Lei Geral de Proteção de Dados – Saúde

É certo que, com o advento da LGPD (Lei Geral de Proteção de Dados Pessoais – Lei 13.709/2018), praticamente todas as empresas têm que se adaptar ao previsto na Lei, com relação a proteção de dados pessoais.

Todavia, alguns dos setores em específico, como o setor da Saúde, acabam tendo uma maior complexidade nessa adaptação.

Dados Pessoais Sensíveis – Saúde

Com efeito, essa maior complexidade se dá por alguns fatores, e, dentre eles, vale destacar, inicialmente, o fato de que os dados referentes à saúde dos indivíduos são considerados dados pessoais sensíveis.

Alguns tipos de dados pessoais são considerados sensíveis, porque, em suma, tratam-se de dados que tem capacidade para gerar discriminação ou tratamento diferenciado, como origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico.

Dessa forma, um dos principais fatores que acabam tornando a adaptação das empresas do setor da saúde à LGPD mais complicada, é o fato de que os dados pessoais sensíveis têm suas hipóteses de tratamento mais restritas.

Sendo assim, e destacando-se que os dados referentes à saúde dos indivíduos, além dos dados genéticos e biométricos são considerados sensíveis, há uma maior complexidade no enquadramento legal da hipótese de tratamento.

Clínicas de pequeno e médio porte, Operadoras de Planos de Saúde e Hospitais

Nesse sentido, é muito importante que as empresas do setor da saúde, desde clínicas de pequeno e médio porte, a grandes operadoras de planos de saúde e hospitais, definam quais são as hipóteses de tratamento de dados que mais sejam adequadas para o caso concreto.

Hipóteses Legais de Tratamento de Dados

Por exemplo, o consentimento, apesar de ser uma das hipóteses legais de tratamento, não é a hipótese mais adequada para todas as situações, tendo em vista que o titular pode revogar este consentimento a qualquer momento.

Dessa forma, faz-se necessário ter em mente que a adequação à LGPD das empresas do setor da saúde deve ser muito bem estruturada, de forma estratégica, para que, futuramente, não ocorram imprevistos que gerem prejuízos às empresas, sejam decorrentes de sanções administrativas, ou judiciais ou, até mesmo, comerciais.

Outro dos principais fatores que geram maior complexidade à adequação da LGPD – Lei Geral de Proteção de Dados no setor da saúde, é o fato de que os mecanismos de segurança que protegem os dados tratados pelas empresas terão que ser capazes de, efetivamente, proteger esses dados.

Nesse sentido, é necessário investimento em mecanismos de defesa de ponta, bem como em profissionais que realmente saibam como proteger sistemas e bancos de dados, para que não sofram ataques e/ou invasões e, também, em mecanismos que “combatam” esses ataques, quando necessário.

Esses mecanismos de defesa, por muitas vezes, podem necessitar de investimentos relativamente altos, mas é certo que, se esses mecanismos forem eficientes para combater ataques e manter os dados seguros, valerão a pena.

Pode-se afirmar que valerão a pena porque, as sanções que as empresas podem vir a sofrer, no caso de algum incidente, podem ter impactos financeiros catastróficos.

Quer saber mais sobre as sanções administrativas da LGPD e seus impactos? Leia o artigo: Multa na LGPD – Penalidades pelo descumprimento

Evidências de boas práticas na manipulação dos dados

Também vale mencionar que as empresas não devem somente se adequar a LGPD, mas também devem conseguir demonstrar que se adequaram, documentando todos os passos, aquisições e investimentos que fizeram na adequação.

Com efeito, essa documentação é importante para que, no caso de algum incidente de invasão ou vazamentos de dados, seja possível comprovar à ANPD (Agência Nacional de Proteção de Dados) e/ou à Justiça, que a empresa investiu e efetivamente se adequou à Lei.

Por fim, outro ponto determinante que gera maior complexidade a adaptação, é a elaboração do Relatório de Impacto, que, em suma, é um relatório acompanhado de documentos que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco, conforme disposto no artigo 5º, XVII da LGPD, e que geralmente é feito por profissional da área, devido a sua alta complexidade.

Guilherme Molinari

Advogado do Battaglia & Pedrosa Advogados. Graduado em Direito pela FADI – Faculdade de Direito de Sorocaba. Pós-graduando em Processo Civil pela FGV-LAW .

guilherme@bpadvogados.com.br