Saúde é provavelmente o setor com maior densidade de requisitos regulatórios para infraestrutura. Prontuário eletrônico com guarda de 20 anos, dados sensíveis pela LGPD, disponibilidade que pode impactar vidas — cloud para saúde não é cloud genérica com um certificado a mais.
Por que saúde é diferente de outros setores
Quando um e-commerce fica fora do ar por 30 minutos, você perde vendas. Quando um sistema hospitalar cai no meio de uma cirurgia ou durante triagem de emergência, o impacto é de outra natureza. Esse contexto define tudo na arquitetura de cloud para saúde.
Além da criticidade operacional, o setor lida com dados que a LGPD classifica como sensíveis — saúde física e mental. Isso impõe obrigações legais mais rígidas do que dados cadastrais comuns, tanto para quem coleta (o hospital, a clínica, o laboratório) quanto para quem processa (o provedor de cloud).
O que a LGPD exige especificamente para dados de saúde
A LGPD trata dados de saúde como categoria especial (art. 11). Na prática, isso significa:
- Consentimento específico e destacado para coleta e uso
- Base legal mais restrita para tratamento (principalmente consentimento do titular ou tutela da saúde)
- Obrigação de notificar a ANPD em caso de incidente em prazo de 72 horas
- Direito de exclusão — mas com ponderação: dados de prontuário têm obrigação de guarda por 20 anos (CFM 1.638/2002), e exclusão a pedido do paciente é limitada por essa obrigação legal concorrente
Para infraestrutura, isso se traduz em controles técnicos obrigatórios: criptografia em repouso e em trânsito, logs de acesso auditáveis, controle de acesso baseado em função (RBAC), e capacidade de responder a requisições de titulares (acesso, correção, portabilidade).
Requisitos técnicos obrigatórios
| Requisito | Detalhe |
|---|---|
| Criptografia em repouso | AES-256 no mínimo para todos os volumes de dados clínicos |
| Criptografia em trânsito | TLS 1.2+ obrigatório, TLS 1.3 recomendado |
| Controle de acesso | RBAC com MFA obrigatório para acesso a dados clínicos |
| Logs de auditoria | Imutáveis, retidos por no mínimo 5 anos, indexáveis para busca |
| Backup imutável | Política de retenção de 20 anos para prontuário, backup offsite |
| Disaster Recovery | RTO < 4h para sistemas críticos (CTI, pronto-socorro), RTO < 24h para sistemas de suporte |
| Disponibilidade | SLA mínimo de 99,9% para sistemas de linha de cuidado |
| Dados no Brasil | Armazenamento em território nacional para dados de pacientes brasileiros |
Guarda de 20 anos: o que isso significa na prática
O CFM determina guarda de prontuário por 20 anos após o último atendimento. Para um hospital com 50 mil atendimentos por ano, isso acumula décadas de registros. As implicações para cloud:
- Storage precisa ser dimensionado para crescimento de longo prazo, não apenas para o volume atual
- Arquivamento em camadas — dados recentes em storage quente (acesso frequente), histórico em storage frio (custo menor, acesso eventual)
- Backup imutável — você não pode simplesmente sobrescrever ou deletar dados de prontuário, mesmo que queira. WORM (Write Once Read Many) é o padrão
Sistemas típicos que vão para cloud em saúde
- HIS (Hospital Information System): core do prontuário eletrônico
- LIS (Laboratory Information System): laudos e resultados de exames
- RIS/PACS (Radiology): imagens de exames — esse merece atenção especial pelo volume de dados (uma tomografia pode ter centenas de MB)
- Faturamento e regulação (TISS, TUSS): integração com operadoras de saúde
- Telemedicina: videoconferência com dados clínicos, regulada pela CFM 2.314/2022
Como escolher o provedor de cloud para saúde
Critérios que você deve exigir antes de assinar qualquer contrato:
- Dados hospedados no Brasil — não apenas “região Brasil” com backup fora. O contrato deve especificar que nenhum dado de paciente sai do território nacional
- ISO 27001 e ISO 27799 — a 27799 é específica para segurança da informação em saúde
- DPA (Data Processing Agreement) assinado e auditável — define responsabilidades entre controlador (você) e operador (o provedor)
- SLA com penalidade real — SLA de papel sem cláusula de multa não protege você
- Suporte 24/7 com SLA de resposta — sistema de saúde não para às 18h de sexta
- Backup com teste de restore documentado — pergunte quando foi o último teste de restore e peça o relatório
Desafios comuns na prática
Resistência do corpo clínico: médicos acostumados com sistemas locais frequentemente resistem a mudanças. A solução não é técnica — é treinamento, envolvimento precoce e não mudar fluxo de trabalho sem necessidade.
Integração com sistemas legados: muitos hospitais têm HIS com 15–20 anos de operação. Migrar para cloud não significa trocar o sistema — significa colocar a infra em cloud mantendo o sistema (lift and shift) ou, progressivamente, modernizando módulo a módulo.
Integração com operadoras: o ecossistema de saúde suplementar brasileiro usa padrões TISS/TUSS via XML. Qualquer migração precisa garantir que essas integrações continuem funcionando.
Imagens DICOM: o volume de armazenamento de imagens (RIS/PACS) costuma surpreender. Um serviço de imagem de médio porte pode gerar 10–20 TB por ano. Dimensione storage com folga.
Quer entender como dimensionar sua infraestrutura cloud para saúde? A equipe técnica da Adentro tem experiência em ambientes HIS/LIS/RIS e pode ajudar no planejamento.