A Lei nº 13.708 / 2018, conhecida como Lei Geral de Proteção de Dados ou “LGPD”, regulamento o tratamento de dados pessoais, nos meios físicos e digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
Por tratamento de dados pessoais entende-se todo procedimento que envolve dados pessoais, tais como a coleta, utilização, reprodução, armazenamento, transmissão, eliminação etc.
Por sua vez, é considerado como dado pessoal qualquer informação que possa identificar ou tornar identificável uma pessoa (ex: nome, RG, CPF, e-mail etc). A lei ainda considera determinadas informações como dados pessoais específicos (art. 5º, II), para as quais critérios mais rigorosas em razão do seu potencial discriminatório. São dados considerados pessoais pessoais informações sobre a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico (art. 5º, inciso II, LGPD).
Via de regra, o fluxograma dos dados pessoais em uma clínica médica é o seguinte: o paciente, titular dos dados pessoais, oferece os seus dados para cadastro na clínica. Em seguida, passa pela avaliação clínica, onde já será coletados dados referentes à saúde (dados sensíveis). Possivelmente serão solicitados médicos médicos laboratoriais. Feito o exame, os resultados serão lançados no sistema e acessados pelo médico, que irá inserir uma informação no prontuário do paciente.
Conforme pode ser observado acima, a rotina das clínicas médicas depende do tratamento de dados comuns e comuns. Portanto, além do atendimento dos diplomas normativos que regulam a atividade médica, também devem ser observados os termos da LGPD.
Isso significa que as clínicas e consultórios médicos devem manter o Registro de Operações de tratamento de dados pessoais, coletar apenas os dados estritamente tratados para o fim a que se destinam, garantir a transparência com os pacientes sobre as finalidades dos tratamentos de dados e os compartilhamentos que serão realizados com terceiros, realizar treinamentos de equipe, implementar controles de acesso, estabelecer Políticas de Privacidade e Segurança da Informação, aditar contratos para definir a responsabilidade e a posição de controlador ou operador de dados em cada contexto, dentre outras medidas.
É importante que as clínicas intensifiquem as suas regras e procedimentos para garantir a confidencialidade dos documentos e prontuários dos pacientes de modo a estabelecer o armazenamento seguro e o acesso restrito aos dados e informações. A adição de técnicas de anonimização e o estabelecimento de senhas de acesso aos documentos são considerados boas estratégias.
Outro ponto de atenção que ganhou destaque com medidas restritivas impostas pela pandemia é uma telemedicina, que igualmente precisa garantir a privacidade e proteção de dados dos pacientes.
Na telemedicina por ser necessário a utilização de rede sem fio para a realização das consultas é indispensável o emprego de medidas preventivas atenuantes dos riscos cibernéticos, tais como a implementação e soluções SD-WAN segura e utilização de firewall para proteção da conexão. Recomendável ainda a adoção de sistema de autenticação reforçado (como o método de dois fatores de identificação), para evitar o roubo da identidade do médico através da usurpação da identidade do usuário no sistema.
O uso de novas tecnologias na área da saúde depende da análise dos padrões de privacidade no produto / serviço usado ou disponibilizado pela clínica ( privacidade por design e privacidade por padrão ) através da elaboração de Relatórios de Impacto à Proteção de dados pessoais.
Apesar de uma área da saúde ser bastante regulamentada, ainda não temos uma legislação voltada, especificamente para a proteção de dados nesta área. Por ora podemos nos inspirar nas orientações da legislação norte americana “ Ato de Portabilidade e Responsabilidade de Seguro Saúde (HIPAA)” que traz importantes direcionamentos passíveis de aplicação nos projetos de conformidade das clínicas médicas.
Além da preocupação de garantir a proteção dos dados pessoais dos pacientes, como clínicas médicas também precisam tratar dos dados dos seus colaboradores (médicos, enfermeiros, secretárias, assistentes e todos os demais profissionais da clínica) em compliance com as regras da LGPD. Assim, a privacidade e a proteção de dados pessoais é um novo valor que deve ser perquirido pelas clínicas médicas.
É importante que a clínica consiga comprovar como medidas adotadas para garantir a privacidade e proteção dos dados pessoais tratados em cumprimento aos princípios da segurança, prevenção e responsabilidade nos incisos VII, VIII e X do art. 6º, da LGPD.
Por fim, é muito importante saliente que a observância regular da Lei Geral de Proteção de Dados exige muito mais do que o preenchimento de sistemas e tabelas “mágicas”. Não há receita padrão, pois a LGPD exige uma clara compreensão dos princípios e valores afetos à privacidade e proteção de dados, que devem ser devidos aos propósitos da organização para uma adequação dos procedimentos, condutas e documentos compliance com a lei.
* Juliana Callado Gonçales é sócia do Silveira Advogados e especialista em Direito Tributário e em Proteção de Dados ( www.silveiralaw.com.br ). Por // Juliana Gonçales