Esta guía es informativa. Describe lo que dicen las normas y los cuidados prácticos más comunes; no sustituye el análisis jurídico del caso de cada hospital.
La facturación concentra los datos más sensibles del hospital
La facturación es sensible porque reúne en un solo lugar la identificación del paciente, el diagnóstico, los procedimientos, los insumos y los montos, y lo envía todo fuera del hospital. La LGPD clasifica como dato personal sensible todo dato de salud vinculado a una persona física (art. 5, II) [1]. Una cuenta hospitalaria, una guía TISS o una apelación de glosa (rechazo de pago) con informe médico anexo son, por lo tanto, conjuntos de datos sensibles.
El dato pasa por admisión, atención clínica, facturación interna o tercerizada, auditor de la aseguradora y sistemas. Cada paso es un tratamiento, que en la LGPD incluye acceder, transmitir, archivar y eliminar (art. 5, X) [1].
La guía pilar Tercerización de la facturación hospitalaria trata la LGPD como un cuidado del contrato con el proveedor. Aquí el foco es el flujo completo, con o sin tercerización.
¿El hospital necesita el consentimiento del paciente para facturar?
Por regla general, no. El consentimiento es solo una de las bases legales del art. 11, y la facturación suele apoyarse en otras [1]. La fracción II del art. 11 enumera siete supuestos en que el dato sensible puede tratarse sin consentimiento, cuando es indispensable. Tres aparecen en el ciclo de ingresos:
- cumplimiento de obligación legal o regulatoria (inciso a): la Resolución Normativa (RN) 501/2022 de la Agencia Nacional de Salud Suplementaria (Agência Nacional de Saúde Suplementar, ANS), el regulador de las aseguradoras de salud en Brasil, hace obligatorio el intercambio electrónico de datos en el estándar TISS entre prestadores y aseguradoras [6];
- ejercicio regular de derechos, incluso en contratos y procesos (inciso d): cobrar a la aseguradora por la atención prestada y apelar una glosa son derechos ejercidos bajo el contrato entre hospital y aseguradora;
- tutela de la salud, exclusivamente por profesionales y servicios de salud (inciso f): cubre el uso asistencial, como la autorización de un procedimiento y el registro en el expediente clínico.
El consentimiento es la base menos estable para facturar, porque el paciente puede revocarlo en cualquier momento (art. 18, IX) [1]. Eso no elimina la transparencia: el paciente puede saber con quién comparte el hospital sus datos (art. 18, VII) [1].
El § 4 del art. 11 permite enviar datos a la aseguradora para cobrar
El § 4 del art. 11 es la disposición que más importa a la facturación. Prohíbe la comunicación o el uso compartido entre responsables de datos de salud con el objetivo de obtener una ventaja económica. La excepción cubre la prestación de servicios de salud, de asistencia farmacéutica y de atención a la salud, incluidos los servicios auxiliares de diagnóstico y terapia, en beneficio de los titulares [1].
Dentro de esa excepción, la ley permite expresamente dos casos: la portabilidad de datos solicitada por el titular (fracción I) y las transacciones financieras y administrativas derivadas del uso y la prestación de esos servicios (fracción II) [1]. Enviar la cuenta, las guías y los documentos de soporte a la aseguradora para cobrar por la atención es una transacción de ese tipo.
El límite está en el § 5: se prohíbe a las aseguradoras tratar datos de salud para seleccionar riesgos al contratar o excluir beneficiarios [1]. El dato que el hospital envía para cobrar no puede usarse para eso. La excepción tampoco autoriza vender o ceder datos de pacientes para otros fines, como mercadotecnia de terceros.
¿La aseguradora es “encargada” de datos? Quién es quién en la facturación
No: la operadora (aseguradora) y el operador de datos son figuras distintas. En el sistema privado de salud de Brasil, operadora es la empresa del plan de salud, el equivalente más cercano a una aseguradora. En la LGPD, el operador (encargado) trata datos personales por cuenta del responsable (controlador), que es quien toma las decisiones sobre el tratamiento (art. 5, VI y VII) [1].
En la facturación, la división suele ser esta:
- El hospital es responsable de los datos de sus pacientes: decide qué recabar, cómo facturar y con quién compartir.
- La aseguradora suele ser otra responsable: recibe los datos para sus propios fines (revisar la cuenta, pagar, auditar, cumplir obligaciones ante la ANS) y responde por lo que hace con ellos.
- La empresa tercerizada de facturación es encargada: trata los datos por cuenta del hospital y debe seguir sus instrucciones; el hospital debe verificar que se cumplan (art. 39) [1]. Si la encargada incumple la ley o las instrucciones lícitas, responde solidariamente por los daños y se equipara al responsable (art. 42, § 1, I) [1].
- Los empleados del hospital suelen considerarse parte del propio responsable, no encargados.
Los proveedores de sistemas de gestión hospitalaria, portales, nube y automatización que acceden a los datos también tienden a ser encargados; vea IA en la facturación hospitalaria para las herramientas de inteligencia artificial.
