Tempo de leitura: 9 min · Publicado em 05/09/2026
Em regra, sim: se o hospital ou a clínica não adotou as medidas de segurança exigidas para dados de saúde e isso resultou no vazamento do seu prontuário eletrônico, você tem direito a ser indenizado pelos danos morais e materiais decorrentes — a Lei Geral de Proteção de Dados (LGPD) trata dado de saúde como dado pessoal sensível, sujeito a proteção reforçada, e responsabiliza objetivamente o hospital ou a clínica (como controlador dos dados) sempre que o vazamento decorrer de falha na segurança da informação que deveria ter sido adotada.
Por que o prontuário eletrônico recebe proteção reforçada
O art. 5º, II, da LGPD classifica dado referente à saúde como dado pessoal sensível, ao lado de dados sobre origem racial, convicção religiosa e orientação sexual, entre outros. Essa classificação não é apenas simbólica: o art. 11 da lei impõe condições mais rígidas para o tratamento desse tipo de dado, e sua exposição indevida tende a gerar dano moral presumido com mais facilidade do que o vazamento de um dado comum, justamente pelo potencial de constrangimento, discriminação (por exemplo, no mercado de trabalho ou na contratação de seguros) e violação da intimidade que uma informação de saúde carrega.
Hospitais, clínicas, laboratórios e operadoras de plano de saúde assumem, nessa relação, o papel de controladores dos dados — são eles que decidem como e para que o prontuário eletrônico é usado e armazenado — e, por isso, respondem diretamente por falhas de segurança no ambiente que administram, mesmo quando o sistema de prontuário é fornecido por uma empresa terceirizada de software.
Quando a instituição de saúde responde pelo vazamento
A responsabilidade não nasce automaticamente de qualquer incidente de segurança — ela depende da existência de uma falha relacionada ao tratamento inadequado dos dados. Os sinais mais comuns de falha que reforçam o direito à indenização incluem: senhas fracas ou compartilhadas entre funcionários para acessar o sistema de prontuários; ausência de log de acesso que permita identificar quem consultou determinado prontuário e quando; servidores desatualizados ou vulneráveis a ataques já conhecidos; terceirização do armazenamento de dados sem contrato que exija da empresa de tecnologia o mesmo padrão de segurança da LGPD; e demora injustificada em comunicar o incidente aos pacientes afetados e à Autoridade Nacional de Proteção de Dados (ANPD).
A ANPD já demonstrou, em fiscalizações recentes envolvendo redes de hospitais, que a exposição de centenas de milhares de prontuários por falha de segurança pode resultar em processo administrativo sancionador, com possibilidade de advertência pública, exigência de eliminação de dados irregularmente tratados e multa que pode chegar a 2% do faturamento da instituição, limitada a R$ 50 milhões por infração, conforme o art. 52 da LGPD.
Responsabilidade civil: o que muda em relação a um vazamento de dado comum
O art. 42 da LGPD estabelece que o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar dano a outrem é obrigado a repará-lo. Tratando-se de dado sensível de saúde, a jurisprudência tem reconhecido com mais facilidade a existência de dano moral in re ipsa (presumido, que não exige prova de prejuízo concreto), justamente porque a exposição de diagnósticos, tratamentos, exames ou histórico de saúde atinge diretamente a intimidade e pode gerar consequências práticas graves, como constrangimento social, discriminação em processos seletivos e dificuldade na contratação futura de seguros de vida ou planos de saúde.
Isso não significa que o hospital responde por qualquer intercorrência: se o vazamento decorreu de invasão sofisticada mesmo diante de medidas de segurança adequadas e atualizadas ao estado da técnica, ou se o próprio paciente compartilhou seus dados de forma inadequada com terceiros, a instituição pode demonstrar ausência de nexo causal ou de falha do serviço.
O papel da empresa de tecnologia que administra o sistema de prontuário
Quando o hospital contrata uma empresa terceirizada (operadora, no vocabulário da LGPD) para hospedar ou administrar o sistema de prontuário eletrônico, essa divisão de papéis não isenta a instituição de saúde de responsabilidade perante o paciente — pelo contrário, o art. 42, §1º, da LGPD prevê a possibilidade de responsabilização solidária entre controlador e operador quando ambos contribuem para o dano, cabendo ao paciente cobrar de qualquer um dos dois (e a eles, depois, discutir entre si o eventual direito de regresso).
