LGPD no Laboratório: como o LIMS protege dados

Embora tenha sido sancionada em 2018, a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) passou a produzir efeitos práticos em 18 de setembro de 2020. Desde 1º de agosto de 2021, a Autoridade Nacional de Proteção de Dados (ANPD) também passou a aplicar as sanções administrativas previstas na legislação.

Quando se fala em LGPD, a primeira imagem que vem à cabeça costuma ser a de um banco ou uma loja online tratando dados de cartão de crédito. Poucos laboratórios param para pensar que a LGPD  também se aplica a eles — e que uma auditoria de compliance, hoje, já pode incluir uma pergunta que a maioria dos laboratórios não sabe responder: “quem tem acesso aos dados dos seus clientes e amostras, e como você prova isso?”

O que a LGPD tem a ver com o laboratório

Todo laboratório que recebe amostra para ensaio lida com dado pessoal, mesmo sem perceber. Um pedido de análise carrega nome do solicitante, CNPJ ou CPF, endereço, e-mail, telefone.

Em um laboratório clínico ou veterinário, ainda tem dado de saúde do paciente ou do animal — categoria que a LGPD trata como sensível, com regra mais rígida.

E tem o dado que conecta a amostra à pessoa: a cadeia de custódia, que por definição precisa rastrear quem coletou, quem manuseou e quem liberou o resultado.

Mesmo em um laboratório que faz controle de qualidade industrial, sem nenhum dado de saúde, já lida com dado pessoal suficiente para estar sob a lei.

Isso coloca o laboratório na posição de controlador (quando decide o que fazer com o dado do cliente) ou operador (quando trata dado em nome de terceiro, como uma indústria que terceiriza o ensaio).

Nos dois casos, a lei exige base legal pra tratar o dado, medida de segurança proporcional ao risco, e capacidade de responder se algo vazar.

Quais dados do laboratório entram na LGPD?

Na prática, um Sistema de Gerenciamento de Informações de Laboratórios (LIMS) carrega pelo menos quatro tipos de dados que a LGPD regula:

• Dados de identificação do cliente/solicitante — nome, CNPJ/CPF, contato, endereço de faturamento.
• Dados de cadeia de custódia — quem coletou, transportou, recebeu e analisou a amostra, com data e hora.
• Dados sensíveis — dados de clientes externos e informações de fornecedores.
• Dados de colaborador — analista, supervisor, quem assinou o laudo, histórico de acesso ao sistema.

Os riscos de não se adequar

Descumprir a LGPD não é só risco de multa (que pode chegar a 2% do faturamento, limitado a R$ 50 milhões por infração). Para um laboratório acreditado, o risco mais imediato é de não conformidade em auditoria: a ISO 17025 já exige controle de acesso e rastreabilidade de registro — a LGPD só formaliza, com força de lei, o que a norma técnica já cobra como boa prática. Um laboratório que não consegue mostrar quem acessou um resultado, quando e por que, falha nos dois fronts ao mesmo tempo.

Tem ainda o risco reputacional: cliente industrial que audita fornecedor de ensaio cada vez mais inclui pergunta de proteção de dados no checklist de qualificação de fornecedor. Não ter resposta pronta pode custar o contrato.

Como um LIMS ajuda a cumprir a LGPD na prática

Um sistema de gerenciamento de informações laboratoriais bem configurado cobre boa parte da adequação:

• Controle de acesso por cargo — analista só vê o que precisa para a sua função, supervisor e gerente têm visão mais ampla, dado sensível fica restrito a quem tem necessidade real de acesso.
• Trilha de auditoria — todo acesso, edição e liberação de resultado fica registrado com usuário, data e hora, de forma que não pode ser apagado. É uma das evidências mais cobradas simultaneamente em auditorias de LGPD e de ISO 17025.
• Política de retenção automatizada — a lei exige que dado pessoal não fique guardado além do necessário; um LIMS pode aplicar regra de retenção e descarte por tipo de registro, em vez de depender de alguém lembrar de apagar manualmente.
• Criptografia e backup controlado — dado em trânsito e em repouso protegido, com plano de recuperação em caso de incidente.
• Exportação controlada — quando o cliente pede seus próprios dados (direito de acesso e portabilidade previsto na lei), o sistema consegue gerar um extrato específico daquele cliente, sem expor dado de terceiros.

