A Lei Geral de Proteção de Dados Pessoais (LGPD) representa um avanço significativo na confidencialidade de dados sensíveis no Brasil, alinhando o país às melhores práticas internacionais em privacidade e segurança da informação. Ao estipular normas rigorosas para o tratamento de dados, a LGPD oferece um nível mais elevado de proteção e transparência, indispensável para preservar os direitos dos cidadãos.
A conformidade com essa legislação é importante para todas as organizações que processam dados pessoais, assegurando não só o cumprimento das obrigações legais, mas também o fortalecimento da confiança e a garantia dos direitos dos titulares das informações.
Quer aprimorar seu conhecimento sobre como a LGPD impacta diretamente a prática clínica e a pesquisa em saúde? Então, continue a leitura deste conteúdo e descubra as melhores práticas para proteger dados sensíveis e promover a segurança dos seus pacientes.
Princípios da LGPD
A Lei Geral de Proteção de Dados Pessoais (LGPD) define dados pessoais como qualquer informação que possa identificar direta ou indiretamente um indivíduo, como nome, endereço, e-mail, documentos pessoais, dados de localização e até endereços IP ou cookies. Além disso, a lei diferencia os dados sensíveis, que incluem informações de natureza mais delicada, como origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos ou biométricos, saúde e vida sexual. A violação desses dados sensíveis pode resultar em discriminação e causar danos à liberdade, à dignidade e aos direitos dos titulares.
Vale destacar que a privacidade é um direito constitucional, garantido pelo art. 5º, inciso X, da Constituição Federal, que considera invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurando o direito à indenização em casos de violação, seja ela material ou moral.
As atividades de tratamento de dados pessoais devem ser conduzidas com base no princípio da boa-fé e conforme os princípios estabelecidos pela LGPD. Entre eles, destaca-se a finalidade, que determina que o tratamento de dados deve ocorrer para propósitos legítimos, específicos e informados claramente ao titular, sem desvios ou usos incompatíveis com o propósito inicial.
Outro princípio é o da adequação, que determina que o tratamento dos dados esteja sempre em consonância com as finalidades comunicadas ao titular, respeitando o contexto em que essas informações foram coletadas. No que se refere à necessidade, o tratamento deve se restringir ao que é estritamente essencial para atingir os objetivos informados, evitando a coleta de dados excessivos ou irrelevantes.
O princípio do livre acesso garante que os titulares possam consultar seus dados pessoais de maneira simples e gratuita, tendo conhecimento sobre como e por quanto tempo essas informações serão tratadas. A qualidade dos dados é outro ponto muito primordial, uma vez que determina que as informações mantidas sejam precisas, claras, relevantes e atualizadas, conforme a necessidade do tratamento.
A transparência no tratamento de dados também é fundamental, exigindo que os titulares sejam informados de maneira clara e acessível sobre como seus dados são tratados, bem como sobre os responsáveis por esse processo, sempre respeitando os segredos comerciais e industriais envolvidos. A segurança dos dados deve ser garantida por meio de medidas técnicas e administrativas que protejam as informações pessoais contra acessos não autorizados e outros riscos, como perda, alteração ou divulgação inadequada.
A prevenção envolve a adoção de práticas que previnam a ocorrência de danos decorrentes do tratamento inadequado de dados pessoais. O princípio da não discriminação reforça que o tratamento de dados não deve ser utilizado para fins ilícitos, abusivos ou discriminatórios.
Por fim, o princípio da responsabilização e prestação de contas determina que tanto o controlador quanto o operador dos dados devem ser capazes de demonstrar o cumprimento das disposições da LGPD, adotando medidas que assegurem a eficácia e a conformidade legal no tratamento das informações.
A importância da LGPD na saúde
No setor de saúde, a violação de dados pode resultar em danos expressivos em relação à privacidade e à dignidade dos pacientes. Informações como diagnósticos médicos, tratamentos e resultados de exames são classificadas como dados sensíveis pela Lei Geral de Proteção de Dados Pessoais (LGPD), o que requer cuidados especiais em seu manuseio. Um vazamento de dados dessa natureza pode causar discriminação ou constrangimento, além de comprometer a relação de confiança entre o paciente e os profissionais ou o estabelecimento de saúde.