O que a ANPD pode fazer contra o hospital ou a clínica
Além da ação individual movida pelo paciente lesado, a instituição de saúde também se sujeita à fiscalização administrativa da ANPD, que pode agir de ofício ou a partir de denúncias. Em casos de exposição de grande volume de prontuários, a autoridade costuma abrir processo administrativo sancionador, no qual a instituição é intimada a apresentar sua estrutura de segurança da informação, o histórico de treinamento de funcionários, os contratos com fornecedores de tecnologia e o plano de resposta a incidentes. Ao final, as sanções previstas no art. 52 da LGPD vão desde advertência com prazo para adoção de medidas corretivas até multa simples ou diária, podendo alcançar 2% do faturamento do grupo econômico no Brasil no último exercício, limitada a R$ 50 milhões por infração, além da possível determinação de eliminação dos dados pessoais tratados irregularmente.
É importante entender que o processo administrativo perante a ANPD e a ação de indenização movida individualmente pelo paciente correm em esferas distintas e não se substituem: a sanção administrativa beneficia a coletividade e o sistema de proteção de dados como um todo, enquanto a indenização individual repara o dano concreto sofrido por cada paciente exposto.
O que fazer se seu prontuário foi exposto
Diante da notícia ou da suspeita de vazamento, alguns passos ajudam a preservar seus direitos: solicite por escrito à instituição de saúde a confirmação do incidente e quais dados especificamente foram expostos; peça a cópia da comunicação que a instituição fez (ou deveria ter feito) à ANPD sobre o incidente, conforme exige o art. 48 da LGPD; documente eventuais consequências práticas já sofridas, como negativa de seguro, comentários constrangedores de terceiros ou uso indevido da informação; e registre reclamação formal junto ao canal de atendimento ao titular de dados da instituição, que é obrigada a manter esse canal disponível.
Perguntas frequentes
Preciso provar um prejuízo financeiro para ser indenizado por vazamento de prontuário?
Em regra, não. Por se tratar de dado sensível de saúde, os tribunais têm reconhecido o dano moral de forma presumida (in re ipsa) apenas pela exposição indevida da informação, sem exigir prova de um prejuízo financeiro específico, embora provas de consequências concretas (como discriminação ou constrangimento) possam aumentar o valor da indenização.
O hospital pode alegar que a culpa foi do hacker e por isso não deve indenizar?
Somente se demonstrar que adotava todas as medidas de segurança exigidas e atualizadas ao estado da técnica, e que o ataque foi de sofisticação tal que nenhuma medida razoável o teria evitado. Como a lei impõe ao controlador o ônus de comprovar essa diligência, na prática essa defesa costuma exigir documentação técnica robusta sobre a estrutura de segurança adotada antes do incidente.
A clínica é obrigada a me avisar se meu prontuário vazou?
Sim. O art. 48 da LGPD exige que o controlador comunique à ANPD e ao titular dos dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável, com informações sobre a natureza dos dados afetados, as medidas técnicas adotadas para proteção e os riscos relacionados ao incidente.
Posso pedir que meus dados de saúde sejam apagados dos sistemas da clínica depois do vazamento?
Você pode solicitar a eliminação dos dados desnecessários, excessivos ou tratados em desconformidade com a LGPD, mas hospitais e clínicas têm obrigação legal de manter prontuários por prazos mínimos definidos por normas do Conselho Federal de Medicina e da vigilância sanitária, o que pode limitar a eliminação imediata de todo o histórico clínico.
Funcionário do hospital que acessou meu prontuário sem motivo profissional também pode ser responsabilizado?
Sim, o acesso indevido ao prontuário por funcionário sem finalidade profissional legítima configura, em tese, tanto infração à LGPD quanto possível violação de sigilo profissional e da intimidade do paciente, podendo gerar responsabilização pessoal do funcionário além da responsabilidade objetiva da instituição pela falha de controle de acesso.
Quanto tempo tenho para processar o hospital por vazamento de dados de saúde?
O prazo prescricional para ações de reparação civil é, em regra, de três anos, contados a partir do conhecimento do dano e de sua autoria, nos termos do art. 206, §3º, V, do Código Civil — mas o ideal é buscar orientação assim que o vazamento for identificado, para não perder provas e prazos administrativos relacionados à reclamação junto à ANPD.
Buscar orientação jurídica rapidamente preserva provas e prazos
Vazamentos de dados de saúde tendem a gerar rastros que se perdem com o tempo — logs de acesso são sobrescritos, comunicações da instituição podem não ser formalmente arquivadas pelo próprio paciente, e a chance de identificar precisamente a extensão do vazamento diminui. Reunir a documentação disponível e buscar orientação jurídica logo após a descoberta do incidente aumenta as chances de uma reparação integral pelos danos sofridos.
