Posso armazenar o prontuário do paciente em servidor de nuvem fora do Brasil?

É cada vez mais comum a clínica trocar o prontuário em papel por uma plataforma de gestão em nuvem. Poucos médicos checam em qual país o provedor guarda os dados — e a LGPD trata essa escolha como relevante, não como detalhe técnico que só interessa ao TI.

Guardar prontuário em nuvem no exterior é "transferência internacional de dados"?

Sim. O art. 33 da LGPD (Lei nº 13.709/2018) define transferência internacional como qualquer operação que envolva o fluxo de dados pessoais para fora do território nacional, incluindo o simples armazenamento em servidor estrangeiro. Não é preciso que a clínica "envie" o dado conscientemente: se o prontuário fica hospedado em data center fora do Brasil, a operação já se enquadra no artigo — inclusive quando o fornecedor é uma empresa brasileira que apenas sub-roteia o armazenamento para fora.

Por isso não basta clicar em "aceito os termos": antes de contratar, é preciso identificar qual é a região (data center) usada pelo serviço, porque esse dado define se a clínica cumpre ou não a lei.

Por que o dado de saúde pede cuidado redobrado nessa transferência

O art. 11 da LGPD classifica dado de saúde como dado pessoal sensível, com regras mais rígidas do que as de um dado comum. Isso não torna ilegal guardar o prontuário em nuvem — o problema não é a nuvem em si —, mas eleva o padrão de cuidado na transferência: quanto mais sensível o dado, maior a exposição da clínica se a garantia do art. 33 não estiver formalizada, e maior a chance de a ANPD priorizar o caso numa fiscalização. Na prática, isso aparece em pontos que o médico raramente lê no contrato: se o provedor pode subcontratar outro data center sem aviso, se mantém logs e backups fora do Brasil, e se há cláusula específica para dado de saúde ou um contrato genérico, pensado para qualquer empresa.

Quais garantias a LGPD exige para a transferência ser legal

O art. 33 lista as hipóteses que legitimam a transferência internacional: país ou organismo com nível de proteção reconhecido como adequado pela ANPD; cláusulas-padrão contratuais aprovadas pela ANPD; normas corporativas globais do grupo econômico do provedor; selos e certificações reconhecidos; ou consentimento específico e destacado do titular para aquela transferência, entre outras hipóteses dos arts. 33 a 36.

Desde a Resolução CD/ANPD nº 19/2024, a ANPD aprovou o modelo oficial de cláusulas-padrão contratuais (CPC), com prazo de adequação encerrado em agosto de 2025. Ao contratar uma plataforma de prontuário com nuvem internacional, a clínica deve exigir do fornecedor a comprovação de que o contrato inclui essas cláusulas — ou que a transferência se apoia em outra hipótese do art. 33.

Contratar nuvem com data center no Brasil resolve o problema?

Resolve a transferência internacional em si: sem fluxo de dados para fora do país, o art. 33 deixa de se aplicar a esse armazenamento. Mas vale checar se o provedor usa, mesmo na região brasileira, backups ou serviços auxiliares (suporte, IA, monitoramento) hospedados no exterior, e se é subsidiária de empresa estrangeira sujeita a legislação de outro país sobre acesso a dados — camada distinta da LGPD, que pede análise contratual própria.

Esse cuidado costuma vir junto de outro, igualmente comum na gestão do prontuário eletrônico: saber quais dados podem ser compartilhados com sistemas de terceiros, tema tratado em prontuário eletrônico e LGPD: quais dados o médico pode compartilhar com apps de gestão de clínica?, que foca no compartilhamento em si, não em onde o servidor fica.

O que diz a lei

LGPD (Lei nº 13.709/2018): art. 11 (tratamento de dado sensível, incluindo dado de saúde, com consentimento específico e destacado); art. 33 (hipóteses que legitimam a transferência internacional, incluindo armazenamento em servidor fora do Brasil); arts. 34 a 36 (adequação do país de destino, cláusulas específicas e normas corporativas globais). Resolução CD/ANPD nº 19, de 23/08/2024: regulamenta a transferência internacional e aprova o modelo de cláusulas-padrão contratuais (CPC) exigido dos provedores que armazenam dados no exterior.

Erros que fazem a clínica perder a proteção da LGPD nessa contratação

• Assinar o contrato sem perguntar onde fica o data center — a resposta geralmente está nos termos de uso, não na proposta comercial.
• Confiar que "a nuvem é segura" resolve a exigência legal — segurança técnica e base legal para a transferência (art. 33) são exigências diferentes e cumulativas.
• Não exigir comprovação das cláusulas-padrão da ANPD, ficando sem documento que sustente a legalidade da transferência numa fiscalização.
• Tratar o tema como problema só do fornecedor de tecnologia — a clínica é controladora do dado e responde solidariamente pela irregularidade.
• Ignorar aviso de mudança de data center enviado pela plataforma: a clínica pode passar a transferir dados para o exterior sem perceber.

Avaliar o contrato de um fornecedor de nuvem com essa lente raramente é tarefa só do TI: envolve interpretar cláusulas de proteção de dados e medir o risco regulatório da transferência, o que recomenda apoio de um escritório especializado em direito médico antes de assinar — ou migrar — o contrato do sistema de gestão.

Quem decide entre manter o prontuário local ou migrar para nuvem também esbarra em outra dúvida: por quanto tempo os dados precisam ficar guardados antes de poderem ser descartados, tema de por quanto tempo sou obrigado a guardar o prontuário do paciente antes de descartar?. Se o incidente já aconteceu — acesso indevido ou vazamento envolvendo o fornecedor —, as obrigações seguem o roteiro de minha clínica sofreu um ataque de ransomware: o que a LGPD exige que eu faça com os dados dos pacientes?. Na telemedicina, a guarda do prontuário tem camada extra de exigência, descrita em guarda do prontuário na telemedicina: quem responde, por quanto tempo e o que fazer se os dados vazarem.

Perguntas frequentes