En 2026, la ANPD dejó de ser un órgano consultivo y obtuvo el estatus de agencia reguladora. La Ley nº 15.352/2026 otorgó autonomía funcional, técnica y financiera a la Autoridad Nacional de Protección de Datos. En el Mapa de Temas Prioritarios para 2026-2027, publicado en diciembre de 2025, los datos de salud aparecen entre los focos principales de fiscalización — junto con los datos biométricos y financieros. Para clínicas y consultorios, el mensaje es claro: la LGPD ya no es un asunto para después.

Qué cambió en la ANPD

La transformación de la ANPD en agencia reguladora amplía su capacidad de normar, fiscalizar y aplicar sanciones. La agencia pasa a tener una carrera propia de especialistas en regulación y presupuesto dedicado. En la práctica, esto significa más acciones de fiscalización, orientaciones técnicas más detalladas y una mayor probabilidad de que los incumplimientos sean identificados y sancionados. El sector salud está entre los prioritarios — no por casualidad. Los datos de los pacientes son sensibles, y las filtraciones o los tratamientos inadecuados causan daños concretos.

El Ministerio de Salud coordina iniciativas como la Red Nacional de Datos en Salud (RNDS), Meu SUS Digital y SUS Digital Profissional, todas operando en conformidad con la LGPD. El refuerzo institucional de la ANPD fortalece la transformación digital en el SUS (el sistema público de salud de Brasil) y, por extensión, eleva el estándar esperado de quien trata datos de salud en el sector privado.

Datos de salud en el radar de la fiscalización

El Mapa de Temas Prioritarios establece cuatro ejes. En el eje “Derechos de los Titulares”, la ANPD prevé 40 acciones de fiscalización a lo largo de dos años, con foco especial en datos biométricos, de salud y financieros. Diez actividades se dedican específicamente a estos tratamientos. Las acciones incluyen el monitoreo de la adopción de salvaguardas técnicas adecuadas y la verificación del cumplimiento de la LGPD.

Para una clínica, esto se traduce en: consentimiento explícito cuando sea necesario, finalidades claras para cada tratamiento, minimización de datos (recopilar solo lo que se necesita), seguridad (cifrado, control de acceso) y transparencia con el paciente. Las plataformas que procesan datos de salud en nombre de la clínica — como sistemas de agendamiento, historia clínica electrónica o agentes de IA en WhatsApp — deben ofrecer garantías de que operan en conformidad. La responsabilidad es de la clínica, que elige y contrata a esos proveedores.

Qué debe tener en orden la clínica

No hace falta un departamento jurídico dedicado. Lo esencial es documentar: qué dato se recopila, con qué fin, con qué base legal, por cuánto tiempo se guarda y cómo se protege. La Política de Privacidad debe ser accesible y comprensible. Cuando el paciente autoriza el uso de sus datos para contacto o para que la clínica envíe recordatorios de consulta, eso debe quedar registrado. Las herramientas que automatizan confirmaciones y reprogramaciones por WhatsApp tratan datos de contacto y de agendamiento — son datos personales, y en algunos casos sensibles cuando están vinculados al contexto de salud.

Elegir proveedores que sean LGPD-ready reduce el trabajo. Cifrado en reposo y en tránsito, segmentación de entornos, registros de auditoría y bases legales documentadas son indicadores de que la plataforma se toma en serio la privacidad. La clínica no necesita dominar cada detalle técnico, pero sí saber preguntar y exigir evidencias.

IA y datos de salud: atención redoblada

El Mapa de la ANPD incluye un eje específico para “Inteligencia artificial y tecnologías emergentes”, con 20 acciones de fiscalización. Cuando una clínica usa un agente de IA para atención por WhatsApp, ese agente procesa mensajes, nombres, teléfonos y contexto de agendamiento. Si el sistema transcribe audios o almacena el historial de conversaciones, el volumen y la sensibilidad de los datos aumentan. La recomendación es clara: verificar si el proveedor aplica anonimización o seudonimización cuando es posible, si los datos se retienen solo por el tiempo necesario y si hay cláusulas contractuales que establezcan las obligaciones de cada parte.

Simplafy, que ofrece automatización de confirmaciones y reprogramaciones para clínicas, opera con cifrado AES-256, entornos segmentados y conformidad documentada. El dato del paciente no se filtra hacia el entrenamiento de modelos genéricos; permanece en el contexto de la clínica. Este tipo de salvaguarda debe ser el estándar esperado al evaluar cualquier herramienta que toque datos de pacientes.

El momento es de preparación

La ANPD no va a tocar la puerta de todas las clínicas mañana. Pero el Mapa de Temas Prioritarios define el rumbo: los datos de salud están en lo más alto de la lista. Quien ya se organizó tiene ventaja. Quien lo dejó para después puede verse sorprendido por una fiscalización o por un incidente que exponga la falta de controles. El costo de la adecuación es menor que el costo de una multa o de una filtración que comprometa la confianza de los pacientes.

¿Quieres ver cómo funciona en tu clínica? Prueba gratis por 10 días en simplafy.com.br/saude — sin tarjeta de crédito.

Referencias utilizadas para producir este contenido: