Pela LGPD, você não é exatamente "dono" dos seus dados de saúde, mas é o titular deles, e isso lhe dá direitos concretos: saber se estão sendo tratados, acessá-los, corrigi-los e pedir informações sobre com quem foram compartilhados. O prontuário fica sob guarda do médico ou do serviço de saúde, e o paciente tem direito de acesso a ele. Esta matéria é informativa e não substitui orientação jurídica.

O que a LGPD considera dado de saúde

A Lei Geral de Proteção de Dados (Lei 13.709/2018) define dado pessoal como informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). Dado pessoal sensível inclui o "dado referente à saúde", além de origem racial, religião, dado genético ou biométrico, entre outros, quando vinculado a uma pessoa (art. 5º, II). O titular é a pessoa a quem os dados se referem (inciso V). O controlador é quem decide sobre o tratamento (VI), e o operador trata os dados em nome dele (VII).

Para dados sensíveis, o art. 11 só admite o tratamento em hipóteses específicas: com consentimento "de forma específica e destacada, para finalidades específicas" ou, sem consentimento, quando indispensável para, por exemplo, a tutela da saúde em procedimento feito por profissionais de saúde.

Dois limites protegem o paciente. O § 4º veda a comunicação ou o compartilhamento de dados de saúde entre controladores com o objetivo de obter vantagem econômica, salvo exceções como a prestação de serviços de saúde e a portabilidade solicitada pelo titular. O § 5º proíbe as operadoras de planos de saúde de usar dados de saúde para selecionar riscos na contratação e na exclusão de beneficiários.

Seus direitos como titular

O art. 18 garante, a qualquer momento e mediante requisição, entre outros:

  • confirmação de que existe tratamento dos seus dados;
  • acesso aos dados;
  • correção de dados incompletos, inexatos ou desatualizados;
  • anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
  • portabilidade a outro fornecedor, mediante requisição expressa;
  • eliminação dos dados tratados com base no consentimento;
  • informação sobre as entidades com as quais os dados foram compartilhados;
  • informação sobre a possibilidade de não consentir, e revogação do consentimento.

O atendimento ao pedido, segundo o § 5º do art. 18, é sem custos, nos prazos e termos do regulamento. O art. 19 diz que a confirmação de existência ou o acesso são dados em formato simplificado, imediatamente, ou em declaração completa em até 15 dias contados do requerimento. Você pode pedir cópia eletrônica integral dos seus dados pessoais.

Esses direitos não são absolutos. Por exemplo, a ANPD (Autoridade Nacional de Proteção de Dados) lembra, na página do serviço de petições, que um pedido de exclusão pode ser negado se o controlador tiver obrigação legal de guardar o dado. É o raciocínio que se aplica a um prontuário dentro do prazo mínimo de guarda (leitura da Redação, não da ANPD).

Prontuário: o que é, quem guarda e por quanto tempo

A Resolução CFM 1.638/2002 define prontuário médico como o documento único, formado por informações, sinais e imagens registradas sobre a saúde do paciente e a assistência prestada, de caráter legal, sigiloso e científico. Segundo a resolução, cabe à instituição de saúde e/ou ao médico o dever de guarda.

A Lei 13.787/2018 trata da digitalização e do armazenamento eletrônico. Em resumo:

  • a digitalização deve garantir integridade, autenticidade e confidencialidade, com certificado ICP-Brasil ou outro padrão legalmente aceito;
  • os originais em papel só podem ser eliminados depois de análise por comissão permanente;
  • o armazenamento deve proteger contra acesso, uso, alteração, reprodução e destruição não autorizados;
  • prontuários em papel e digitais podem ser eliminados após, no mínimo, 20 anos do último registro, salvo prazos diferentes definidos em regulamento;
  • em vez de eliminar, o prontuário pode ser devolvido ao paciente.