Isso já cobre boa parte do que a Boas Práticas de Laboratórios (BPL) também exige em termos de integridade e rastreabilidade de dado — ou seja, investir em adequação à LGPD reforça a conformidade técnica que o laboratório já precisa ter.

Passos pra começar a se adequar

Não precisa resolver tudo de uma vez. Aqui vai uma sequência prática:

• Mapear quais dados pessoais o laboratório trata hoje (cliente, cadeia de custódia, colaborador) e onde ficam armazenados.
• Checar controle de acesso atual — quem consegue ver ou editar cada tipo de dado, e se isso está documentado.
• Confirmar se existe trilha de auditoria confiável no sistema usado hoje (planilha não tem; LIMS bem configurado tem).
• Definir política de retenção — por quanto tempo cada tipo de registro precisa ficar guardado, e quando pode ser descartado.
• Documentar o processo — a LGPD cobra prova de conformidade, não só a conformidade em si.

Quais dados do laboratório são realmente pessoais

A primeira dificuldade de adequar um laboratório à LGPD é delimitar o escopo: parte dos dados que ele trata é pessoal, parte não é, e tratar tudo como pessoal gera trabalho desnecessário enquanto deixa passar o que importa. A tabela abaixo faz esse recorte.

Essa tensão é o ponto que mais gera dúvida e tem resposta clara, então vale explicitá-la. A rastreabilidade exigida pela ISO/IEC 17025 e pelas boas práticas obriga a registrar quem executou e quem validou cada resultado, e a trilha de auditoria não pode ser apagada. Isso não conflita com a LGPD: a lei não proíbe tratar dado pessoal, exige base legal para tratá-lo, e cumprimento de obrigação legal ou regulatória é uma base legal prevista. Ou seja, o laboratório não precisa escolher entre rastreabilidade e privacidade; precisa documentar que aquele tratamento existe por exigência normativa, com retenção definida e acesso restrito. O texto da Lei nº 13.709/2018 e as orientações da ANPD são as referências para essa documentação. O caso que exige mais atenção é a quinta linha: amostra vinculada a pessoa identificável, comum em ensaio ocupacional, pode envolver dado de saúde, que tem proteção ampliada.

Conclusão

A adequação à LGPD não deveria começar quando o jurídico envia uma lista de requisitos, nem quando uma auditoria pede evidências. Ela começa quando o laboratório entende que informação é um ativo tão importante quanto a própria amostra.

Na prática, boa parte do que a LGPD exige já deveria existir em um laboratório que busca rastreabilidade, confiabilidade e conformidade com normas como a ISO 17025. A diferença é que agora isso deixou de ser apenas uma boa prática e passou a ter respaldo legal.

Por isso, vale fazer um exercício simples: se hoje um cliente ou um auditor pedisse para demonstrar quem acessou determinada amostra ou resultado, por qual motivo, quais alterações foram realizadas e como essas informações são protegidas, seu laboratório conseguiria responder com evidências ou dependeria da memória das pessoas?

Laboratórios investem anos construindo credibilidade sobre seus resultados. Mas, em um cenário onde dados também precisam ser íntegros, rastreáveis e protegidos, a confiança deixa de depender apenas da qualidade da análise e passa a depender, também, da qualidade da informação que acompanha todo o processo.

Quer entender como o Actiz LIMS pode apoiar a adequação do seu laboratório à LGPD? Solicite uma demonstração e converse com nosso time sobre o seu cenário específico.

Perguntas frequentes