LGPD no SUAS: sigilo, prontuário e proteção de dados no CRAS e no CREAS
A LGPD no SUAS diz respeito ao modo como informações de famílias e indivíduos são coletadas, registradas, acessadas e compartilhadas. Proteger dados é parte do cuidado institucional, tanto em prontuários de papel quanto em sistemas digitais.
Este conteúdo educacional organiza pontos de atenção para CRAS, CREAS e gestão. Não substitui análise jurídica de casos concretos, orientação do encarregado ou normas profissionais de sigilo.
Quais informações precisam de proteção?
Nome, endereço e informações que permitam identificar uma pessoa são dados pessoais. Dados de saúde, origem racial ou étnica, religião e outras categorias previstas na lei são dados pessoais sensíveis. Renda e endereço não se tornam automaticamente “sensíveis” na classificação legal, embora sua exposição possa produzir riscos relevantes.
Um prontuário pode reunir informações de vários membros da família e de terceiros. A análise de necessidade e acesso deve considerar esse conjunto, não apenas a pessoa que procurou a unidade.
Finalidade e base legal: consentimento não resolve tudo
A Lei nº 13.709/2018 prevê diferentes hipóteses de tratamento. No poder público, a escolha depende da competência, finalidade e natureza dos dados. Não se deve substituir essa análise por um termo genérico de consentimento.
A equipe precisa saber por que uma informação é necessária, quem poderá acessá-la e como será utilizada. A definição institucional da base legal e das responsabilidades deve ter apoio do encarregado e da assessoria competente.
Prontuário SUAS e a atualização das diretrizes
A Resolução CIT nº 29/2025, divulgada pelo MDS, trata de diretrizes do Prontuário SUAS e reforça o cuidado com segurança e confidencialidade. A referência histórica é mantida porque ajuda a compreender a organização do instrumento, sem tornar esta página um conteúdo restrito ao ano de 2026.
Na prática, isso exige atenção a guarda, acesso e finalidade. O guia do Prontuário SUAS explica como organizar registros e histórico sem acumular documentos sem pertinência.
Cuidados na coleta e na escrita do registro
- Explique o propósito das perguntas em linguagem acessível.
- Colete apenas o necessário à ação, sem transformar curiosidade em campo obrigatório.
- Indique a fonte da informação e diferencie relato de observação.
- Evite rótulos, detalhes íntimos irrelevantes e documentos duplicados.
- Utilize instrumentos e canais institucionais aprovados.
Essas são recomendações de organização da rotina. Devem ser adaptadas ao serviço, às atribuições e às orientações institucionais. Um formulário mais extenso não representa, por si só, um atendimento mais qualificado.
Acesso e compartilhamento com a rede
Defina perfis por necessidade de trabalho. Recepção, equipe técnica e gestão podem precisar de informações diferentes. Contas individuais, revisão de permissões e procedimentos de desligamento ajudam a evitar acessos indevidos.
Antes de enviar informações, identifique destinatário, objetivo e recorte necessário. Encaminhamento não é autorização para circular todo o histórico familiar. Confirme o canal institucional e registre a providência conforme o fluxo.
O guia da ANPD sobre tratamento de dados pelo poder público oferece subsídios para a análise institucional. Acordos de rede devem definir responsabilidades; não basta chamar um grupo de mensagens de “rede de proteção”.
Visitas, fotos e mensagens
Em uma visita domiciliar, registre o que é pertinente à finalidade. Fotos de moradia, documentos ou crianças não devem ser anexadas automaticamente para comprovar deslocamento.
Evite armazenar prontuários em contas pessoais, encaminhar capturas de tela sem controle ou divulgar atendimentos em redes sociais. A concordância para uma atividade não equivale a uma permissão ilimitada para publicação de imagem.
Se um canal digital for autorizado, a instituição precisa definir seu uso, acesso e guarda. A conveniência da ferramenta não elimina os deveres de proteção.
Pedidos dos usuários e correção de informações
Informe os canais institucionais para solicitações de acesso e correção. Confirme a identidade do solicitante de forma proporcional e encaminhe a demanda ao responsável pelo procedimento.
Um pedido não deve ser ignorado, mas também não justifica entregar registros de terceiros sem análise. Correção e exclusão não são a mesma coisa; obrigações de guarda e regras aplicáveis precisam ser consideradas.
Evite prometer eliminação imediata de todo o prontuário. A gestão deve definir procedimentos de retenção e destinação com as áreas competentes, sem prazos improvisados.
Segurança e resposta a incidentes
Exemplos de situações a comunicar internamente incluem envio ao destinatário errado, perda de documentos, acesso indevido e exposição de credenciais. Preserve informações sobre o ocorrido e acione o fluxo institucional; não tente esconder o incidente apagando evidências.
O controlador, com apoio das áreas competentes, deve avaliar providências e eventuais comunicações conforme as normas aplicáveis. Este artigo não fixa prazos universais para todos os cenários.
Na prevenção, combine medidas técnicas e administrativas: treinamento, controle de acesso, cópias de segurança, guarda de documentos e revisão de procedimentos. A compra de software, isoladamente, não assegura conformidade.
Como começar uma rotina de governança
- Mapear quais dados são tratados e para quais finalidades.
- Identificar responsáveis, sistemas, arquivos e fluxos de compartilhamento.
- Revisar acessos e retirar permissões que não sejam necessárias.
- Definir orientação para anexos, mensagens e pedidos dos titulares.
- Capacitar a equipe e estabelecer um canal para dúvidas e incidentes.
- Revisar periodicamente o funcionamento, não apenas a existência dos documentos.
Para aprofundar a camada de gestão e tecnologia, conheça o Nexus Cidadão. Avalie requisitos e responsabilidades com a gestão; nenhuma ferramenta dispensa o trabalho de governança.
Perguntas frequentes
A LGPD se aplica a prontuários em papel?
Sim. A proteção de dados não se limita aos meios digitais. Guarda, acesso e compartilhamento precisam ser organizados também nos arquivos físicos.
É necessário pedir consentimento para qualquer registro?
Não existe uma resposta única para todas as operações. A instituição deve identificar a base legal adequada à finalidade e ao tipo de dado, com apoio das áreas responsáveis.
Posso compartilhar o prontuário inteiro com outro serviço?
Não como regra automática. Avalie finalidade, destinatário, necessidade, sigilo e o recorte pertinente ao trabalho.
Um software torna a unidade conforme à LGPD?
Não por si só. A conformidade também depende de processos, responsabilidades, formação da equipe e medidas de segurança.
Referências para consulta