Direito médico e proteção de dados pessoais: coerência normativa em diagrama de Venn

 

Medical law and data protection: a normative intersection in a Venn diagram

 

Maurício Tamer[1]

 

DOI: https://doi.org/10.37767/2591-3476(2025)51

Fecha de envío: 22.06.2025

Fecha de aceptación: 02.10.2025

 

Resumo

O artigo analisa a intersecção normativa entre o Direito da Proteção de Dados Pessoais e o Direito Médico, a partir da constatação de que, embora ambos estejam presentes no ordenamento jurídico brasileiro, carecem de diálogo sistemático e prático. O problema científico central reside em compreender como se dá essa intersecção dogmática e funcional, especialmente no contexto da relação médico-paciente e das atividades coligadas. Com base em metodologia hipotético-dedutiva, parte-se da hipótese de que, embora distintos em origem e objetivos, ambos os regimes jurídicos compartilham fundamentos e princípios comuns quando há tratamento de dados pessoais no âmbito médico. O trabalho propõe um mapeamento teórico e exemplificativo dessa intersecção, abordando aspectos como a proteção da privacidade, autodeterminação informativa, confidencialidade, sigilo profissional e governança em privacidade. A análise evidencia a coexistência normativa e a necessidade de aplicação simultânea dos dois regimes em cenários específicos, propondo a visualização desse encontro por meio de um diagrama de Venn.

 

Palavras-chave

Proteção de Dados Pessoais; Direito Médico; Privacidade; Relação Médico-Paciente; Confidencialidade; Governança em Privacidade

 

Abstract

This paper examines the normative intersection between Data Protection Law and Medical Law in Brazil, noting the lack of structured scientific dialogue between these legal regimes. The central scientific problem addressed is how to identify the dogmatic and functional overlap between these fields, particularly within the physician-patient relationship and related healthcare activities. Using a hypothetical-deductive methodology, the paper argues that, although the legal regimes differ in origin and scope, they share common principles and foundations when personal data is processed in a medical context. The study presents a conceptual and practical mapping of this intersection, focusing on elements such as privacy protection, informational self-determination, confidentiality, professional secrecy, and privacy governance. The analysis supports the concurrent application of both regimes and proposes their relationship be understood through a Venn diagram.

 

 

Keywords

Data Protection; Medical Law; Privacy; Physician-Patient Relationship; Confidentiality; Privacy Governance

 

Resumen

El artículo analiza la intersección normativa entre el Derecho de la Protección de Datos Personales y el Derecho Médico, partiendo de la constatación de que, si bien ambos están presentes en el ordenamiento jurídico brasileño, carecen de un diálogo sistemático y práctico. El problema científico central reside en comprender cómo se produce esta intersección dogmática y funcional, especialmente en el contexto de la relación médico-paciente y de las actividades conexas.

Con base en una metodología hipotético-deductiva, se parte de la hipótesis de que, aunque distintos en origen y objetivos, ambos regímenes jurídicos comparten fundamentos y principios comunes cuando existe tratamiento de datos personales en el ámbito médico. El trabajo propone un mapeo teórico y ejemplificativo de esta intersección, abordando aspectos como la protección de la privacidad, la autodeterminación informativa, la confidencialidad, el secreto profesional y la gobernanza en privacidad. El análisis evidencia la coexistencia normativa y la necesidad de aplicación simultánea de los dos regímenes en escenarios específicos, proponiendo la visualización de este encuentro por medio de un diagrama de Venn.

Palabras clave

Protección de Datos Personales; Derecho Médico; Privacidad; Relación Médico-Paciente; Confidencialidad; Gobernanza en Privacidad.

 

 

 

Introdução

 

O Direito da Proteção de Dados Pessoais, não tão recente em termos históricos, mas recente em termos formais e autônomos no Brasil com a Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709/2018, LGPD), regula a forma pela qual os dados pessoais devem ser tratados no espectro constitucional e legal de privacidade. Isto é, disciplina como a utilização dos dados pessoais – conceitualmente, tratamento – deve ocorrer para que os direitos fundamentais de livre desenvolvimento da personalidade, liberdade e privacidade possam ser preservados. Em equilíbrio e ponderação, com as garantias igualmente constitucionais da livre iniciativa, do desenvolvimento econômico e da promoção da inovação.

 

O Direito Médico, por sua vez, ainda mais longe de ser recente, pode ser compreendido, em certa perspectiva, por meio da elaboração, interpretação e aplicação de normas jurídicas pertinentes às relações decorrentes da prática da medicina e atividades correlatas e de suporte. Visa a estruturação equilibrada de regras e princípios dedicados à ponderação fluida e eficiente da proteção dos direitos dos pacientes e das responsabilidades e direitos dos profissionais e entidades de saúde, especialmente médicos. Abrange uma gama ampla de temas que decorrem deste contexto, como os direitos e deveres de pacientes e médicos, perspectivas éticas e deontologia médica, relações de consumo, bioética e a tangência com a disciplina do chamado Direito Sanitário.

 

Parecem restar ainda rarefeitas no País as pesquisas científicas que explorem as interrelações entre os dois grupos de normas. Além disto, abordagens propositivas que tentem posicionar adequadamente os pontos de intersecção e as diferenças entre conceitos e práticas esperadas de ambos parecem úteis.

 

Esta aparente lacuna científica, a nosso ver, talvez a necessidade de exploração do tema. Sobretudo, considerando a necessidade de se estabelecer um mapeamento profícuo dos conceitos que viabilize a compreensão adequada da dita unidade sistêmica, trazendo a coerência esperada, e a expectativa de que a aproximação científica dos assuntos possa contribuir de forma prática com a efetividade esperada pelos dois regimes legais: a proteção equilibrada dos dados pessoais e dos direitos e deveres de pacientes e médicos.

 

Em outras palavras, vislumbrar a problemática apresentada e ignorá-la, implicaria consentir inadvertidamente e aceitar passivamente que ambos os regimes podem ser muito bem formalmente estruturados, mas inefetivos pela falta de um melhor diálogo normativo e prático.

