Dia após dia é possível notar a crescente veiculação do conteúdo da Lei Geral de Proteção de Dados – LGPD (Lei 13.709/2018) em diversos tipos de mídia. E não é para menos.
De um lado temos os profissionais premidos pelo tempo para se adequarem e de outro, as incertezas causadas pelas vulnerabilidades tecnológicas e pela novidade da Lei.
Com a aproximação da data de entrada em vigor - a LGPD entrará em agosto de 2020, empresas de diferentes portes e seguimentos continuam buscando entender como adequar seus negócios, atendendo às exigências da nova lei.
Seguindo uma tendência mundial e espelhada no Regulamento Europeu (GDPR), a Lei brasileira define dados pessoais como todas as informações que identifiquem ou possam identificar uma pessoa física, como nome, sobrenome, CPF, placa de carro, além de dados considerados sensíveis, que são informações íntimas que, se publicadas ou utilizadas de forma indevida, trazem prejuízos ao titular.
Diante disso, entende-se que todas as informações referentes à saúde do titular, são sensíveis, como, por exemplo, as tipo sanguíneo, cirurgias realizadas, avaliação nutricional, peso, entre outras que constam ou não no prontuário médico.
A proteção de dados pessoais na área da saúde sempre foi uma preocupação presente nos mais diversos estabelecimentos, tendo em vista o caráter sigiloso da relação profissional-paciente.
Além disso, a obrigação de guarda segura dessa informações por vezes é determinada pelas entidades de classe, como é o caso do Conselho Federal de Medicina que impõe vedação aos médicos de liberação de cópias de prontuários sem a devida autorização, preservando, assim, o direito à intimidade do paciente (Resolução nº 1.931/09).
Ocorre que a LGPD, ao mesmo passo que confere direitos aos titulares dos dados, estabelece obrigações e traça diretrizes de ordem técnica e procedimental para àqueles que realizarão o tratamento do dado.
Além disso, como forma de garantir o cumprimento e a segurança dos dados, a LGPD determina penalidades em caso de eventual descumprimento. As sanções que podem ser aplicadas, vão desde advertência até a imputação de multa simples ou diária – que podem chegar até cinquenta milhões.
Nesse sentido, no que se refere a área da saúde, podem ser consideradas violações à LGPD, não somente o vazamento de dados, mas também o uso compartilhado visando obter vantagem econômica, ou, ainda, a utilização para finalidade diversa da obtida.
A título de exemplo, incorre em violação à LGPD determinada clínica ou hospital que utilizar dados do paciente obtidos durante procedimento de tutela da saúde, para catalogar e oferecer determinada solução para um grupo de pacientes. Também incorre em violação à LGPD o estabelecimento que não promover o treinamento específico de seus funcionários, que resulte na divulgação de dados sensíveis de pacientes.
Vale lembrar que a LGPD dispõe não somente sobre os dados armazenados em meios digitais, como também aqueles registrados em vias físicas. Portanto, o tratamento dos arquivos de papel ainda devem ser objeto de muita atenção pelos profissionais da área da saúde.
Diante disso, é certo que aqueles estabelecimentos que se enquadram no âmbito de aplicação da lei deverão contar com um data Compliance, ao passo que o artigo 50 da LGPD positivou a necessidade de implementação de um programa de governança que demonstre o comprometimento com a adoção de políticas que assegurem seu cumprimento.
O programa de data Compliance deverá apresentar soluções para cumprimento em quatro níveis: técnico (ferramentas tecnológicas), documental (políticas e normas internas, contratos), procedimental (adequação da governança e tutela dos dados) e cultural (desenvolvimento de conscientização acerca dos níveis anteriores).
E, neste ponto está a chave para a adequação das atividades da empresa de forma assertiva.
Para garantir a efetividade do programa não basta que o profissional invista em programas de TI, mas, também, desenvolva procedimentos internos que instruam seus funcionários ou prestadores de serviços acerca das novas exigências normativas.
Concomitante ao treinamento e conscientização de equipes e colaboradores, faz-se necessário investimentos em ferramentas de tecnologia, buscando inibir vazamentos, controlar acessos e evitar entradas indesejáveis no sistema.
Entende-se que o data compliance poderá ser implementado de maneira isolada, independente da empresa ter um programa completo de compliance, pois trata-se de um tutela jurídica específica do Estado que prevê a aplicação de sanções expondo as empresas ao risco, sendo determinante o cuidado com o tema.
Desta forma, entende-se que para a diminuição dos riscos, os profissionais necessitam iniciar o quanto antes uma revisão de seus procedimentos e sistemas a fim de que, dentro do prazo de um ano, estejam adequadas à nova Legislação. O desafio é grande tendo em vista que trata-se de matéria interdisciplinar, envolvendo investimento tecnológico e acompanhamento por profissionais da área do direito e da tecnologia da informação.
Entretanto, ainda que cause estranheza inicialmente, a nova Lei brasileira acompanha e permite a evolução dos negócios e das tratativas mundiais de forma ordenada. Por isso, é necessário que os profissionais conheçam, classifiquem e protejam os dados que estão sob seu tratamento e passem a conduzir seus negócios observando os princípios de direitos humanos e respeito à privacidade, bases da LGPD.
Comments