DADOS SENSÍVEIS
A LGPD – Lei Geral de Proteção de Dados, com objetivo de eleger prioridades e cuidados especiais, categorizou os dados em comuns, sensíveis e de crianças e adolescentes.
Os dados comuns, como sendo aqueles que podem identificar determinado indivíduo, seja de forma direta ou indireta.
Já os dados sensíveis, o próprio texto legal fez questão de conceituar como sendo aquele dado pessoal que informa sobre a origem racial ou étnica, sobre a convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, de caráter filosófico ou político, referente à saúde ou à vida sexual, e dados genéticos ou biométricos, quando vinculado a uma pessoa natural.
Ou seja, tratam-se de dados que por sua natureza, diretamente ligados à intimidade da pessoa, podem ser objeto de situações discriminatórias, vexatórias ou de interesse exclusivo e pessoal do titular de dados.
A empresa que trata dados sensíveis, está exposta a maiores riscos em caso de incidentes, motivo pelo qual, possui obrigação de segurança e prevenção ainda maior do que no tratamento de dados comuns, tendo em vista que, um dos objetivos primordiais da LGPD é a inviolabilidade da intimidade, da honra e da imagem da pessoa humana.
A Lei já está em vigor, e, em especial as empresas da área da saúde, devem estar adequadas às medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais sensíveis de acessos não autorizados, seja por situações acidentais ou ilícitas de vazamento, destruição, perda, alteração, comunicação, ou qualquer forma de tratamento inadequado ou ilícito, sob pena de possíveis condenações judiciais e sanções administrativas, a partir do início das atividades da ANPD – Agência Nacional de Proteção de Dados.
Você empreendedor, já iniciou seu Plano de Governança em Tratamento e Proteção de Dados Pessoais???
Jean Romarez – OAB/SC 16.194
O CONSENTIMENTO PARA COLETA DE DADOS PESSOAIS
De acordo com a LEI GERAL DE PROTEÇÃO DE DADOS – LGPD, para tratar (coletar, armazenar, compartilhar etc.) dados pessoais, toda e qualquer empresa precisa ter uma base legal para tal finalidade.
Base legal é o que justifica, o que autoriza e torna legítimo o tratamento de dados.
A Lei descreveu 10 (dez) bases legais para justificar o tratamento de dados, contudo, a primeira base legal descrita é o CONSENTIMENTO !!!
Consentimento é a autorização expressa do titular de dados, que é a pessoa natural a quem se referem os dados que serão tratados pela empresa.
No entanto, não basta o simples consentimento, imposto de qualquer maneira ao titular.
O tradicional “Li e Aceito” poderá ser considerado nulo de acordo com Lei, que afastou as autorizações genéricas, e sem finalidades específicas e pré-determinadas.
O consentimento, para ser totalmente legal, impõe-se que seja estruturada nas seguintes bases:
- Deve ser livre, dando direito ao titular de consentir parcialmente, ou conforme a necessidade do tratamento de dados. O tradicional “tudo ou nada” deve ser evitado;
- Deve ser específico, para alcançar uma finalidade previamente informada ao titular;
- Deve ser inequívoco, ou seja, não pode haver dúvidas quanto a ciência exata do que consentirá;
- Deve ser expresso, por escrito, e caso seja inserido nas cláusulas de um contrato, deve estar ser destacado, de forma a não deixar dúvidas sobre a sua ciência e aceitação.
O consentimento após coletado, deve ser armazenado pela empresa, pois em caso de necessidade de sua comprovação, será obrigação da empresa a realização dessa prova.
E por último, é importante saber que o consentimento não é para sempre, e pode ser revogado pelo titular a qualquer momento, de forma gratuita e facilitada, ou seja, sem necessidade de processos administrativos ou longas ligações de “0800”.
Assim, para as empresas que usam o consentimento para tratamento de dados pessoais, vale a pena revisitar seus processos internos, para verificação se estão adequadas aos critérios legais, e à nova Cultura de Dados proposta pela LGPD.
