por Assis e Mendes | jul 29, 2019 | Imprensa, Imprensa, Imprensa, LGPD
COMO A NOVA LEI DE PROTEÇÃO DE DADOS INTERFERE NA ÁREA MÉDICA
Com a nova Lei Geral de Proteção de Dados Pessoais (LGPD), qualquer espécie de utilização de dados pessoais no país, que circulem em meio físico ou digital, estará sujeita às novas regras e princípios tais como o da transparência, finalidade, coleta da menor quantidade possível de dados e o “security and privacy by design”.
O titular dos dados pessoais será sempre a pessoa física identificada ou identificável, que passará a ter o direito de saber como seus dados serão utilizados, com quem serão compartilhados e se oporem ao seu uso casos específicos.
Apesar de novo no país, este tipo de legislação teve origem na Europa e consolidou-se como tendência mundial após os sucessivos escândalos envolvendo vazamento de dados ou mesmo direcionamento de campanhas com base em perfis comportamentais.
Isto porque, se “os dados são o novo petróleo”, a sua coleta e utilização devem ser pensadas para minimizar eventuais danos em caso de vazamento ou uso irregular, bem como a sua utilização deve seguir regras comuns.
Além da GDPR, como é conhecida a Lei Geral de Proteção de Dados Europeia, outras regulamentações internacionais já existiam e traziam restrições para a área da Saúde. Nos Estados Unidos, os procedimentos devem seguir a HIPA (Health Insurance Portability and Accountability Act) e Protected Health Information (PHI – Informações de saúde protegidas). No Brasil, os atos médicos e prontuários também já haviam sido regulamentados por Normas Regulamentadoras do então Ministério do Trabalho e Emprego, bem como pelo CRM caso do prontuário eletrônico.
Mesmo com todos os avanços e novos conceitos, a área da saúde será uma das mais impactadas pela nova Lei.
Impactos na área da saúde
Sendo uma legislação geral, feita para todos os tipos de negócios e de forma genérica, muitas das questões médicas e que envolvem o tratamento de informações sobre doenças e pacientes não foram pensadas durante a fase de tramitação do projeto original. Isso criou uma série de obstáculos práticos para que hospitais e médicos possam compartilhar informações com planos de saúde, farmácia e empresas de medicina.
Na prática já são muitas as situações onde a medicina conflita com o direito e geram revisões judiciais. Agora situações específicas também precisarão ser repensadas sob o ponto de vista ético, finalístico e legal conjuntamente com o exercício da profissão.
No tocante à Medicina do Trabalho, são comuns discussões sobre os limites da conduta profissional ao reportar doenças ocupacionais e outras situações para as empresas contratantes. Avolumam-se na Justiça do Trabalho ações que pedem a reintegração de funcionários com doenças específicas. Na justiça civil também existem pedidos de indenizações contra médicos por violação de sigilo ou prejuízo à imagem.
Agora a LGPD nos faz pensar além. Na Europa, um hospital português foi multado em 400 mil euros por não ter o controle sobre os usuários que tinham acesso aos prontuários médicos. No Brasil há ações do Ministério Público contra uma rede de farmácias que compartilha dados de compra de medicamentos com planos de saúde e laboratórios e casos nos quais a justiça houve indenizações por vazamento de prontuários.
Deveremos então repensar algumas condutas para garantir o sigilo das informações e exames solicitados.
Para a Lei, qualquer dado pessoal sobre origem racial ou étnica, convicção religiosa ou dados referentes à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural, são considerados sensíveis. Dados sensíveis só deverão ser utilizados com o consentimento do titular ou em casos específicos, como na tutela da saúde, sob pena de multa que podem chegar a R$ 50 milhões.
