Residência de dados no Brasil: onde seus laudos e áudios realmente moram
Sob a LGPD, dados de imagem, laudo e áudio ditado são dados pessoais sensíveis de saúde. Entender onde eles são processados e armazenados deixou de ser detalhe de infraestrutura e virou obrigação de governança para hospitais e clínicas.
- Imagem, laudo e áudio ditado são dados pessoais sensíveis de saúde sob a LGPD, com nível de proteção mais alto que dados comuns.
- Residência, soberania e localização de dados são conceitos distintos: precisam ser respondidos separadamente antes de contratar qualquer sistema.
- A Resolução CD/ANPD nº 19/2024 estruturou a transferência internacional com cláusulas-padrão contratuais, e a ANPD ainda não reconheceu nenhum país como adequado.
- Processar áudio ou imagem sem persistir o dado (processamento efêmero) reduz de forma expressiva a superfície de risco, mas precisa ser verificável, não apenas prometido.
- A localização do processamento importa tanto quanto a do armazenamento: onde o dado é decifrado é onde ele fica exposto.
Onde o dado mora deixou de ser detalhe de infraestrutura
Quando um radiologista dita um laudo, algo acontece com aquele áudio em milissegundos: ele viaja, é transcrito, cruza com o texto do estudo e volta como rascunho na tela. A pergunta que quase ninguém fazia há cinco anos, por onde esse áudio passou e onde ele parou, hoje é uma das primeiras que um encarregado de dados, um comprador hospitalar ou um auditor coloca na mesa. E com razão. Não se trata de paranoia tecnológica, e sim de uma consequência direta do que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) classifica como dado pessoal sensível.
Onde o dado é decifrado é onde ele fica exposto, e essa localização raramente coincide com o endereço do contrato.
Na nossa experiência conversando com gestores de serviços de radiologia, a confusão começa cedo: mistura-se armazenamento com processamento, nuvem com país, contrato com controle real. São coisas diferentes, e tratá-las como sinônimos leva a decisões erradas de compra e a lacunas de conformidade que só aparecem quando há um incidente. Este texto tenta separar esses conceitos com o cuidado técnico que o tema merece, sem alarmismo e sem vender medo.
Residência, soberania e localização: três perguntas, não uma
Residência de dados responde a uma pergunta física: em que região geográfica os dados ficam armazenados em repouso. Soberania de dados é uma pergunta jurídica: a que ordenamento legal aqueles dados estão submetidos, o que inclui a possibilidade de um governo estrangeiro requisitá-los sob suas próprias leis, independentemente de onde o servidor esteja. Localização do processamento é uma terceira pergunta, muitas vezes esquecida: onde o dado é efetivamente decifrado e manipulado em memória, ainda que por frações de segundo.
Essas três dimensões não andam necessariamente juntas. Um dado pode estar armazenado em um data center em São Paulo (residência no Brasil), mas ser processado por um serviço cuja computação ocorre em outro país, ou estar sujeito à jurisdição de uma matriz estrangeira (questão de soberania). Para a radiologia, onde o conteúdo é clínico e identificável, essas distinções deixam de ser acadêmicas. Cada uma exige uma resposta contratual e técnica própria, e um fornecedor sério consegue respondê-las separadamente, sem hesitar.
O laudo e o áudio são dados sensíveis, e a lei trata assim
A LGPD, no artigo 5º, inciso II, classifica o dado referente à saúde como dado pessoal sensível, e o artigo 11 impõe hipóteses de tratamento mais restritas e um dever de cuidado reforçado. Na radiologia, o dado sensível não se resume ao nome e ao CPF do paciente. A imagem é identificável e, em muitos casos, carrega traços biométricos; o laudo reúne hipóteses diagnósticas, histórico, achados incidentais e decisões clínicas; e o áudio ditado frequentemente contém, além do conteúdo do laudo, comentários, o nome do paciente falado em voz alta e um contexto que, fora do ambiente clínico, vira exposição pura.
O áudio ditado não é metadado descartável: é dado sensível de saúde com nome, hipótese e contexto embutidos.
Isso muda o patamar da conversa. Não estamos falando de proteger um cadastro de e-mail, e sim de informação cuja divulgação indevida pode afetar emprego, seguro, relações familiares e a própria dignidade do paciente. É por esse motivo que a arquitetura de quem processa esses dados precisa ser desenhada assumindo o pior cenário desde o começo, e não remendada depois.