Ver las etapas en tabla
| Etapa | Dato | Rol según la LGPD |
|---|---|---|
| 1. Admisión y elegibilidad | Identificación, credencial, plan | Hospital: responsable |
| 2. Expediente y atención | Diagnóstico, procedimientos, insumos | Hospital: responsable |
| 3. Facturación | Cuenta, guías y lote TISS | Hospital: responsable; empresa tercerizada de facturación: encargada (art. 39) |
| 4. Aseguradora (operadora) y auditoría | Guías y documentos para revisión y pago (art. 11, § 4, II; prohibida la selección de riesgos, § 5) | Aseguradora: otra responsable |
| 5. Apelación de glosa (rechazo de pago) y pago | Informes y justificaciones, solo lo necesario | Hospital y aseguradora: responsables |
| 6. Archivo y eliminación | Expediente conservado al menos 20 años (Ley 13.787/2018, art. 6) | Hospital: responsable |
Base legal, rol y cuidado en cada etapa de la facturación
La tabla resume el recorrido del dato. La columna de base legal muestra el supuesto que suele invocarse; la decisión final es del hospital, documentada en su registro de operaciones de tratamiento (art. 37) [1].
| Etapa | Dato tratado | Base legal que suele invocarse (LGPD) | Rol de cada agente | Cuidado práctico |
|---|---|---|---|---|
| Admisión y elegibilidad | Identificación, credencial, plan | Art. 7, V, para datos de registro; art. 11, II, d y f, para datos de salud | Hospital responsable; aseguradora responsable al responder | Recabar solo lo necesario; aviso de privacidad visible |
| Autorización previa | Diagnóstico, informe, estudios | Art. 11, II, a, d y f | Hospital y aseguradora responsables | Usar el canal oficial; nada de correo personal ni apps de mensajería |
| Expediente → cuenta | Procedimientos, insumos, evolución | Art. 11, II, d y f | Hospital responsable; sistema de gestión como encargado | Perfiles de acceso por función; registro de accesos |
| Envío del lote TISS | Guías, montos, códigos TUSS | Art. 11, II, a (RN 501/2022) y d; § 4, II | Hospital responsable; empresa tercerizada como encargada | Certificado digital e-CNPJ (ítem 21 del TISS) [5]; lote solo con lo exigido |
| Auditoría de la aseguradora | Expediente, cuentas, documentos | Art. 11, II, d; § 4, II | Hospital y aseguradora responsables; auditor sujeto a secreto profesional | Acceso presencial o electrónico con perfil restringido y bitácora |
| Apelación de glosa | Informe médico, justificaciones | Art. 11, II, d | Hospital responsable; encargada si está tercerizado | Anexar solo lo que sustenta la apelación |
| Reportes de gestión y BI | Datos agregados de producción y glosa | Preferir datos anonimizados | Hospital responsable | Anonimizar o seudonimizar siempre que sea posible |
| Archivo y eliminación | Expediente y cuenta | Art. 16, I (obligación legal) | Hospital responsable | Expediente: conservación mínima de 20 años (Ley 13.787/2018) [8]; la tercerizada devuelve o elimina los datos al terminar el contrato |
El principio de necesidad (art. 6, III) [1] atraviesa toda la tabla: tratar solo lo mínimo para la finalidad. En la facturación, eso significa, por ejemplo, no anexar el expediente completo cuando una hoja de prescripción comprueba el insumo glosado. El estándar TISS prohíbe a las aseguradoras exigir el CID (equivalente a la CIE, código de enfermedad) en las guías, como consecuencia de una decisión judicial (ítem 28 del Componente Organizacional) [5].
¿Qué agregan el estándar TISS y el secreto médico a la LGPD?
El estándar TISS (Troca de Informações na Saúde Suplementar, el estándar obligatorio de intercambio de datos de cobro en Brasil) tiene un Componente de Seguridad y Privacidad que fija los requisitos de protección de los datos de atención a la salud y se basa en el secreto profesional (ítems 119 a 121 del Componente Organizacional 202609) [5]. Los requisitos valen para todos los sistemas y portales que tratan datos del estándar (ítem 123), y la información asistencial que permita identificar al beneficiario no puede entregarse a terceros, salvo en los casos previstos en la ley (ítem 122) [5].
El secreto médico se suma a la LGPD. El Código de Ética Médica de Brasil prohíbe revelar hechos conocidos en el ejercicio profesional, salvo motivo justo, deber legal o consentimiento por escrito del paciente (art. 73). También prohíbe permitir que personas no obligadas al secreto manejen el expediente (art. 85) y obliga al médico a orientar a sus auxiliares para que lo respeten (art. 78) [7]. Por eso, el contrato con la empresa de facturación y los acuerdos firmados por el personal de facturación deben prever confidencialidad expresa.
En la auditoría de cuentas, la Resolución del Consejo Federal de Medicina (Conselho Federal de Medicina, CFM) nº 2.448/2025 garantiza al médico auditor acceso al expediente en sitio, sin permitir retirar el expediente ni copias (art. 10, II). Esa disposición no figura entre las marcadas como suspendidas por decisión judicial en el texto oficial [9]. La guía Auditoría presencial vs. electrónica explica cómo afecta la auditoría a distancia.