Dada a gravidade de uma possível violação, a LGPD exige que o tratamento de dados pessoais na saúde seja feito com proteção especial e com a adoção de medidas rigorosas. Profissionais de saúde devem garantir que todas as operações — da coleta ao armazenamento e compartilhamento de informações — sigam as diretrizes da LGPD. Isso inclui, por exemplo, obter o consentimento explícito dos pacientes, implementar sistemas seguros de armazenamento de dados e garantir que apenas pessoas autorizadas tenham acesso a essas informações.
A LGPD impacta diretamente a realização de pesquisas de saúde pública. De acordo com o artigo 13 da LGPD, órgãos de pesquisa têm permissão para acessar bases de dados de saúde, desde que cumpram com rigor as normas de proteção, como a anonimização dos dados, sempre que possível. A Autoridade Nacional de Proteção de Dados (ANPD) estabelece diretrizes específicas para o tratamento de dados nesse contexto, ressaltando a importância de seguir os padrões éticos e de segurança para minimizar os riscos aos titulares das informações.
A ANPD reforça que o uso de dados de saúde para fins acadêmicos ou de pesquisa científica deve sempre seguir os princípios da segurança e confidencialidade. Mesmo em casos em que o consentimento do paciente não seja necessário, como em determinadas pesquisas de interesse público, os dados devem ser utilizados apenas para os fins específicos declarados, devendo ser adotadas medidas técnicas e administrativas para evitar o uso inadequado ou a exposição desses dados.
A anonimização e a pseudonimização são práticas importantes nesse processo. A anonimização impede que os dados possam ser associados diretamente ao titular, garantindo a privacidade mesmo em grandes estudos epidemiológicos. Já a pseudonimização mantém a possibilidade de identificação dos titulares, mas apenas sob condições específicas e controladas. Essas práticas protegem a privacidade dos pacientes sem impedir que os dados sejam utilizados em pesquisas relevantes para o avanço da saúde pública.
Portanto, a LGPD assegura que o tratamento de dados na saúde ocorra de forma segura, ética e responsável, possibilitando o equilíbrio entre a proteção da privacidade dos pacientes e a necessidade de inovação e avanço científico. Instituições de saúde, como hospitais, clínicas e laboratórios, precisam adotar medidas rigorosas de governança de dados para evitar incidentes, como vazamentos e acessos não autorizados, garantindo a conformidade com a lei e a segurança dos pacientes em seus serviços.
Além da segurança, a transparência também é um pilar da LGPD. Os pacientes devem ser informados sobre o uso de seus dados, compreendendo claramente como as informações serão tratadas e por quanto tempo serão armazenadas. Essa transparência é necessária não só para garantir o cumprimento da lei, como também para preservar a relação de confiança entre os profissionais de saúde e os pacientes.
A conservação dos dados é outro aspecto relevante da LGPD. A lei permite que os dados pessoais sejam conservados para a realização de pesquisas futuras, desde que anonimizados e que sejam cumpridas as regras de proteção e confidencialidade. Isso é particularmente importante para a saúde pública, na qual a análise longitudinal de dados pode ser benéfica para o desenvolvimento de políticas e tratamentos mais eficazes.
Obrigações e penalidades
Para atender às exigências da LGPD, as organizações de saúde devem realizar algumas adaptações em seus quadros e processos internos, sendo o controlador e o operador os principais agentes no tratamento de dados.
O controlador é a pessoa ou entidade responsável por decidir sobre como e por que os dados serão tratados, enquanto o operador atua sob as orientações do controlador, realizando o processamento dos dados em seu nome. Esses agentes têm a responsabilidade de garantir que todos os processos de tratamento de dados estejam conforme a lei.
A adequação pode envolver revisões de contratos com terceiros, implementação de programas de governança de dados, treinamentos constantes para os funcionários e adaptação de sistemas para garantir a Privacidade por Design e a Privacidade por Padrão.
Caso haja o descumprimento das normas da LGPD, a regulamentação prevê penalidades severas. As sanções podem variar desde advertências até multas de até 2% do faturamento anual da empresa, limitadas a R$50 milhões por infração. Outras penalidades incluem publicização da infração, bloqueio ou eliminação dos dados pessoais tratados de forma inadequada.
Para evitar essas sanções, é determinante que as instituições de saúde sigam rigorosamente as diretrizes da lei e implementem um sistema eficaz de governança de dados.