 

Feitas estas considerações, o problema científico que parece se apresentar e que se propõe neste trabalho é identificar como se dá a intersecção normativa e dogmática entre os Direitos da Proteção de Dados Pessoais e o Direito Médico.  Com a metodologia hipotético-dedutiva, será trabalhada a hipótese de que, embora diferentes, os regimes apresentam espaço de intersecção conceitual e funcional, com exemplos específicos que explicam esta coexistência de regimes no tratamento dos dados pessoais em contexto da relação médico-paciente e das atividades coligadas a esta.

 

O texto está estruturado em duas grandes partes. No tópico I, uma análise do Direito da Proteção de Dados Pessoais e do Direito Médico. No tópico II, os principais pontos de intersecção entre ambos e como eles se manifestam.

 

I.    Direito da Proteção de Dados Pessoais e Direito Médico

 

O Direito da Proteção de Dados Pessoais tem origem dogmática dos próprios direitos fundamentais de privacidade, liberdade e livre desenvolvimento da personalidade. O Direito à Privacidade é direito fundamental assegurado na Constituição Federal, estando posicionado especialmente no que está previsto no Artigo 5º, X, com base na ideia de “inviolabilidade à vida privada”. “Vida privada” que se inseriu no rol de direitos humanos de espectro de proteção individual, especialmente, na Declaração Universal de Direitos Humanos de 1948. A inviolabilidade à vida privada, portanto, traz semanticamente a proteção da esfera privada do indivíduo como direito fundamental.

 

Tem objetivos claros, a exemplo do que estabelece o Artigo 1º da Lei Geral de Proteção de Dados Pessoais (LGPD: “Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.”.

 

Historicamente, a ideia de privacidade esteve ligada à identificação dos limites entre espaços privados e públicos, com a proteção das atividades realizadas em âmbito privativo. Tem relação com a sensação de segurança do indivíduo, tanto física quanto ao próprio desenvolvimento da personalidade. Protege-se o espaço privativo do indivíduo de ingerências indevidas, para que este possa (i) determinar qual é seu espaço privativo, e (ii) desenvolver-se enquanto ser humano, com a formação de sua personalidade. Protege-se o espaço de segurança, de desenvolvimento e de reflexão do indivíduo. Grande parte das liberdades individuais são possíveis em um ecossistema de privacidade. Essa é uma das principais razões históricas, por exemplo, da existência da ideia de domicílio enquanto instituto jurídico de proteção. Como bem disse Danilo Doneda: “É própria do nosso tempo a preocupação com a privacidade e como garanti-la. E a forma pela qual o direito a abordou durante muito tempo foi pela sua associação à busca de alguma forma de isolamento, refúgio ou segredo. A formação do conceito de privacidade, no entanto, aponta para elementos referentes a necessidades diversas, como a busca da igualdade, da liberdade de escolha, do anseio em não ser discriminado, entre outros. E, ainda, a privacidade está fortemente ligada à personalidade e ao seu desenvolvimento, para o qual é elemento essencial, em uma complexa teia de relações ainda a ser completamente vislumbrada pelo direito.” (DONEDA, 2020: RB 1-1).

 

Também como definiu o STF: “a privacidade consubstancia-se na prerrogativa de exigir do Estado e dos demais sujeitos particulares uma abstenção da intervenção em sua intimidade e em sua vida privada, compreendendo o caráter negativo do direito, que impõe a proteção contra ações que interfiram na intimidade e vida privada e a proibição de o Estado afetar o seu núcleo essencial; além da faculdade de renúncia e não exercício do direito por seu titular. O direito à privacidade, na dimensão de uma prestação positiva por parte do Estado, também impõe o debate sobre medidas de segurança a respeito de dados que incidam diretamente na esfera privada dos indivíduos, assumindo caráter preventivo, a fim de se evitar acessos não autorizados a essas informações.” (STF, ADI 5545).

 

O direito à privacidade, assim, é um direito à proteção por meio do qual a Constituição Federal determina a localização precisa dos limites que não podem ser rompidos, sob pena de violar a vida privada individual. Vida privada, nesta perspectiva, pode ser compreendida ou traduzida como círculo essencial de privacidade e proteção individual que não pode ser ilegitimamente invadido. Neste sentido, ou o indivíduo permite conscientemente e sem qualquer vício de vontade a entrada do Estado ou terceiros em tal esfera (consentimento por exemplo), ou há outros direitos igualmente constitucionais que permitem, em juízo de ponderação, o ingresso do Estado ou terceiros na esfera individual, ainda que contrário à vontade do sujeito, como, por exemplo, a possibilidade de quebra de sigilo telefônico ou telemático para fins de investigação criminal, a quebra de sigilo de registros eletrônicos estabelecida no Marco Civil da Internet ou, ainda, as ordens judiciais lícitas de busca e apreensão em domicílio.

 

Nesta perspectiva e dentro dos espaços metodológicos deste trabalho, parece ser possível explicar a Proteção de Dados Pessoais por meio do conteúdo do direito fundamental à privacidade. Se proteger é encontrar os limites, proteger os dados pessoais, neste contexto, parece ser identificar os limites de acesso e uso (tratamento) dos dados pessoais. Em outras palavras, proteger os dados pessoais é delimitar o que é o acesso e uso legítimo, correto e lícito dos dados pessoais. Quer dizer, os dados pessoais protegidos juridicamente são aqueles cujos limites de acesso e uso lícito foram respeitados.

 

A “desproteção” de dados pessoais, ao seu turno, seria a não localização destes limites ou o desrespeito destes. Onde estão os limites hoje? Especialmente na LGPD, conforme determina o Artigo 5º, LXXIX, da CF: “é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais.”. Estudar e aplicar a Proteção de Dados Pessoais, portanto, parece ser estudar e aplicar os limites legais de acesso e uso dos dados pessoais. Assim, o Direito da Proteção de Dados Pessoais estabelece quais são os requisitos e deveres em todas as formas de utilização de Dados Pessoais, de modo a assegurar a privacidade dos indivíduos.