Transferência internacional: o que a Resolução 19/2024 organizou
Os artigos 33 a 36 da LGPD sempre disciplinaram a transferência internacional de dados pessoais, mas por anos faltou o detalhamento operacional. Ele chegou com a Resolução CD/ANPD nº 19/2024, o Regulamento de Transferência Internacional de Dados, que estruturou os mecanismos disponíveis: decisões de adequação, cláusulas-padrão contratuais definidas pela própria ANPD, cláusulas contratuais específicas e normas corporativas globais. O regulamento também previu um período de adequação, encerrado por volta de agosto de 2025, para a incorporação das cláusulas-padrão aos contratos vigentes.
Dois pontos merecem atenção de quem contrata sistemas de radiologia. Primeiro: até o momento, a ANPD não emitiu nenhuma decisão de adequação reconhecendo país ou organização com nível de proteção equivalente ao brasileiro. Na prática, isso significa que transferências internacionais hoje se apoiam em cláusulas-padrão contratuais ou mecanismos equivalentes, e não em um selo de adequação. Segundo: a existência de uma cláusula contratual não elimina a exposição à soberania estrangeira; ela cria garantia jurídica, mas o dado, uma vez fora do país, passa a conviver com o ordenamento do destino. Reduzir a necessidade de transferência é, quase sempre, mais simples do que blindá-la depois.
Processar sem armazenar: o caso da transcrição de áudio
Há uma diferença enorme, do ponto de vista de risco, entre um sistema que guarda cada áudio ditado e um que transcreve o áudio e o descarta imediatamente, sem persistência. No primeiro caso, você acumula um repositório de dados sensíveis de saúde que precisa ser criptografado, controlado, auditado e, um dia, respondido em caso de incidente. No segundo, o processamento é efêmero: o áudio existe apenas o tempo necessário para virar texto e desaparece, restando somente o laudo que o médico revisa e assina.
O dado que não é armazenado não precisa ser protegido, auditado nem respondido em um incidente, ele simplesmente não existe.
O processamento efêmero é uma das formas mais honestas de reduzir a superfície de exposição, porque o dado que não existe não vaza. Mas há um porém que sempre repito aos gestores: promessa de não armazenamento precisa ser verificável. Peça a descrição do fluxo, os prazos de retenção declarados, a política de logs, que devem registrar o acesso sem reproduzir o conteúdo sensível, e, idealmente, evidência de auditoria. Confiança em governança de dados se constrói com verificação, não com adjetivos em folheto.
Criptografia e controle de acesso: o mínimo técnico não negociável
A LGPD exige medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações de destruição, perda, alteração ou difusão. Na prática radiológica, isso se traduz em criptografia em trânsito, o áudio e a imagem viajando entre o dispositivo, o servidor e o serviço de processamento, e em criptografia em repouso, que importa especialmente em bancos de dados, arquivos de imagem, backups e ambientes de virtualização.
Mas criptografia sem gestão de chaves é meia proteção. O que diferencia uma arquitetura madura é quem detém e rotaciona as chaves, quão granular é o controle de acesso e se cada acesso deixa rastro. Aqui vale lembrar o óbvio que costuma ser negligenciado: o dado precisa ser decifrado em algum ponto para ser processado, e esse ponto de decifração é o momento de maior exposição. Por isso a localização do processamento, e não só a do armazenamento, é uma pergunta de segurança, não de burocracia.
Um checklist para quem contrata
Antes de assinar contrato com qualquer sistema que toque áudio, imagem ou laudo, vale percorrer uma lista objetiva. Ela não substitui a análise do encarregado de dados nem parecer jurídico, mas evita as omissões mais comuns que vemos na prática.
- Em que país e região os dados ficam armazenados em repouso, e se isso está escrito no contrato, não apenas em conversa comercial.
- Se há transferência internacional em algum ponto do fluxo, ainda que só no processamento, e sob qual mecanismo da Resolução CD/ANPD nº 19/2024 ela se apoia.
- Onde o áudio e a imagem são efetivamente processados e decifrados, e se o áudio é descartado após a transcrição ou persistido.
- Como funcionam criptografia em trânsito, criptografia em repouso e gestão de chaves, incluindo quem controla essas chaves.
- Que logs de acesso existem, se são auditáveis e se registram o acesso sem reproduzir o conteúdo clínico sensível.