El contrato con la empresa tercerizada necesita siete cláusulas
El contrato debe convertir el art. 39 en reglas verificables: la encargada solo trata los datos según las instrucciones del hospital, y el hospital debe poder comprobarlo [1]. En la práctica, las cláusulas clave son:
- objeto e instrucciones: finalidad (facturar, apelar glosas, conciliar), datos tratados y prohibición de otros usos;
- subencargados: la LGPD no usa el término, pero la empresa puede subcontratar nube, sistemas o personas. El contrato debe exigir autorización previa del hospital, una lista actualizada y las mismas obligaciones para cada subcontratista;
- seguridad: medidas técnicas y administrativas del art. 46, control de acceso, cifrado y registro de accesos, incluso después de terminado el contrato (art. 47) [1];
- incidentes: aviso al hospital sin demora injustificada, con la información que necesita para comunicar a la ANPD y a los pacientes [2];
- confidencialidad: acuerdo firmado por todos los que acceden a expedientes y cuentas;
- auditoría y evidencias: derecho del hospital a auditar y recibir reportes;
- fin del contrato: devolución o eliminación de los datos, con plazo y comprobación.
Estos puntos entran en la evaluación descrita en Cómo elegir una empresa de ciclo de ingresos.
¿Cuál es el plazo para comunicar un incidente de seguridad?
El plazo es de 3 días hábiles. El responsable debe comunicar a la ANPD y a los titulares el incidente que pueda causar riesgo o daño relevante (art. 48) [1], y la Resolución del Consejo Directivo de la ANPD (Resolução CD/ANPD) nº 15/2024 fijó ese plazo, salvo plazo previsto en legislación específica [2]. La ANPD considera relevante, entre otros, el incidente con datos sensibles, y da como ejemplo un hospital con datos de salud expuestos [2].
Quien comunica es el hospital, como responsable, aunque la filtración ocurra en la empresa tercerizada. Por eso el aviso de la encargada al hospital debe ser rápido. Los agentes de tratamiento de pequeña escala tienen plazos al doble, pero el beneficio no aplica a quien hace tratamiento de alto riesgo, lo que incluye el uso de datos sensibles a gran escala (Resolución CD/ANPD nº 2/2022, arts. 3, 4 y 14) [4]. Es poco probable que un hospital o una clínica que factura a aseguradoras califique.
Las sanciones del art. 52 van desde la amonestación hasta una multa simple de hasta el 2% de la facturación de la persona moral en Brasil, con tope de R$ 50 millones por infracción, además de la publicación de la infracción y el bloqueo o la eliminación de los datos [1].
El encargado de datos es el vínculo del hospital con la ANPD y los pacientes
El encarregado (oficial de protección de datos, DPO) es la persona designada por el responsable como canal con los titulares y con la ANPD (art. 5, VIII, y art. 41) [1]. La Resolución CD/ANPD nº 18/2024 exige la designación por acto formal, escrito y firmado (art. 3), y la publicación de su identidad y contacto en el sitio web, en un lugar destacado (art. 9) [3]. Puede ser empleado, persona externa o persona moral (art. 12), y no puede acumular funciones con conflicto de interés (arts. 18 a 21) [3]. Para el encargado del tratamiento, como la empresa tercerizada, la designación es optativa, pero cuenta como buena práctica (art. 6) [3].
En la facturación, el encarregado debe participar en el mapeo de los flujos con aseguradoras, en la revisión de los contratos con tercerizados y en el plan de respuesta a incidentes.
Lo que vemos en la operación
Cuando presta el servicio, Accrua actúa como encargada del tratamiento, en los términos de la LGPD (Ley General de Protección de Datos de Brasil), y el hospital es el responsable: Accrua trata los datos solo para el servicio contratado y sigue instrucciones documentadas del hospital. El contrato prevé cifrado en tránsito y en reposo, control de acceso por perfil y registro de auditoría de los accesos, con cuentas individuales y nominales y aviso de la baja de un colaborador en un plazo de 1 día hábil.
En caso de incidente, se avisa al hospital en un plazo de 24 horas desde la confirmación; la comunicación a la ANPD (autoridad nacional de protección de datos) corresponde al hospital, como responsable. La lista de subencargados, con finalidad, categorías de datos y ubicación, está disponible para el hospital; la entrada de un nuevo subencargado se avisa con 15 días de anticipación, con derecho de objeción; y ningún subencargado puede usar los datos para entrenar modelos ni conservarlos más de lo necesario.
Por dónde empezar
- Mapee el recorrido del dato en la facturación, de la admisión al archivo: quién accede, por qué sistema y a qué aseguradora va.
- Registre la base legal de cada flujo en el registro de operaciones de tratamiento (art. 37), con el encarregado y el área jurídica.
- Revise los contratos con encargados: empresa de facturación, sistema de gestión, portales y nube, con instrucciones, subencargados, incidentes y devolución de datos.
- Elimine canales informales para documentos clínicos y limite los anexos a lo que comprueba el cobro.
- Pruebe el plan de respuesta a incidentes, incluido el aviso de la tercerizada, para cumplir los 3 días hábiles de la ANPD.