 

Se o objeto-base emanador do Direito da Proteção de Dados Pessoais é o Dado Pessoal e os riscos à personalidade, liberdade e privacidade do uso inadequado ou abusivo deste, o Direito Médico é construído a partir de outra premissa: a relação médico-paciente.

 

Tem-se, assim, uma diferença fundamental: a Proteção de Dados Pessoais está normativamente presente no uso ou tratamento dos dados pessoais, no contexto de prática médica ou não; já o Direito Médico decorre da relação médico-paciente e da prática médica e dos serviços de saúde coligados, portando espectro bem mais amplo do que a regulação dos usos dos dados pessoais envolvidos nesta relação.

 

Mais do que apenas as discussões acerca do erro médico e das responsabilidades (SIMONELLI, 2024: 10), envolve um espectro normativo amplo concernente aos direitos dos pacientes, aos direitos dos médicos e às responsabilidades destes. Não só na relação médico-paciente em perspectiva estrita, mas a regulação de tais aspectos nas atividades coligadas ou de suporte ao exercício da medicina. Nesta perspectiva, além das atividades diretas da relação médico-paciente, são consideradas reguladas pelo Direito Médico uma série de atividades e práticas que dão conteúdo, suporte, subsídios e informam tal relação, ou que, de alguma forma estão coligadas.

 

Assim, de forma não exaustiva, podem ser incluídas no âmbito da regulação do Direito Médico:  (i) atos praticados pelos médicos no âmbito da relação direta com os pacientes (i.e. consultas, diagnósticos, orientações, procedimentos cirúrgicos); (ii) documentação médica que consubstancia e da forma a muitos destes atos (i.e. termo de consentimento livre e esclarecido – TCLE, prontuário médico, receitas, prescrições, laudos, atestados, relatórios, fichas de admissão, atestado de óbito); (iii) atividades de exame (i.e. exames clínicos, exames laboratoriais, exames de imagem, exames funcionais); (iv) serviços de apoio terapêutico; (v) apoio farmacêutico (i.e. farmácia hospitalar e clínica; manipulação, distribuição e dispensação de medicamentos); e (vi) dispositivos médicos (incluem desde equipamentos hospitalares até próteses, implantes, cateteres, softwares, instrumentos cirúrgicos, reagentes para diagnóstico in vitro, entre outros).

 

Do ponto de vista formal, entender se a regulação está ou não inserida no espectro de Direito Médico, pressupõe saber se a norma diz respeito ou não às atividades acima. Assim, compõe o Direito Médico, por exemplo, as regulações da Agência Nacional de Vigilância Sanitária, as regulações dos conselhos profissionais das categorias envolvidas (i.e. CFM, COREN, CRF), a legislação civil e penal de responsabilização dos profissionais e entidades envolvidas, e leis específicas que regulam determinados aspectos, a exemplo da LGPD no que tange o uso de dados pessoais.

 

II.   A intersecção entre os regimes do Direito da Proteção de Dados Pessoais e do Direito Médico

 

Do ponto de vista lógico, nos parece correto afirmar que só há pontos de intersecção, se há pontos de diferenças ou não intersecção. Uma análise comparativa entre os dois tópicos anteriores parece permitir a aferição das diferenças essenciais dos dois regimes, sobretudo em relação às suas origens e objetivos. A problemática científica deste trabalho, todavia, está em tentar identificar os pontos de intersecção dogmática e de aspectos práticos entre os dois regimes. Onde e como se dá a sobreposição ou dupla incidência dos dois regimes jurídicos.

 

Como visto, a Proteção de Dados Pessoais está normativamente presente no uso ou tratamento dos dados pessoais, no contexto médico ou não; já o Direito Médico decorre da relação médico-paciente e de todas as atividades coligadas a esta, portando espectro bem mais amplo do que a regulação dos usos dos dados pessoais envolvidos nesta relação.

 

Logo, este trabalho propõe que os pontos de intersecção sejam visualizados ou compreendidos em analogia com uma imagem de um verdadeiro de Diagrama de Venn. Dois círculos, outrora separados (cada um representando um dos regimes jurídicos mencionados), passam a ter um espaço de intersecção comum em que estão os elementos comuns dos dois regimes, com as respectivas questões que se apresentam.

 

A determinação dos limites desta intersecção parece partir, justamente, da compreensão da diferença acima. A intersecção estaria, nesse sentido, em todas as situações em que há o uso ou tratamento de dados pessoais no espectro da relação médico-paciente e nas muitas atividades coligadas a esta. Nestas situações de intersecção, os dois regimes estão sobrepostos e se aplicam simultaneamente para a relação estabelecida.

 

Entendidos estes limites, procuraremos trabalhar a seguir, de forma exemplificativa, possíveis manifestações desta intersecção, seja para melhor compreender a resposta proposta ao problema científico posto, seja para também exemplificá-la.

 

Um dos pontos mais notórios de intersecção entre os dois regimes parece ser justamente o aspecto objetivo de fato presente em ambas as situações: o tratamento de dados pessoais gerais e dados pessoais sensíveis de saúde.

 

Dado e informação são, a nosso ver, conceitos diferentes e o conceito de dado pessoal, base para toda incidência normativa aqui estudada deriva diretamente desta diferença (DONEDA, 2020: RB 1-1). A informação é o resultado racional extraído do dado, conforme contexto em que o dado e seu uso estão. Os dados, por sua vez, são a matéria-prima base que permite tal extração. O dado será considerado um dado pessoal assim se, no contexto de seu uso, for possível a extração de uma informação pessoal, ou seja, a extração de algo que identifique o indivíduo de forma direta ou imediata ou de forma indireta ou mediata. O que vai revelar se o dado é ou não pessoal é o agregar da possibilidade de extração concreta e contextual de uma informação pessoal.