Jean Romarez
OAB/SC 16.194
Os impactos da LGPD na área da Saúde
A LGPD na Saúde ainda pode passar por alterações, mas pontuamos a seguir as principais alterações as quais gestores da área da saúde devem estar atentos de acordo com o que diz a lei hoje. Veja a seguir:
- Dados de pacientes só poderão ser coletados e armazenados em sistemas com a autorização dos mesmos. Isso vale tanto para prontuários que serão criados daqui para frente quanto para dados que já estão no sistema. Isso quer dizer que as clínicas médicas terão de ir atrás dos pacientes já cadastrados no sistema para buscar esta autorização;
- A medida anterior vale para toda transação de informação, não necessariamente só para a parte eletrônica, ou seja, dados registrados em papel, por exemplo, também precisarão da autorização;
- Sabbatini destaca que as mudanças previstas com a LGPD na Saúde se aplicam a um vasto número de situações, como telemedicina, cobrança de serviços de saúde via TISS (Troca de Informações em Saúde Suplementar), SUS, intercâmbio de informações entre diferentes S-RES (como pedidos de exames de laboratórios), entre outros;…
- Mensagens trocadas entre médicos e pacientes via Whatsapp ainda poderão ser feitas, mas além da necessidade de serem criptografadas (o que esta rede social já faz), as caixas postais com mensagens persistentes também terão de ser protegidas, já que contêm identificação da pessoa;
- Empresas terão de nomear um responsável interno para proteção dos dados ou terceirizar a gestão de segurança de informação, conforme as normas de contratação de parceiros de negócios, como a norma ISO 27.001 e ISO 27.799 (esta é especial para a área da saúde);
- Se a empresa contratada para proteção dos dados dos pacientes não tiver um sistema realmente seguro e houver qualquer fator que mostre quebra deste protocolo, o contratante do serviço também é responsabilizado pelo ato;
- Os pacientes terão o direito de saber quais dados deles constam no sistema e para que finalidade essas informações serão utilizadas. Estes dados também deverão estar disponíveis para a Autoridade Nacional de Proteção de Dados (ANPD), órgão federal que editará normas e fiscalizará procedimentos relacionados à segurança dos dados pessoais dos usuários;
- Os dados pessoais dos pacientes, assim como todas as transmissões de informações no sistema, deverão ser criptografados e, depois de cumprirem o objetivo; devem ser apagados;
- O presidente da Sociedade Brasileira de Informática em Saúde (SBIS), Luis Gustavo Kiatake, esclarece que em princípio o envio de informações para as operadoras referente ao faturamento não precisará de consentimento, mas se houver dados clínicos mais detalhados, como um relatório médico, já não há clareza absoluta sobre a necessidade do documento.
Os impactos da LGPD na área da Saúde II
Clínicas médicas, hospitais, consultórios e demais estabelecimentos na área da saúde têm até agosto de 2020 para adequar seus sistemas às novas sanções da Lei Geral de Proteção de Dados (LGPD). A LGPD na Saúde ainda deve passar por mudanças, mas profissionais da saúde e diretores dessas instituições devem estar atentos para adequar seus processos e culturas internas de forma a garantir a segurança de dados de seus pacientes.
Para estar preparado, é importante familiarizar-se com estas alterações e contactar desde já especialistas da área de TI e serviços que atendam essas exigências. Isso porque as novas regras para segurança de informações de pacientes preveem penalidades severas para instituições que não cumprirem as normas, com multas que podem chegar a R$ 50 milhões.
Publicada no Diário Oficial da União em agosto de 2018, a lei número 13.709 fecha o cerco contra o compartilhamento de informações de clientes/pacientes sem consentimento.
A proposta visa acabar com o mercado de dados pessoais para fins comerciais sem a autorização do usuário, como por exemplo, a venda de informações pessoais inicialmente coletadas para outro fim a outras empresas.
A lei também tem por objetivo aumentar a segurança de informações confidenciais. Por isso, tratará com mais rigor os dados passados entre os sistemas das próprias instituições da área da saúde, entre clínicas e hospitais, laboratórios ou operadoras de saúde. Além de precisar ser autorizado pelos pacientes, o compartilhamento destas informações só poderá ser feito se as mensagens forem criptografadas, ou seja, codificadas.
Confira a seguir por que o governo federal acelerou a aprovação desta lei, o que muda com a LGPD na saúde, como estar preparado para as mudanças e quem fiscalizará as empresas.
