Consentimento para o tratamento de dados de saúde
Em poucas palavras
É a manifestação de vontade pela qual uma pessoa autoriza que seus dados de saúde sejam coletados, usados ou compartilhados para finalidades determinadas. O RGPD e a LGPD exigem dele requisitos mais rigorosos que para outros dados: ser explícito, no RGPD, ou específico e destacado, na LGPD. Mas não é a única base legal: o RGPD, a HIPAA e a LGPD preveem bases próprias para a assistência sem consentimento.
- Tipo
- Conceito
- Responsável
- Sem responsável único: conceito ou tecnologia genérica
- Revisado
- 25 de outubro de 2026
Explicação
O que é
Em proteção de dados, o consentimento é uma base legal para tratar dados pessoais. No RGPD, é uma manifestação de vontade livre, específica, informada e explícita, mediante declaração ou ato positivo inequívoco (art. 4.º, ponto 11). Não deve ser confundido com:
- O consentimento informado assistencial, que autoriza um procedimento clínico.
- A gestão do consentimento, a prática e a tecnologia que registram e aplicam essas decisões.
Requisitos por jurisdição
| Jurisdição | Quando se pede | Requisitos e alternativas |
|---|---|---|
| União Europeia (RGPD) | Uma das exceções do art. 9.º, n.º 2 (alínea a) | Explícito e para finalidades específicas; revogável a qualquer momento (art. 7.º, n.º 3); o responsável deve poder demonstrá-lo (art. 7.º, n.º 1). Há outras bases, como a assistência à saúde (alínea h) |
| Estados Unidos (HIPAA) | Autorização para usos fora de tratamento, pagamento e operações (§ 164.508) | Não é exigido para tratamento, pagamento e operações; pedir consentimento é opcional (§ 164.506) |
| Brasil (LGPD) | Art. 11, I | Específico e destacado, para finalidades específicas; o art. 11, II, enumera hipóteses sem consentimento, como a tutela da saúde |
| Canadá (PIPEDA) | Princípio 3 do anexo 1 | Conhecimento e consentimento, salvo quando inadequado; o OPC publicou diretrizes com sete princípios orientadores para um consentimento significativo |
| Argentina (Lei 25.326) | Art. 7 | Ninguém pode ser obrigado a fornecer dados sensíveis; o art. 8 permite que estabelecimentos e profissionais de saúde tratem os dados de seus pacientes |
Aceitar ou se opor
Algumas normas não pedem consentimento, mas dão direito de oposição. O Espaço Europeu de Dados de Saúde permite que os Estados-Membros prevejam uma oposição ao acesso para utilização primária (art. 10.º) e dá às pessoas o direito de se opor à utilização secundária a qualquer momento e sem justificar (art. 71.º).
Equívocos comuns
- Achar que o consentimento é sempre a base adequada. No RGPD pode ser retirado a qualquer momento (art. 7.º, n.º 3), e o art. 9.º, n.º 2, oferece outras bases para a assistência e a saúde pública.
- Achar que sem consentimento não se pode atender. O RGPD, a HIPAA e a LGPD preveem bases para a assistência.
- Confundir oposição com consentimento. Na utilização secundária do EEDS, o silêncio não equivale a uma recusa; e mesmo após a oposição, um Estado-Membro pode prever o mecanismo nacional do art. 71.º, n.º 4, para certos fins de saúde pública ou de investigação científica por razões importantes de interesse público, a pedido de organismos do setor público ou com mandato de saúde pública.
- Pedir um consentimento genérico. O RGPD e a LGPD exigem finalidades específicas.
Exemplos de uso
Na UE, um estudo baseado no consentimento explícito (RGPD, art. 9.º, n.º 2, alínea a) deve permitir retirá-lo com a mesma facilidade com que foi dado (art. 7.º, n.º 3).
Nos Estados Unidos, uma entidade coberta precisa de autorização escrita do paciente para usos que a HIPAA não permite sem ela (§ 164.508).
No Brasil, o consentimento para tratar dados de saúde deve ser dado de forma específica e destacada (LGPD, art. 11, I).
No Canadá, o princípio 3 da PIPEDA exige conhecimento e consentimento, e sua nota reconhece que razões médicas podem torná-lo impraticável.
Na UE, o EEDS dá às pessoas um direito reversível de oposição à utilização secundária de seus dados de saúde eletrônicos (art. 71.º).
Na Argentina, o art. 7 da Lei 25.326 estabelece que ninguém pode ser obrigado a fornecer dados sensíveis.
Relação com outros termos
Apoia-se em1
- Proteção de dados de saúdeForte
O consentimento é uma das bases legais que as leis de proteção de dados de saúde regulam; seus requisitos dependem dessas leis.
Dependem deste1
- Gestão do consentimentoMédia
A gestão do consentimento registra e aplica decisões cujo valor legal é fixado pelas normas sobre consentimento para o tratamento de dados de saúde.
Fontes
- EUR-Lex — Regulation (EU) 2016/679 (GDPR)eur-lex.europa.eu
- EUR-Lex — Regulation (EU) 2025/327 on the European Health Data Spaceeur-lex.europa.eu
- eCFR — 45 CFR Part 164 (HIPAA Privacy Rule, §§ 164.506 and 164.508)ecfr.gov
- Planalto — Lei nº 13.709/2018 (LGPD), texto compiladoplanalto.gov.br
- Office of the Privacy Commissioner of Canada — Guidelines for obtaining meaningful consentpriv.gc.ca
- Argentina.gob.ar — Ley 25.326 de Protección de los Datos Personalesargentina.gob.ar