 

Dados pessoais sensíveis de saúde, por sua vez, é o dado do qual é extraída uma informação que diz respeito a qualquer elemento sobre saúde física ou mental do indivíduo (v.g., histórico, sintomas, exames, doenças, estados de saúde, medicamentos, comportamentos), incluindo as informações relacionadas a planos e à prestação, lato sensu, de serviços médicos e de serviços de assistência à saúde de qualquer natureza.

 

Neste sentido, de forma a preencher e complementar a norma do Artigo 5º, II, LGPD, pode ser citada a definição da Portaria GM/MS nº 3.232/2024 do Ministério da Saúde instituindo o Programa SUS Digital em relação à “dado pessoal sensível de saúde” como sendo o “dado relativo à saúde de um titular de dados ou à atenção à saúde a ele prestada que revele informações sobre sua saúde física ou mental no presente, passado ou futuro.”.

 

Assim, as atividades envolvidas na relação médico-paciente e atividades coligadas implicam o tratamento de dados pessoais e são classificadas, em regra, como dados pessoais sensíveis de saúde. Sem eles, não é possível a condução das atividades necessárias, tendo em vista que o processo de identificação do paciente e inferências de suas informações são indispensáveis. Não à toa, a própria LGPD recepciona essa lógica e estabelece que dados pessoais podem ser utilizados ou tratados para a tutela da saúde do titular (Arts. 7º, VIII, e 11, II, f). 

 

Os fundamentos da Proteção de Dados Pessoais e do Direito Médico parecem coexistir com perfis próprios. Trata-se de bom exemplo e lembrete da diferença necessária entre o texto normativo prescritivo e a norma que dele se extrai. Em linhas bem gerais, a norma pode ser compreendida a partir do contexto de aplicação e entendimento do texto prescritivo. Parece ser o que ocorre aqui e nos demais pontos de intersecção. Os fundamentos de ambos os regimes são compreendidos de forma específica no contexto da utilização dos dados pessoais no relação médico-paciente e atividades coligadas.

 

Para a Proteção de Dados Pessoais, estão os fundamentos listados no Art. 2º, LGPD, destacando-se a autodeterminação informativa, a privacidade, a liberdade, o desenvolvimento econômico e tecnológico e a inovação, e os direitos humanos. Em termos principiológicos, a lista normativa está prevista no Art. 6º da mesma lei, destacando-se os princípios da finalidade, a necessidade, a transparência, a segurança e a não discriminação abusiva ou ilícita. Ou, então, os princípios perceptíveis em perspectiva implícita, como a abordagem por risco e o melhor interesse do titular (TAMER, 2025: 173-178).

 

Para o Direito Médico, a partir da influência normativa das linhas éticas profissionais, especialmente do previsto no CEM (Capítulo I), podem ser destacadas: a atuação com máximo zelo (Inc. II), respeito absoluto ao ser humano (Inc. VI), guarda de sigilo a respeito das informações de que conhecimento do desempenho de suas funções (Inc. XI), a ausência de discriminação (Inc. XXV) e utilização dos meios técnicos e científicos disponíveis que visem aos melhores resultados (Inc. XXVI).

 

Partindo destas premissas e tendo a utilização dos dados pessoais de pacientes ou titulares de dados pessoais como fio condutor da aplicação simultânea de ambos os regimes, parece haver clara intersecção na aplicação igualmente simultânea dos dois regimes. Ou seja, os fundamentos e princípios de ambos os regimes se aplicam em coexistência.

 

Por exemplo, a autodeterminação informativa na Proteção de Dados Pessoais pressupõe a ideia de que deve ser preservado à pessoa natural, ao máximo possível, o direito ou poder de controle sobre os dados pessoais (sobre as informações que a identificam), pois isto a confere o controle do seu espaço essencial e mínimo garantido de privacidade e desenvolvimento da personalidade. Com base na etimologia da expressão, a ideia de que a pessoa determine, por si mesmo, o uso das informações a seu respeito e as respectivas circunstâncias. Tem raízes históricas em decisão da Corte Constitucional alemã sobre a Lei do Censo alemã (Volkszählungsgesetz) de 1983. Seu texto, de forma ampla e por vezes genérica, determinava que as pessoas alemãs fornecessem uma série de dados pessoais a viabilizar um mapeamento espacial e geográfico da população daquele país.  Entre as disposições mais genéricas, previa a possibilidade do cruzamento das informações com outras bases públicas para a finalidade claramente imprecisa de “execução de atividades administrativas”.

 

Esta condição, porém, não determina que autodeterminação seja absoluta, demandando – como a dinâmica de interpretação constitucional e a própria lista equilibrada de fundamentos do Artigo 2º da LGPD – uma ponderação concreta e contextual sobre o tratamento de dados pessoais, sobretudo a partir da baliza de risco. A própria LGPD traz normas de balizamento desse exercício de proporcionalidade. Isso se dá, por exemplo, por outros de seus fundamentos (v.g., desenvolvimento econômico e tecnológico, inovação e livre-iniciativa).

 

O princípio da finalidade (Art. 6º, I, LGPD) também parece ter essa função, identificando que o tratamento de dados pode ser feito em razão de finalidades legítimas, ou seja, que perfaçam fins legítimos protegidos pelo ordenamento e que, em termos concretos, serviriam como baliza de ponderação sobre o alcance do controle dos dados pelo titular. Grande parte desses fins legítimos é trazida pela própria LGPD por meio das chamadas  legais de tratamento, uma espécie de ponderação opus legis. E aqui reside um bom exemplo no contexto de coincidência dos dois regimes: a base legal ou legitimidade de tratamento de dados pessoais para a tutela da saúde (Arts. 7º, VIII, e 11, II, f, LGPD).

