Exposição de prontuário: implicações da violação de dados médicos

Médico residente do HCFMRP‑USP publicou em rede social imagem de prontuário e fez comentários de deboche sobre o peso de paciente, configurando exposição de dados sensíveis e potencial violação ética e administrativa, com efeitos imediatos para apuração interna e risco de responsabilização civil e por infração à Lei Geral de Proteção de Dados.

Contexto

A ocorrência relatada — publicação de foto de prontuário de paciente com comentários jocosos sobre sua condição física — integra um conjunto de episódios que colocam em tensão proteção de dados de saúde, sigilo médico e o uso de plataformas públicas por profissionais. Dados de saúde são expressamente qualificados como sensíveis na legislação brasileira e, por isso, merecem tutela reforçada. Além do enquadramento legal, existe regime disciplinar próprio para profissões de saúde, mecanismos de responsabilização civil do hospital e do profissional, e possibilidade de atuação da Autoridade Nacional de Proteção de Dados (ANPD).

A matéria também insere-se em discussão mais ampla sobre o alcance da liberdade de expressão de profissionais quando confrontada com direitos da pessoa atendida e o dever de confidencialidade. Em hospitais universitários, o exercício da medicina por residentes agrega a dimensão institucional: responsabilidade da instituição formadora por supervisão, normas internas e regulação de condutas nas redes.

O que foi decidido

Trata‑se de relato jornalístico sobre conduta de profissional que expôs prontuário e debochou do paciente; não há, na fonte, informação sobre decisão judicial ou disciplinar já prolatada. Contudo, a análise jurídica hierarquiza as consequências previsíveis: a conduta é passível de apuração interna pela gestão do hospital e pelo colegiado de residentes; pode ensejar representação ao conselho regional de medicina e abertura de procedimento ético‑disciplinar; e autoriza medidas administrativas e civis pelo paciente, além de notificação à ANPD para possível investigação por violação da Lei Geral de Proteção de Dados (LGPD).

Fundamentalmente, a situação caracteriza tratamento inadequado de dados sensíveis (informação sobre estado de saúde e prontuário) em plataforma pública, combinado com conduta que afronta o dever de sigilo e a dignidade do paciente. Esse conjunto reforça argumentos para responsabilização multiplicada do agente (responsabilidade pessoal do médico) e da instituição (eventual falha de supervisão e de políticas internas).

Base normativa e precedentes

• Art. 5º, CF/88 — garante a inviolabilidade da intimidade, da vida privada, da honra e da imagem, fundamentos para tutela contra exposições indevidas.
• Lei 13.709/2018 (LGPD) — define dados sensíveis (incluindo saúde) e condiciona seu tratamento a hipóteses específicas, impondo princípios de finalidade, necessidade e segurança; prevê responsabilização administrativa por infrações.
• Código Civil (Lei 10.406/2002), art. 927 — dever geral de reparar dano material e moral causado a outrem por ato ilícito, aplicável à divulgação indevida de informações pessoais.
• Código de Ética Médica e normativas do CFM — impõem o dever de sigilo profissional e disciplina condutas que violem a dignidade do paciente; infração sujeita a sanções éticas e disciplinares.
• Regulamentação interna hospitalar — políticas e normas de prontuário e uso de redes sociais que regulam o acesso, confidencialidade e compartilhamento de informações clínicas.
• Jurisprudência consolidada dos tribunais superiores — tende a reconhecer a proteção da intimidade e a responsabilização por divulgação indevida de dados sensíveis, com condenações por dano moral e apreciação do dever objetivo de segurança no tratamento de informações.

Impacto prático

• Para advogados que atuam em direito da saúde e privacidade: há fundamento robusto para ações de indenização por dano moral e pedidos de tutela de urgência para remoção de conteúdo e proibição de novas divulgações; também há possibilidade de medidas contra a instituição por omissão na supervisão.
• Para hospitais e instituições de ensino: necessidade imediata de revisar políticas de segurança da informação, controles de acesso a prontuários eletrônicos e programas de compliance e capacitação sobre LGPD e ética profissional, sob pena de responsabilização administrativa e de imagem.
• Para profissionais de saúde: risco efetivo de processo ético‑disciplinar junto ao conselho profissional, ações indenizatórias e, em casos graves, implicações contratuais e de vínculo com a instituição.
• Para o titular dos dados (paciente): possibilidade de requerer remoção do conteúdo, reparação por danos morais e notificação à ANPD, além de representação ao conselho de medicina.

O que observar

• Procedimentos investigatórios: é previsível instauração de apuração interna e representação ao conselho regional de medicina; a ANPD pode abrir procedimento para apuração de infração à LGPD, com possibilidade de aplicação de medidas administrativas e multas.
• Prescrição e provas: em ação civil por danos morais, observar prazos prescricionais aplicáveis e diligenciar preservação de provas digitais (impressões, arquivos, reprodução, logs de rede social). A prova eletrônica deve ser articulada com perícia se necessário.
• Modulação de responsabilidades: a instituição poderá alegar culpa exclusiva do agente, mas deverá demonstrar cumprimento de políticas, treinamento e controles; ausência desses elementos eleva risco de responsabilização objetiva subsidiária.
• Riscos processuais e mitigação: medida urgente recomendada é a solicitação de remoção do conteúdo (notice-and-takedown) e representação criminal/disciplinar quando couber; advogados e compliance devem avaliar acordos de reparação que incluam medidas restaurativas e garantias de não repetição.
• Aspectos de liberdade de expressão: eventual defesa do agente via argumento de liberdade de expressão terá limitação prática ao colidir com direitos à privacidade e ao sigilo profissional; jurisprudência tende a privilegiar proteção de dados sensíveis.

Conclusão: a publicação de prontuário com comentários de deboche não é apenas falta de ética, mas configura tratamento ilícito de dados sensíveis, ensejando múltiplas vias de responsabilização. A questão sublinha a necessidade de políticas institucionais e de formação contínua sobre LGPD e confidencialidade, bem como de respostas céleres para proteção da vítima e preservação da segurança jurídica na atividade médica.