- Qual a política de retenção e de eliminação, e como titular e controlador exercem seus direitos sobre esses dados.
- A que jurisdição a empresa fornecedora está submetida, considerando matriz e subprocessadores.
O que fica com o médico, e o que fica com a máquina
Nenhuma discussão de residência de dados substitui o princípio que rege o exercício da radiologia: o software processa, sugere e organiza, mas o médico revisa, decide e assina. A Resolução CFM nº 2.454/2026 reforça a centralidade da supervisão humana significativa no uso de tecnologias de apoio, e isso vale também para a camada de dados, o profissional e a instituição permanecem responsáveis por saber onde a informação do seu paciente trafega e repousa.
O software assiste; o médico decide e assina, e a instituição responde por onde o dado do paciente mora.
É esse o espírito com que construímos a Laudos.AI: transcrição e estruturação que assistem o radiologista, com processamento desenhado para minimizar a retenção de dado sensível e com respostas claras sobre residência e fluxo, porque essas perguntas devem ter resposta, não evasiva. Governança de dados em radiologia não é obstáculo à inovação; é a condição para que a inovação seja confiável. Saber onde os laudos e os áudios realmente moram é, no fim, uma forma de respeito pelo paciente que confiou a você a imagem mais íntima que existe: a de dentro do próprio corpo.
Perguntas frequentes
Sim. A LGPD, no artigo 5º, inciso II, classifica o dado referente à saúde como dado pessoal sensível. Na radiologia, isso abrange a imagem, o laudo com hipóteses e achados, e o áudio ditado, que costuma conter o nome do paciente e o contexto clínico. O tratamento desses dados exige nível de proteção mais alto e hipóteses legais mais restritas, previstas no artigo 11.
A LGPD não proíbe de forma genérica o armazenamento fora do país, mas disciplina a transferência internacional nos artigos 33 a 36, detalhados pela Resolução CD/ANPD nº 19/2024. Como a ANPD ainda não reconheceu nenhum país como adequado, as transferências se apoiam em cláusulas-padrão contratuais ou mecanismos equivalentes. Manter os dados no Brasil simplifica a conformidade e reduz a exposição à soberania estrangeira, mas o essencial é ter respostas claras e contratuais sobre residência, processamento e jurisdição.
Residência é onde o dado fica armazenado em repouso. Soberania é a que ordenamento jurídico ele está submetido, incluindo requisições de governos estrangeiros. Localização do processamento é onde o dado é efetivamente decifrado e manipulado. As três podem não coincidir, e cada uma exige resposta própria antes de contratar um sistema.
Do ponto de vista de risco, sim: o processamento efêmero, em que o áudio é transcrito e descartado sem persistência, reduz de forma expressiva a superfície de exposição, porque o dado que não existe não pode vazar. O ponto crítico é que a promessa de não armazenamento seja verificável, com descrição de fluxo, políticas de retenção declaradas e evidência de auditoria, e não apenas uma afirmação comercial.
Não. Criptografia em trânsito e em repouso é o mínimo técnico, mas precisa vir acompanhada de gestão de chaves, controle de acesso granular e logs auditáveis. Além disso, o dado precisa ser decifrado em algum ponto para ser processado, e esse ponto de decifração é o momento de maior exposição, o que torna a localização do processamento uma questão de segurança, não apenas de conformidade documental.
Referências
- Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), arts. 5º, 11 e 33 a 36 · Presidência da República do Brasil
- Resolução CD/ANPD nº 19, de 23 de agosto de 2024, Regulamento de Transferência Internacional de Dados · Autoridade Nacional de Proteção de Dados (ANPD)
- Página oficial sobre Transferência Internacional de Dados e cláusulas-padrão contratuais · ANPD / Portal Gov.br
- Fim do período de adequação da Resolução CD/ANPD nº 19/2024: incorporação das cláusulas-padrão contratuais (2025) · Mayer Brown, Insights
- Resolução CFM nº 2.454/2026, uso de inteligência artificial e supervisão humana na prática médica · Conselho Federal de Medicina (CFM)
- ACR Practice Parameters e princípios de segurança e privacidade em imagem médica · American College of Radiology (ACR)
As referências apontam para diretrizes, sociedades e literatura consultadas. Este conteúdo é informativo e não substitui julgamento clínico ou aconselhamento jurídico.