Colegas, vamos falar sobre um assunto que muitos de nós subestimamos até levar um susto: backup em nuvem e a LGPD. Não é só sobre "ter um backup", mas como fazê-lo dentro da lei sem virar alvo fácil da ANPD ou de processos judiciais. E olha, já vi clínica quebrar por causa de vazamento de dados – e não foi por falta de aviso.
Primeiro, esquece essa história de que Dropbox, Google Drive ou iCloud resolvem. A LGPD é clara: se você lida com dados de saúde (e óbvio que lida), o armazenamento tem que atender a requisitos específicos. Não é sobre conveniência, é sobre compliance. Um prontuário vazado pode custar até 2% do faturamento da clínica, limitado a R$ 50 milhões por infração. E acredite, a ANPD não está de brincadeira.
O ClínicaWork, por exemplo, usa data centers certificados ISO 27001 no Brasil, com criptografia AES-256 tanto em trânsito quanto em repouso. Por quê? Porque a LGPD exige "medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados". Backup em servidor genérico não atende isso.
Art. 33 da LGPD: dados de saúde devem ficar armazenados preferencialmente no Brasil. Se for fora, só com garantias equivalentes de proteção. Traduzindo: se sua nuvem estiver nos EUA ou Europa sem tratados específicos, você está em risco. Já vi clínica usando AWS sem configurar região brasileira – péssima ideia.
O CFM diz que prontuários devem ser guardados por no mínimo 20 anos. A LGPD complementa: você precisa definir prazos de retenção para cada tipo de dado. Backup eterno? Violação do princípio da necessidade. Backup curto demais? Problema com o CFM. Sistemas como o ClínicaWork automatizam isso com políticas de lifecycle – arquivos inativos vão para cold storage, reduzem custos e mantêm compliance.
Artigo 48 da LGPD: em caso de incidente, você tem até 72h para comunicar a ANPD e os titulares. Se seu backup demora 3 dias para restaurar, já era. Teste mensal de restore não é opcional – é obrigação. Uma dica? Peça ao seu fornecedor o RTO (Recovery Time Objective) e RPO (Recovery Point Objective) por escrito. No modelo do ClínicaWork, por exemplo, garantem RTO de 4h para desastres completos.
Participando de um comitê de TI em saúde, te digo o que os auditores pedem:
Um erro comum? Achar que backup automático do Windows ou macOS atende. Não atende. Falta registro de acesso, falta criptografia robusta, falta gestão de ciclo de vida. Já vi autuação por menos.
Na prática, você tem três caminhos:
Um detalhe crucial: mesmo que você terceirize, a responsabilidade final é SUA como controlador dos dados. O fornecedor é operador, mas quem responde na ANPD é a clínica. Por isso a escolha da ferramenta é estratégica.
Sim, backup LGPD-compliant custa mais. Um plano empresarial no ClínicaWork sai em média 3x o preço de um backup genérico. Mas faça as contas:
Em resumo: backup em nuvem para clínica em 2024 não é mais questão de tecnologia – é requisito legal básico. E quem trata como opcional está apostando alto contra a estatística.
```