O desafio prático será saber a quem recairá a responsabilidade: para a empresa contratante ou para o médico do trabalho? Quem deveria ter acesso ao prontuário médico e como ele é arquivado, fisicamente ou por todo o período de retenção legal? Como o médico do trabalho poderá se precaver se uma informação sensível relatada por um paciente for compartilhada ou acessada indevidamente através de um sistema informático da própria empresa? E no caso de o sigilo médico-paciente ser comprometido pela solicitação de exames complementares específicos?
São indagações como estas que precisam ser debatidas até agosto de 2020, quando a LGPD entrará em vigor. Não só a área médica, mas todos os segmentos terão a oportunidade de revisar seus procedimentos internos e normas gerais, buscando uma nova harmonização e integração entre o que deverá ser feito e os novos conceitos ligados à proteção de dados.
Na grande parte do tempo, todos nós somos clientes ou fontes de coletas de dados e hábitos de consumos por empresas que sequer conhecemos. Mesmo parecendo mais uma obrigação legal e novas burocracias para a área médica, vale lembrar que o espírito da Lei é a educação e conscientização de quão importante nossas informações pessoais são.
Texto escrito por ADRIANO MENDES, advogado e sócio do Assis e Mendes Advogados, no portal APMT.
por Assis e Mendes | jul 16, 2018 | LGPD
A Abrahosting – Associação Brasileira das Empresas de Infraestrutura de hospedagem na Internet – avalia que a aprovação pelo Senado do Projeto de Lei de Proteção de Dados Pessoais — LGPD (PL 53/2018) torna mais competitiva e juridicamente confortável a situação dos provedores nacionais frente à concorrência estrangeira no setor de serviços em nuvem.
De acordo com a entidade, embora o cumprimento da Lei implique em mais investimento em infraestrutura e governança, o mais importante para o setor é que o Brasil não corre mais o risco de uma posição subalterna ou inferior aos estrangeiros em seu arcabouço normativo.
“Nossas condições técnicas estão entre as melhores do planeta, mas já estávamos atrasados em relação a vários países grandes nessas garantias individuais e isto representava uma ameaça constante de fragilização comercial dos nossos serviços, principalmente para aqueles clientes que transacionam com corporações submetidas à GDPR (Lei Europeia de Dados)”, afirma Vicente Moura Neto, presidente da Abrahosting.
O diretor executivo Gustavo Morgado informa que muito antes da aprovação do PL brasileiro e da entrada em vigor da nova norma europeia, que ocorreu em maio último, a maior parte dos associados da Abrahosting (que respondem por mais de 60% do tráfego Web no Brasil), já vinha se empenhando para obter classificações de compliance definidas pelo próprio mercado como forma de garantir o protagonismo nacional numa área cada vez mais preocupada com a segurança dos dados de terceiros.
Entre os fatores positivos da Lei de dados brasileira, o presidente da Abrahosting destaca a aprovação de se criar uma camada independente de arbitragem para as questões de proteção de dados pessoais, o que garante ao mercado uma margem de autorregulação com participação direta das empresas, governo e usuários, tal como acontece nos países mais evoluídos.
De acordo com Adriano Mendes, consultor jurídico da Abrahosting e sócio do escritório Assis e Mendes Advogados, as áreas técnicas do setor de hospedagem vão precisar trabalhar em equipe com o aconselhamento jurídico a fim de se adaptar à maior responsabilidade legal que irá pesar sobre a infraestrutura e governança do negócio. “Tal como na GDPR, as empresas de serviço na nuvem terão de responder à exigências muito maiores de auditoria de tráfego e rastreamento dos acessos.”, assinala Mendes.
“Além disso, prossegue ele, a Lei exige a presença obrigatória de um profissional de gestão de dados (algo até agora opcional) que arcará, em parte, com resposta jurídica acerca dos incidentes com informações pessoais dos clientes”.
“Security by Design”
Há mais de dois anos, a Abrahosting vem manifestando publicamente a ansiedade do setor em relação à aprovação da nova Lei de Dados Pessoais, e discutindo com os associados sobre a conformidade dessa Lei com os principais marcos legais que estão surgindo para dar organização jurídica à sociedade em nuvem.