 

Com efeito, a proteção da saúde do ser humano paciente por meio da sua relação com o médico e atividades coligadas justifica a relativização do fundamento da autodeterminação informativa. Este, porém, resta conservado. Por exemplo, vemos a preservação clara da autodeterminação informativa ao ser necessário a coleta do consentimento do paciente ou de seu representante legal após esclarecê-lo sobre o procedimento a ser realizado (a exemplo do Termo de Consentimento Livre e Esclarecido – TCLE), salvo e caso de risco iminente de morte, e ser imprescindível garantir ao paciente o exercício do direito de decidir livremente sobre sua pessoa ou seu bem-estar, bem como exercer sua autoridade para limitá-lo (Arts. 22 e 24 do CEM). Vê-se, assim, que a autodeterminação informativa quanto aos dados pessoais pelo paciente se dá principalmente na utilização dos dados pessoais nestas etapas de tratamento.

 

De ainda mais destaque, está a privacidade do paciente-titular de dados pessoais. Clara na Proteção de Dados Pessoais, pois fundamento basilar, ela se explica de forma notória na relação médico-paciente. Por exemplo, destaca-se toda a disciplina do sigilo profissional aplicável nesta relação mas também nas atividades sanitárias coligadas e de suporte (Arts. 73 a 77, CEM). A razão de ser é fundamental nos dois regimes: proteger a privacidade do indivíduo como condição de seu livre desenvolvimento.

 

Vejamos também como exemplo as RDCs da ANVISA que tratam da sigilosidade nos serviços de saúde: (i) a RDC nº 302/2005 (regula os laboratórios clínicos) prevê a exigência de confidencialidade e controle de acessos dos exames em seu anexo técnico; (ii) a RDC nº 63/2011 (regula as boas práticas para serviços de saúde) estabelece em seu Art. 9º, §1º, que “Os serviços devem garantir a privacidade e o sigilo das informações do paciente.” Além disso, exige que os prontuários sejam mantidos em locais seguros, com acesso restrito ao pessoal autorizado; e (iii) a RDC nº 275/2019 (regula as boas práticas em radiologia) traz a lógica de confidencialidade de imagens e laudos, tanto em meio físico quanto digital. Inclui também a menção aos sistemas PACS para armazenamento e acesso restrito.

 

Considerando que os conteúdos daquilo que está no espectro de sigilosidade da relação médico-paciente pressupõe a existência dados pessoais sensíveis de saúde (Art. 5º, II, LGPD), naturalmente em ambos os regimes coexiste o ideal de utilização correta e adequada de tais dados, sob pena da exposição indevida de seu conteúdo, inferências inadequadas e prejudiciais, e prejuízo ao livre desenvolvimento dos pacientes-titulares de dados.

 

A proposta de equilíbrio entre proteção e desenvolvimento com inovação também parece exemplificar a coexistência dos regimes. Se a Proteção de Dados Pessoais assim o faz na própria LGPD ao prever a convivência entre privacidade e inovação, o Direito Médico também parece englobar tal premissa. Linha lógica que apenas reflete a construção histórica da matéria, a exemplo dos textos da Convenção de Estrasburgo de 1981, da Diretiva Europeia 95/46 e da General Data Protection Regulation de 2016. Isto se dá, sobretudo, pela previsão de que “A medicina será exercida com a utilização dos meios técnicos e científicos disponíveis que visem os melhores resultados” (Capítulo I, Inc. XXVI, CEM), o que passa necessariamente pela observância ou consideração ao menos de ferramentas e métodos inovadores e que podem apresentar melhores resultados.

 

O equilíbrio, de forma muito semelhante do que a LGPD propõe, está em permitir a inovação até o ponto em que o método empregado vulnera direitos fundamentais reconhecidos. Ponderados tais direitos – o que está intrínseco, a nosso ver, na expressão “melhores resultados” – a inovação tem de ser bem-vinda e utilizada.

 

No mesmo contexto, está, por exemplo, a regulação que trata da aplicação da telemedicina como forma de serviço médico (Resolução CFM nº 2.314/2022). Já em seus considerandos, o equilíbrio é proposto dois considerando específicos sobre os temas. Também está presente na leitura conjunta dos Arts. 2º e 3º que permitem a Telemedicina, desde que observados os padrões legais de proteção de dados: “Art. 2º A telemedicina, em tempo real on-line (síncrona) ou off-line (assíncrona), por multimeios em tecnologia, é permitida dentro do território nacional, nos termos desta Resolução. Art. 3º Nos serviços prestados por telemedicina, os dados e imagens dos pacientes, constantes no registro do prontuário, devem ser preservados, obedecendo às normas legais e do CFM pertinentes à: guarda, manuseio, integridade, veracidade, confidencialidade, privacidade, irrefutabilidade, e garantia do sigilo profissional das informações.”.

 

Em termos dos princípios trazidos pela Proteção de Dados Pessoais, o diálogo normativo também está presente. Vejamos, por exemplo, o princípio da finalidade (Art. 6º, I, LGPD) segundo o qual qualquer tratamento de dados pessoais, mesmo no contexto médico, deve se dar para propósitos legítimos, específicos, explícitos e informados ao titular. No contexto da relação médico-paciente, a finalidade é, justamente, “a saúde do ser humano, em benefício da qual deverá agir com o máximo de zelo e o melhor de sua capacidade profissional.” (Capítulo I, Inc. II, CEM). Não podendo ser desviada, conforme exemplos do mesmo Código de vedação à aplicação dos conhecimentos médicos para causar “sofrimento físico ou moral, para o extermínio do ser humano ou para permitir e acobertar tentativas contra sua dignidade e integridade.” ou da vedação do exercício da medicina como comércio (Capítulo I, Incs. VI e IX). Logo, a compreensão da finalidade para o uso dos dados pessoais no Direito Médico está atrelada à presença de vetor de objetivo voltado para o bem-estar e a saúde do indivíduo.

 

A lógica de respeito à utilização dos dados pessoais estritamente necessários para a finalidade (Art. 6º, III, LGPD) também encontra a interpretação no contexto do Direito Médico. Segundo o CEM, é vedado ao médico “Praticar ou indicar atos médicos desnecessários ou proibidos pela legislação vigente no País.” (Art. 14). Logo, os atos médicos que se valham de coletar dados pessoais e não sejam necessários para persecução do bem-estar do paciente-titular de dados pessoais estão vedados. Este seria, assim, um dos principais conteúdos do princípio da necessidade ou da lógica de data minimization no contexto da relação médico-paciente e atividades coligadas.

