A Lei Geral de Proteção de Dados (LGPD) vai obrigar muitas empresas a mudarem a forma como recolhem e tratam as informações pessoais de seus clientes, e isso inclui muitos negócios na área da saúde.
Hospitais, farmácias, provedoras de planos de saúde e outras empresas do segmento também precisam fazer alguns ajustes para estar em conformidade com a nova legislação ainda esse ano.
Apesar de a LGPD só entrar em vigor em 2020, muitas companhias do segmento já estão prevendo os efeitos positivos e negativos que as suas determinações podem causar.
A seguir, vamos entender melhor como a área da saúde está ligada à proteção de dados e como este setor será impactado pela nova lei.
Empresas do setor de saúde e os dados sensíveis
Os principais conflitos que devem surgir depois da implementação da LGPD estão ligados ao fato de as empresas de saúde captaram e lidarem diariamente com dados pessoais sensíveis.
Chamamos de dados sensíveis todas as informações extremamente íntimas que, se expostas ou utilizadas de forma indevida, podem trazer prejuízos para o titular. Nessa categoria cabem informações sobre orientação sexual, preferência política, religião, conexão com sindicatos e, também, todo dado ligado à saúde do consumidor.
Esse tipo de informação deve ser manipulada com uma redobrada atenção, uma vez que se trata de um dado bastante particular e seu vazamento ou mau uso pode causar constrangimento, humilhação e outras consequências para o titular.
A vulnerabilidades no setor de TI
Talvez você esteja pensando que, ainda que as informações relativas à saúde sejam consideradas sensíveis, ninguém teria interesse nelas. Esse pensamento, infelizmente, está equivocado. Vazamentos de dados têm se tornado comuns em várias áreas, incluindo no setor de saúde.
Um bom exemplo disso aconteceu em começo de 2018, quando foi detectado que o aplicativo E-Saúde tinha uma brecha que permitia que outros usuários consultassem informações pessoais da saúde de brasileiros.
Dados como histórico de consultas, medicamentos retirados no Sistema Único de Saúde (SUS) e agendamento de consultas médicas poderiam ser acessados facilmente. Importante frisar: o app é de propriedade do Ministério da Saúde.
Agora imagine que você está em um processo seletivo para atuar em uma empresa que sempre admirou e descobriu que precisa tratar uma doença relativamente grave, mas que não vai impossibilitá-lo de trabalhar. Se os seus dados vazarem e chegarem até o contratante, você poderia acabar perdendo a oportunidade sem nem ter a chance de se explicar.
Vazamentos dessa natureza ainda podem abrir espaço para vários tipos de crimes. Em 2017 hospitais públicos e privados de Minas Gerais vazaram informações sobre as condições de diversos pacientes. Em posse desses dados, criminosos começaram a pedir dinheiro para as famílias dos pacientes, afirmando que o valor seria destinado a compra de remédios e tratamentos urgentes.
Casos como esses demonstram que ainda há um longo caminho no que diz respeito a corrigir vulnerabilidades no setor de TI das empresas na área de saúde. E elas terão que correr contra o tempo para fazer esses ajustes antes de agosto de 2020.
LGPD e empresas de saúde
De forma geral, a LGPD determina que as empresas só podem captar informações de seus usuários quando eles consentirem. Porém, existem algumas exceções a essa regra, e uma delas contempla a área da saúde.
O art. 11 da Lei Geral de Proteção de Dados deixa claro que o tratamento de dados pessoais sensíveis pode ser feito sem a autorização do titular se for para assegurar a “tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias”.
O parágrafo 4º do mesmo artigo também foi mudado recentemente pela medida provisória 869/18 e parece facilitar um pouco a operação das empresas de saúde. O texto antigo afirmava que as companhias do setor só poderiam trocar informações em caso de portabilidade, ou seja, quando o titular pedia que os dados fossem enviados para outra empresa.
Com o ajuste da medida provisória, além dos casos de portabilidade, a troca de dados com outras empresas também passa a ser legal caso haja “necessidade de comunicação para a adequada prestação de serviços de saúde suplementar”. Essa premissa abre espaço para que, além de colher dados sem a autorização dos usuários as empresas de saúde também os compartilhem com outras companhias do segmento se houver necessidade.
Como as empresas de saúde devem se adequar a LGPD
Apesar das aparentes “facilidades” concedidas para que as empresas de saúde lidem com os dados pessoais dos brasileiros, elas também terão que fazer várias adaptações em seus procedimentos. Além de otimizar os seus sistemas de segurança, como já foi citado anteriormente, pode ser necessário:
- Criar protocolos de informação e transparência: as empresas de saúde só podem captar dados sem autorização em alguns casos específicos. Do contrário, devem obedecer os pilares da LGPD: pedir permissão do titular para o recolhimento de informações e indicar como e com qual finalidade elas serão usadas. Para isso, é importante criar uma cultura organizacional em que todos os colaboradores estejam por dentro das regras de proteção de dados, sigam procedimentos específicos em sua coleta e tratamento e ter sistemas que permitam a edição ou exclusão dos dados, se necessário.
- Considerar a contratação de um DPO: como lidam com um grande volume de dados, hospitais, seguradoras e farmácias devem considerar a contratação de um DPO. Esse profissional vai garantir que as boas práticas de proteção de dados sejam seguidas e fará a mediação entre os interesses do controlador e dos titulares.
- Definir procedimentos de vazamento: é importante que as empresas da área de saúde criem um plano de gestão de crise caso haja vazamento. O ideal é entrar em contato com os pacientes afetados o quanto antes e abrir uma sindicância para investigar e corrigir a falha o quanto antes – evitando que novas quebras de sigilo aconteçam.
Além desses pontos, é fundamental que as empresas de saúde contem com uma boa assessoria jurídica. Advogados especializados em Direito Digital e proteção de dados devem auxiliá-las na adequação de processos para que eles estejam em compliance com a LGPD.
Se sua empresa também precisa de apoio para estar em dia com a nova legislação, não deixe para a última hora! Entre já em contato com os advogados da Assis e Mendes!