Através de suas reuniões e workshops regulares, a entidade oferece troca de experiências e aconselhamento especializado em questões relacionadas às políticas de TI, comunicação, segurança e gerenciamento de negócios na chamada “terceira plataforma”.
Na visão de Vicente Neto, o setor está caminhando rapidamente para uma arquitetura de operação compatível com o modelo “security by design” (ou projetado para a segurança), em que todos os pontos da estrutura e da operação sigam requisitos estritos de auditoria, monitoramento e compliance.
No ano passado, o setor de hospedagem na nuvem no Brasil, segundo dados da Abrahosting, faturou R$ 1,4 bilhão e investiu cerca de R$ 140 milhões em tecnologia (hardware, software e serviços), não contabilizando seus gastos de pessoal empregado em desenvolvimento de soluções internas.
por Assis e Mendes | set 20, 2017 | Bots
A proliferação de bots para atuarem na comunicação entre marcas e consumidores traz consigo uma série de questões de ordem jurídica, às quais poucas empresas estão dando a devida atenção. Na maioria das vezes, advogados são convidados a opinar sobre um bot quando ele já está desenvolvido e prestes a ser lançado no mercado. Mas o ideal, especialmente no caso de empresas que atuam em setores regulados, como telecomunicações, seguros e serviços financeiros, é que um advogado contribua com o projeto desde a sua concepção. É o que recomenda Adriano Mendes, advogado especializado em tecnologia da informação e sócio do escritório Assis e Mendes Advogados.
“Se for um bot para atendimento de clientes de um banco, por exemplo, é bom haver um advogado acompanhando a definição do escopo do projeto para ajudar a mantê-lo de pé em termos jurídicos”, aconselha.
Problemas jurídicos podem acontecer
Mendes lista alguns possíveis problemas de ordem legal aos quais os chatbots estão sujeitos. O primeiro e mais importante diz respeito à privacidade do usuário. É preciso desenhar termos de serviço claros quanto ao que será feito com os dados coletados do consumidor e acompanhar a eventual integração do bot com APIs de terceiros para assegurar que o tráfego de informações entre empresas não vai ferir tais termos.
Outro risco está na identificação equivocada de um usuário, especialmente no que tange bots de renegociação de dívidas, que estão ficando cada vez mais populares. “Há várias iniciativas de uso de bots para a cobrança de inadimplentes. Procuram-se perfis de usuários associados ao CPF do devedor. Uma vez identificados, são feitas abordagens ativas pelas redes sociais. Se o robô errar a pessoa, há risco de processo por dano moral por causa de cobrança indevida. E há também o risco de se fazer um acordo pelo valor errado, cobrando-se menos do que deveria. Se isso acontecer, não tem como voltar atrás depois”, explica.
No caso de bots de comércio eletrônico, há também o risco de serem acusados de praticar venda casada. Como muitos deles analisam o histórico de compras e o comportamento do consumidor na Internet, acabam sendo oferecidas promoções personalizadas. É preciso tomar cuidado para que não seja compreendida como venda casada a tentativa de vender simultaneamente dois ou mais produtos que potencialmente interessem ao cliente. O Código de Defesa do Consumidor proíbe a venda casada de produtos no Brasil.
Empresa dona do bot pode ser responsabilizada
Em caso de um processo judicial, a responsabilidade recai primeiramente sobre a empresa dona do bot, ou seja, a marca que usou o bot para conversar com o consumidor. Mas nada impede que fornecedores de tecnologia sejam considerados corresponsáveis, eventualmente em uma ação regressiva movida pela marca que foi processada.
Mendes lembra que existem hoje seguros de para riscos cibernéticos, que podem proteger as empresas em caso de falhas no código-fonte de um software. Essas apólices podem servir para bots. O problema é que custam caro e hoje em dia poucas empresas no Brasil estão dispostas a contratar esse seguro.