 

Os princípios do livre acesso e transparência também são exemplos. Na utilização dos dados pessoais, estabelece a promoção pela busca constante de um estado ideal das coisas em que seja garantido ao titular o acesso às informações sobre como o tratamento é feito (os dados pessoais, as finalidades, todas as operações envolvidas e circunstâncias) e por quanto tempo o tratamento é realizado. Isto traz reflexos na documentação de transparência em privacidade (Aviso de Privacidade por exemplo), na extensão do que precisa ser informado ao titular, na existência de um canal específico de atendimento, em direitos previstos (notadamente o previsto no Art. 18, II, LGPD) e até mesmo na designação de profissional específico que deve atender aos titulares de dados pessoais (Encarregado).

 

No Direito Médico este entendimento sobre como e por quais razões há a utilização dos dados pessoais no contexto da relação médico-paciente e nas atividades coligadas se revela com conteúdo próprio. Além dos requisitos específicos de transparência pelo uso dos dados pessoais em si, há deveres estabelecidos a serem seguidos.

 

É vedado ao médico: “Deixar de esclarecer o paciente sobre as determinantes sociais, ambientais ou profissionais de sua doença.” (Art. 13, CEM); “Deixar de obter consentimento do paciente ou de seu representante legal após esclarecê-lo sobre o procedimento a ser realizado, salvo em caso de risco iminente de morte.” (Art. 22, CEM); “Deixar de garantir ao paciente o exercício do direito de decidir livremente sobre sua pessoa ou seu bem-estar, bem como exercer sua autoridade para limitá-lo.” (sendo que decisão livre apenas existe com todas as informações pertinentes – Art. 24 CEM); “Desrespeitar o direito do paciente ou de seu representante legal de decidir livremente sobre a execução de práticas diagnósticas ou terapêuticas, salvo em caso de iminente risco de morte.” (Art. 31, CEM); e “Deixar de informar ao paciente o diagnóstico, o prognóstico, os riscos e os objetivos do tratamento, salvo quando a comunicação direta possa lhe provocar dano, devendo, nesse caso, fazer a comunicação a seu representante legal.” (Art. 34, CEM).

 

Assim, no contexto de intersecção de uso dos dados pessoais na relação médico-paciente e atividades correlatas, tem o paciente-titular de dados pessoais o direito de receber todas as informações estabelecidas no Art. 9º da LGPD em relação ao uso dos dados, bem como receber as informações listadas acima naquilo que for pertinente e envolver os dados. Pensemos, por exemplo, no caso em que determinado tratamento dependa do compartilhamento dos dados pessoais com terceiro ou para programa de acompanhamento de saúde do paciente. Tem este o direito à transparência no formato dito.

 

Por fim, ainda no espectro dos princípios, tem-se exemplo claro da não discriminação abusiva e ilícita (Art. 6º, IX, LGPD) que impede a utilização dos dados pessoais com consequência de tal perfil. No mesmo sentido é o Direito Médico, de modo que na relação médico-paciente e atividades coligadas é vedada a discriminação de qualquer natureza (Capítulo I, I, CEM), sendo vedada a discriminação do ser humano de qualquer forma ou sob qualquer pretexto (Art. 23, CEM).

 

Esse parece ser, inclusive, o típico exemplo que demonstra bem a forma da intersecção proposta neste trabalho. É possível conduzir a discriminação abusiva de pacientes sem a utilização de dados pessoais ou tratando estes. Imagine-se, a detestável e ilícita situação em que um médico, ao observar que o paciente é transgênero e sinaliza um diagnóstico infectuoso com base nesta condição durante consulta (primeiro caso). Imagine-se, a situação igualmente detestável em que algoritmo utilizado por unidade laboratorial aumenta o percentual de risco de doenças infecciosas de pacientes transgêneros, a partir do tratamento de dados pessoais destes (segundo caso). Na primeira situação, apenas incide o Direito Médico (discriminação fora do tratamento de dados pessoais. Na segunda situação, incidem os dois regimes aqui estudados (discriminação via utilização dos dados pessoais).

 

A confidencialidade e o sigilo nos parecem representar um capítulo à parte na identificação da intersecção e coincidência dos dois regimes. Isto, sobretudo, considerando que a própria lógica de proteção da privacidade do paciente tem origens históricas bem anteriores à própria preocupação de se proteger o uso dos dados pessoais em si mesmos.

Há aspectos comuns e aspectos distintos para se entender o que são a confidencialidade e o sigilo no âmbito do tratamento de dados pessoais envolvidos na relação médico-paciente e nas atividades coligadas a esta.

Comecemos pela distinção. Em relação ao sigilo, este parecer ter seu fundamento em algo muito maior do que a própria privacidade, a razão de ser de confiança desta privacidade. O sigilo profissional para o médico e extensível às demais atividades coligadas à relação estabelecida parece ter base no reconhecimento de que há um vínculo especial gerado na relação entre o médico e o paciente. Vínculo este forte o suficiente para inserir, de certa forma, o médico dentro do próprio espectro de privacidade e intimidade do paciente. Naturalmente, sob pena de violação, tal sigilo deve ser estendido às demais atividades que dão suporte à prática médica.

Em relação aos dados pessoais, todavia, aplica-se a lógica de confidencialidade, estando o sigilo, se pertinente, dentro do espectro de confidencialidade. Esta permite o acesso e uso dos dados pessoais sempre e por quem isto for necessário para desempenho das atividades consubstanciadas em finalidades legítimas. Não se trata da geração de um vínculo, propriamente, mas assegurar que os dados pessoais sejam tratados apenas e tão somente para as razões necessárias e justificáveis. A não confidencialidade ou a perda desta, assim, significa a desproteção de dados pessoais, pois estes seriam acessados, utilizados ou tratados de forma não protegida e sem suporte das finalidades legítimas estabelecidas.      