Termo de Consentimento Livre e Esclarecido
O Termo de Consentimento Livre e Esclarecido (TCLE) é um documento utilizado para garantir a conformidade com a LGPD, especialmente no setor de saúde. Sua principal função é assegurar que o paciente tenha plena compreensão e forneça consentimento expresso para o uso de seus dados pessoais, seja para a realização de exames, tratamentos ou participação em pesquisas clínicas. Um TCLE bem elaborado deve incluir alguns elementos, tais como:
- A finalidade específica da coleta de dados, de forma clara e objetiva;
- A possibilidade de compartilhamento de dados com terceiros, caso aplicável;
- Os dados de contato do encarregado de proteção de dados (DPO), responsável por esclarecer dúvidas e garantir o exercício dos direitos do titular.
No entanto, cabe ressaltar que o TCLE não é obrigatório em todas as situações, sendo necessário quando o tratamento de dados se baseia no consentimento do paciente. Em casos em que o tratamento se justifica por outras bases legais, como a execução de um contrato ou a preservação da saúde, o consentimento pode não ser exigido, desde que o tratamento atenda às demais exigências da LGPD.
Redes sociais
Com o avanço da tecnologia e a popularização das redes sociais, a privacidade dos dados ganhou uma nova dimensão. No setor de saúde, o uso de aplicativos de mensagens, como o WhatsApp, para a troca de informações de pacientes é permitida, mas requer cautela. Enviar informações pessoais ou dados de saúde sem as devidas precauções pode resultar em violações graves da LGPD. Para mitigar esses riscos, recomenda-se que os profissionais de saúde adotem as seguintes boas práticas:
- Utilizar mensagens temporárias que se autodestroem após a leitura;
- Evitar mencionar o nome completo do paciente ao compartilhar informações sensíveis;
- Garantir que os dados sejam enviados apenas para pessoas autorizadas e em ambientes seguros.
Adicionalmente, o uso de cookies em sites de clínicas e hospitais deve seguir as diretrizes da ANPD. Segundo as diretrizes da ANPD, apresentadas no guia “Cookies e Proteção de Dados Pessoais” (18/10/2022), os sites são obrigados a exibir uma caixa de consentimento que permita ao usuário escolher se deseja compartilhar as suas informações. Essa caixa deve claramente informar a finalidade da coleta dos dados, garantindo que o usuário possa tomar uma decisão informada sobre o compartilhamento de suas informações, promovendo transparência e conformidade com a LGPD.
Cibercriminosos exploram brechas de segurança e falta de conhecimento para roubar informações. Para se proteger, os usuários devem adotar medidas como: usar senhas fortes e únicas para cada serviço; evitar clicar em links suspeitos para prevenir golpes de phishing; ativar a autenticação em dois fatores; limitar a exposição de informações pessoais sensíveis, como localização e endereço; e utilizar cofres de senha. Esses aplicativos armazenam senhas de forma segura, geram combinações fortes automaticamente e facilitam o preenchimento de formulários, reforçando a segurança on-line.
A implementação da LGPD no setor de saúde é crucial para garantir a proteção dos dados sensíveis dos pacientes. Médicos e demais profissionais da saúde precisam adotar medidas rigorosas de segurança e privacidade para estar em conformidade com a lei. A LGPD, ao reforçar a importância da ética no tratamento de dados, também promove maior confiança entre pacientes e instituições, permitindo a proteção dos direitos dos titulares e a integridade das informações.
Para se manter atualizado sobre as últimas inovações na área da saúde, continue acompanhando o Blog Sabin para Médicos. Separamos um conteúdo sobre como a inteligência artificial está transformando a medicina diagnóstica. Confira!
Referências:
AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Guia orientativo para o tratamento de dados pessoais para fins acadêmicos e para a realização de estudos e pesquisas. Brasília: ANPD, 2023.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
CONSELHO FEDERAL DE MEDICINA (CFM). Cartilha sobre a Lei Geral de Proteção de Dados (LGPD) para médicos. Brasília: CFM, 2021. Disponível em: https://portal.cfm.org.br/index.php?option=com_content&view=article&id=29769:cfm-lanca-cartilha-sobre-lei-geral-de-protecao-de-dados-lgpd-para-medicos&catid=3.