, para o setor de saúde, a transição da adequação formal para a cobrança de efetividade prática. Revisão de mapeamento de dados por fluxo clínico, elaboração de RIPD para operações com IA, formalização de planos de resposta a incidentes, adequação contratual com operadores de tecnologia e atenção ao art. 11, §4º, da LGPD — que veda, como regra, o compartilhamento de dados de saúde com finalidade de vantagem econômica — deixam de ser recomendações abstratas e passam a ser exigências auditáveis. A proteção de dados na saúde, em 2026, deixou de ser tema de compliance defensivo para se tornar elemento estruturante da governança assistencial.
*Gustavo Clemente é sócio do Lara Martins Advogados, Presidente do Sindicato dos Hospitais do Estado de Goiás (SINDHOESG) e integra o Conselho Fiscal da Associação dos Hospitais Privados de Alta Complexidade do Estado de Goiás (AHPACEG).