E aqui está, nos parece, a principal convergência entre os dois regimes neste aspecto. Toda vez que houver o uso dos dados pessoais em atividades inseridas no espectro do Direito Médico, a confidencialidade da Proteção de Dados Pessoais se impõe, ainda que não se trate do sigilo profissional propriamente. Nesse sentido, as já citadas RDCs da ANVISA bem exemplificam o tema.

O Direito da Proteção de Dados Pessoais, conforme previsto no Art. 14 da LGPD, impõe que qualquer tratamento de dados desse público seja realizado em observância ao seu "melhor interesse". Tal princípio funciona como um vetor interpretativo e normativo que deve orientar todas as decisões dos agentes de tratamento, especialmente do controlador. Para delimitar esse conceito, a Autoridade Nacional de Proteção de Dados (ANPD) remete, em Estudo Preliminar, ao Comentário Geral nº 14/2013 do Comitê dos Direitos da Criança da ONU, que reconhece o "melhor interesse" como uma noção tridimensional: (i) um direito substantivo, (ii) um princípio jurídico interpretativo e (iii) uma regra processual. Assim, qualquer decisão que afete crianças deve considerar esse parâmetro como prioritário, justificando de forma transparente os critérios usados e a ponderação feita entre esse interesse e outros fatores envolvidos.

O mesmo estudo da ANPD também faz referência ao Comentário Geral nº 25/2021 do Comitê, que atualiza a abordagem do "melhor interesse" no contexto digital. Dado que a internet e as tecnologias digitais não foram originalmente pensadas para crianças, mas hoje impactam profundamente suas vidas, os Estados e agentes privados devem garantir que o melhor interesse da criança seja sempre considerado de forma central nas decisões sobre design, gestão e regulação de ambientes digitais. Na prática, isso exige a priorização dos direitos do titular menor, desde a concepção do tratamento até sua execução, influenciando escolhas sobre a coleta de dados, finalidades, prazos e medidas de segurança adotadas.

Logo, uma vez que o paciente é criança (menor de 12 anos completos) ou adolescente (entre 12 anos completos e menor de 18 anos completos), aplica-se a necessidade de priorização dos seus interesses, não só pela condição de paciente, mas pela sua vulnerabilidade presumida. Inclusive, o próprio Estatuto da Criança e do Adolescente prevê essa lógica de ampla proteção.

Além dos deveres regulatórios e éticos específicos, a exemplo das RDCs citadas, a intersecção entre os regimes jurídicos de Direito da Proteção de Dados Pessoais e do Direito Médico, impõe à relação médico-paciente e à prática médica e aos serviços de saúde coligados, um dever geral de se adotar a governança em privacidade e proteção de dados pessoais. Incorpora, a exemplo do Art. 50 da LGPD, as chamadas boas práticas em privacidade e proteção de dados pessoais. São práticas que colocam e demonstram o vetor em direção da conformidade plena à legislação e aos direitos dos titulares de dados pessoais ou pacientes que são os tutelados primários do Direito. Enquanto uma má-prática é aquela que coloca e demonstra a atuação da organização em vetor contrário ao esperado.

Neste sentido, nas atividades envolvidas pelo Direito Médico, além das práticas específicas da regulação própria, tal dever geral de governança impõe a todos que tem acesso e tratam dados pessoais uma série de práticas.

Assim, de acordo com o perfil de cada atividade, são esperados, por exemplo: (i) a demonstração do rigor do compromisso institucional sobre o tema; (ii) a incorporação das rotinas de privacy by design, (iii) o mapeamento e conhecimento de todas as atividades que se valhem de dados pessoais (Art. 37, LGPD); (iv) a adoção dos mecanismos adequados de transparência (i.e. avisos de privacidade); (v) a realização das avaliações de risco adequadas (i.e. avaliações que considerem as classificações de risco para dispositivos médicos, conforme RDC da ANVISA nº 751/2022, ou então a condução de Relatórios de Impacto à Proteção de Dados para tratamentos de dados pessoais de alto risco); (vi) a adoção de Privacy-Enhance Technologies (constituem soluções tecnológicas que permitem a coleta e o tratamento de dados pessoais com proteção da confidencialidade e privacidade. Conforme definição, PETs são tecnologias que incorporam os princípios fundamentais de proteção de dados pessoais minimizando a coleta de dados, potencializando a segurança dos dados e emponderando os titulares de dados pessoais); (vii) o atendimento adequado dos pacientes também na perspectiva adequada destes como titulares de dados pessoais; (viii) a adequada gestão de terceiros; e (ix) a adoção de todas as práticas de segurança da informação.

 

Conclusão 

 

Em conclusão ao presente trabalho, nos parece ser possível afirmar que há um campo consistente de intersecção normativa entre os regimes dos Direitos da Proteção de Dados Pessoais e do Direito Médico, o que nos permite compreender, de forma mais integrada, as normas aplicáveis neste contexto. Essa intersecção não representa mera justaposição de áreas distintas, mas antes um espaço comum de aplicação normativa, no qual se materializam desafios, tensões e também complementaridades.

 

A imagem de um Diagrama de Venn mostra-se adequada para ilustrar tal cenário. Dois círculos, outrora concebidos como separados — cada um representando os respectivos regimes jurídicos —, passam a ter um espaço de interseção no qual convergem princípios, regras e preocupações práticas. Nesse espaço, a complexidade se amplia: a prática médica, por sua natureza eminentemente baseada na confiança, encontra-se diante de exigências adicionais impostas pela tutela contemporânea da autodeterminação informativa e pela disciplina legal do tratamento de dados pessoais.