Como pedir o seu prontuário

O Código de Ética Médica (Resolução CFM 2.217/2018) veda ao médico negar ao paciente, ou ao seu representante legal quando ele não puder, o acesso ao prontuário, deixar de fornecer cópia quando solicitada e deixar de dar as explicações necessárias para compreendê-lo, salvo quando isso trouxer riscos ao próprio paciente ou a terceiros (art. 88). O art. 89 limita a liberação de cópias a terceiros: só por ordem judicial, para a defesa do próprio médico ou com autorização escrita do paciente. E o art. 73 mantém o sigilo sobre fatos conhecidos pela profissão, com exceções como motivo justo, dever legal ou consentimento escrito.

Na prática: faça o pedido por escrito ao médico, à clínica ou ao hospital, guarde o protocolo e peça também as explicações sobre o conteúdo. Se o pedido for negado, o art. 88 do Código de Ética e o direito de acesso da LGPD são o ponto de partida para a reclamação. Não localizamos uma fonte oficial sobre prazo e custo de cópia que pudéssemos citar, então confirme com o serviço.

Meu SUS Digital e a RNDS

A Rede Nacional de Dados em Saúde (RNDS) é a plataforma de interoperabilidade do Ministério da Saúde, que conecta sistemas públicos e privados. Segundo a página do ministério, o Meu SUS Digital é o aplicativo do cidadão e permite ver o próprio histórico, como atendimentos, vacinas e medicamentos, de instituições integradas à RNDS. O que aparece depende de cada serviço enviar seus dados.

O Decreto 12.560, de 23 de julho de 2025, regulamenta a RNDS e as plataformas SUS Digital. Pelo decreto:

  • os dados da RNDS só podem ser tratados para assistência, vigilância, gestão e pesquisa em saúde e execução de políticas públicas, e "quaisquer outros fins" são vedados (art. 3º, §§ 2º e 3º);
  • é preciso observar a LGPD e garantir o pleno exercício dos direitos dos titulares (art. 2º);
  • o acesso por profissionais e estabelecimentos é restrito e ligado ao contexto de atendimento (art. 17, parágrafo único);
  • o Ministério da Saúde deve definir, em ato próprio, os procedimentos para atender solicitações de titulares (art. 8º).

Se faltar informação no app, não conseguimos dizer a causa: pode ser que o serviço ainda não esteja integrado. Pergunte ao serviço onde você foi atendido.

Se o pedido não for atendido

A ANPD orienta que o pedido seja feito primeiro ao controlador, o responsável pelos dados. Se ele não atender ou a resposta for insatisfatória, o titular pode registrar uma petição de titular pelo serviço do gov.br, que é gratuito e exige conta gov.br de nível prata ou ouro. É preciso comprovar a tentativa prévia com o controlador, então guarde e-mails, protocolos e capturas de tela. A página do serviço informa o prazo de até 30 dias úteis, sem esclarecer a quem ele se refere.

Para saber quais perguntas levar à consulta sobre dados e tecnologia, veja o guia de perguntas sobre novas tecnologias de saúde. Se você usa teleconsulta, leia sobre telemedicina no Brasil.

Perguntas frequentes

Sou dono dos meus dados de saúde?

A LGPD não usa a palavra "dono", e sim "titular". Como titular, você tem direitos como acesso, correção e informação sobre compartilhamento, mas o controlador pode ter obrigações legais de guardar certos dados.

Posso pedir cópia do meu prontuário?

Sim. O art. 88 do Código de Ética Médica veda ao médico negar o acesso e deixar de fornecer a cópia solicitada, salvo risco ao paciente ou a terceiros.

Por quanto tempo o prontuário é guardado?

A Lei 13.787/2018 permite eliminar prontuários em papel ou digitais após, no mínimo, 20 anos do último registro, salvo prazos diferentes definidos em regulamento. A lei também prevê a devolução ao paciente.

O Meu SUS Digital mostra todo o meu histórico?

Mostra o que os serviços integrados à RNDS enviaram, como atendimentos, vacinas e medicamentos. Pode haver lacunas se o serviço ainda não enviar os dados.

O que fazer se a clínica não responder ao meu pedido?

Guarde as provas do pedido e, se não houver atendimento, registre uma petição de titular na ANPD pelo gov.br. Antes, é preciso ter tentado resolver com o controlador.

Fontes