 

O limite fático dessa intersecção pode ser claramente identificado no tratamento de dados pessoais realizado no âmbito da relação médico-paciente e em todas as atividades conexas, tais como registros eletrônicos de saúde, pesquisas clínicas, telemedicina e compartilhamento de informações com operadoras de planos de saúde ou órgãos reguladores. Sempre que tais dados — em especial os classificados como sensíveis — são objeto de coleta, armazenamento, utilização ou transmissão, ambos os regimes incidem simultaneamente, exigindo análise criteriosa da proporcionalidade, necessidade, finalidade e segurança.

 

Em termos de conteúdo, a coincidência normativa entre as duas áreas se explica por múltiplos fatores. Primeiramente, pela incidência de fundamentos e princípios jurídicos comuns, que embora partam de marcos normativos distintos, revelam forte convergência prática: a autonomia do paciente, a proteção da dignidade da pessoa humana e a garantia da autodeterminação informativa. Em segundo lugar, pela centralidade do sigilo profissional e da confidencialidade, que funcionam como pilares tanto da ética médica quanto da governança em privacidade. Acresce-se a isso a dimensão protetiva que envolve grupos vulneráveis, como crianças e adolescentes, em que o princípio do melhor interesse se torna vetor determinante na gestão dos dados de saúde. Por fim, destaca-se a importância da estruturação de mecanismos formais de governança em privacidade, que não apenas reforçam a segurança jurídica, mas também garantem a prestação de contas (accountability) perante autoridades regulatórias, pacientes e demais stakeholders.

 

Assim, conclui-se que a intersecção entre o Direito Médico e o Direito da Proteção de Dados não deve ser vista como um campo de conflito normativo, mas como uma zona de complementaridade e reforço recíproco. Nesse espaço, princípios éticos tradicionais da prática médica ganham nova densidade normativa, ao passo que a disciplina da proteção de dados encontra aplicação concreta em um dos cenários mais sensíveis e desafiadores de toda a sociedade contemporânea: a tutela da saúde. O estudo desta intersecção revela-se, portanto, indispensável não apenas para a adequada interpretação dos regimes jurídicos envolvidos, mas também para a construção de práticas institucionais e profissionais que conciliem técnica, ética e direito em benefício do paciente e da coletividade.

 

Referências bibliográficas

 

ANPD. Estudo Preliminar sobre as hipóteses legais aplicáveis ao tratamento de dados pessoais de crianças e adolescentes. Brasília, 2021. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-divulga-estudo-preliminar-sobre-tratamento-de-dados-de-criancas-e-adolescentes. Acesso em: 21.06.2025.

ANVISA. Resolução RDC nº 63, de 25 de novembro de 2011. Estabelece requisitos de boas práticas para funcionamento de serviços de saúde. Diário Oficial da União: seção 1,, 25 nov. 2011.

______. Resolução RDC nº 275, de 9 de abril de 2019. Requisitos de boas práticas para serviços de radiologia. DOU, 9 abr. 2019.

______. Resolução RDC nº 302, de 13 de outubro de 2005. Regulamento técnico para funcionamento de laboratórios clínicos. DOU, 13 out. 2005.
______. Resolução RDC nº 751, de 15 de setembro de 2022. Dispõe sobre a classificação de risco, os regimes de notificação, cadastro e registro de dispositivos médicos, e dá outras providências. Diário Oficial da União: seção 1, Brasília, 19 set. 2022.

BOBBIO, Norberto. Teoria do Ordenamento Jurídico, trad. de Ari Marcelo Solon, São Paulo : Edipro, 2011.

BRASIL. Lei nº 8.069, de 13 de julho de 1990. Dispõe sobre o Estatuto da Criança e do Adolescente e dá outras providências. Disponível em: http://www.planalto.gov.br/ccivil_03/leis/l8069.htm. Acesso em: 21.06.2025.

______. Lei Federal n° 13.709/2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm Acesso em 21.06.2025.

COMITÊ DOS DIREITOS DA CRIANÇA (ONU). Comentário Geral nº 14 (2013): Sobre o direito da criança que o seu interesse superior seja uma consideração primária. Genebra, 2013. Disponível em: https://www.acnur.org/portugues/wp-content/uploads/2021/10/CRC-C-GC-14_Portugues.pdf. Acesso em 21.06.2025.

______. Comentário Geral nº 25 (2021): sobre os direitos das crianças em relação ao ambiente digital. Genebra, 2021. Disponível em: https://www.ohchr.org/en/documents/general-comments-and-recommendations/crcgc25-general-comment-no-25-2021-childrens-rights. Acesso em 21.06.2025.

CONSELHO FEDERAL DE MEDICINA. Resolução nº 2.314/2022. Disponível em: https://sistemas.cfm.org.br/normas/visualizar/resolucoes/BR/2022/2314 Acesso em 15.06.2025.

DÖHMANN, Indra Spieker gen [et. al]. General Data Protection Regulation: Article-by-Article Commentary, Nomos verlagsgesellschaft mbH & Co. KG : Baden-Baden, 2023.

DONEDA, Danilo. Da Privacidade à Proteção de Dados Pessoais, 2. Ed. rev. e atual., São Paulo : Thomson Reuters. 2020, Versão Eletrônica.

ICO. Privacy-enhancing Technologies (PETs). Disponível em: https://ico.org.uk/media/about-the-ico/consultations/4021464/chapter-5-anonymisation-pets.pdf Acesso 21.06.2025.

LIMA, Brunela Machado; SIMONELLI, Oswaldo Pires Garcia. O Direito Médico além da ótima da responsabilidade civil – uma abordagem do pilar bioético In Revista Humanidades & Inovação, 2022.

 

MINISTÉRIO DA SAÚDE.  Portaria GM/MS nº 3.232/2024. Disponível em: https://bvsms.saude.gov.br/bvs/saudelegis/gm/2024/prt3232_04_03_2024.html Acesso em: 15.06.2025.

SIMONELLI, Oswaldo. Direito médico, 2. Ed., rev., atual. e ref., Rio de Janeiro : Forense, 2024.

TAMER, Maurício. Manual de Direito da Proteção de Dados Pessoais, São Paulo : Saraiva Jur, 2025.