Quatro anos após a redação da Lei Geral de Proteção de Dados (LGPD), dois anos após sua entrada em vigor e um ano após o início das sanções para quem a desrespeitar, ainda existem mais dúvidas do que certezas em relação à legislação – especialmente na área da saúde.
Há diferenças significativas de cenário, que vão desde grandes instituições até pequenos consultórios e clínicas, além de perfis distintos em cada setor, que incluem tanto as instituições privadas e públicas. Em comum entre todos, estão as dificuldades em relação a uma série de temas, do consentimento à portabilidade de dados, passando pela segurança da informação.
Veja a seguir alguns dos pontos que geram mais indagações em relação à LGPD na saúde e como sanar as dúvidas.
Consentimento
A LGPD conceitua consentimento como a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”.
No entanto, as instituições devem avaliar a finalidade de cada tratamento e verificar se, de fato, a obtenção do consentimento é a base legal apropriada. Por exemplo, há instituições, como laboratórios e hospitais, solicitando o consentimento dos pacientes para a prestação de serviços, o que operacionalmente e juridicamente encontra grandes desafios e questionamentos.
Afinal, em muitos casos, a base legal usada pode ser a “tutela da saúde”, uma vez que o consentimento pressupõe que o paciente possa deliberadamente aceitar ou não o que está sendo solicitado. Em caso de obrigatoriedade de assinatura do documento de consentimento, a chamada “manifestação livre” será suprimida.
Ainda assim, esse é um tema que precisa ser debatido com mais profundidade, entende o Dr. Lucas Bonafé, advogado que atua em direito digital e proteção de dados. “Qual é, de fato, o limite do consentimento para tratar dados de saúde? É um tema que a autoridade nacional ainda não nos apresentou de forma clara e a respeito do qual ainda há divergências”, explicou.
Portabilidade de dados
A portabilidade de dados é um direito dos pacientes, assim como os clientes de uma empresa de telecomunicações podem mudar de operadora e manter o mesmo número de telefone, por exemplo.
Na saúde, no entanto, ainda falta uma certa maturidade para que isso ocorra na prática. “Não temos o histórico dos pacientes de forma integrada, e os sistemas não têm padrão. A nomenclatura é completamente diferente entre eles, os sistemas não se comunicam”, explicou Dr. Lucas.
Ou seja, por uma falta de interoperabilidade e capacidade de integração de sistemas, muitas vezes um direito previsto na LGPD ainda é difícil de ser assegurado pelas instituições.
Exclusão de dados
Outro tema que gera costuma gerar dúvidas recorrentes dos pacientes é o direito de exclusão dos dados de saúde, com base nos direitos previstos na LGPD.
Considerando a definição ampla do conceito de prontuário médico, as instituições de saúde, de modo geral, não estão realizando a exclusão dos dados de saúde sob o argumento de que têm obrigação legal de manter tais dados. A afirmação se baseia no artigo 6º da Lei 13.787, conhecida como “lei de prontuários”, que estabelece “o prazo mínimo de 20 (vinte) anos a partir do último registro” para que “os prontuários em suporte de papel e os digitalizados” possam ser eliminados.
Recentemente, houve um encontro entre as principais entidades do setor, com o objetivo de estabelecer boas práticas para as instituições de saúde e apresentar um posicionamento consolidado do setor à Autoridade Nacional de Proteção de Dados Pessoais (ANPD). “A intenção é mostrar as particularidades da área da saúde, desde a grande discrepância de maturidade entre as instituições, bem como os procedimentos e o funcionamento dos entes envolvidos no setor”, destacou Dr. Lucas.
Uso de dados para prestação de cuidado coordenado
A análise assertiva de dados de saúde dos pacientes pelas operadoras busca oferecer ações voltadas à coordenação do cuidado como forma de acompanhar a jornada do paciente, encaminhando-o para especialistas quando há exames com resultados alterados, por exemplo.
Isso, no entanto, deve ser analisado com extremo cuidado pelas instituições de saúde, especialmente as prestadoras de serviços, como os laboratórios de análises clínicas e os hospitais, tendo em vista que o compartilhamento de dados sensíveis sem a transparência e a finalidade adequada pode ser considerado uma quebra de privacidade dos dados do paciente. Nesses casos, é preciso avaliar os riscos regulatórios e avaliar a coleta do consentimento do titular de dados.
Conscientização sobre comportamento seguro
Um outro ponto importante, tanto para consultórios e clínicas de menor porte quanto para grandes instituições, é que o comportamento dos colaboradores em relação à segurança de dados é essencial para que o respeito à LGPD ocorra na prática.
De nada adianta investir em sistemas mais robustos e desenvolver políticas específicas se a senha para acessar o prontuário eletrônico continua colada em um Post-it® na tela do computador.
Além disso, o desenvolvimento de boas práticas de segurança da informação, além de mitigar riscos, garante uma defesa mais robusta para as instituições, caso algum vazamento ocorra.
Questões jurídicas e necessidade de investimento em tecnologia
Pelo fato de a LGPD ser uma lei, ainda existe um entendimento de que se trate meramente de uma questão legal, a ser resolvida pelo setor jurídico das instituições. Mas isso não é verdade. Há uma série de questões técnicas, que também precisam ser endereçadas.
Segundo o Dr. Lucas, muitas vezes, as empresas deixam de fazer um investimento necessário em tecnologia da informação, focando-se apenas no desenvolvimento da parte formal e documental, como as políticas de privacidade e segurança da informação, acreditando que isso baste para estarem alinhadas à LGPD. “É algo que procuramos deixar claro: não existe isso de ‘estar adequado à LGPD para sempre’. Trata-se de um programa de compliance, é algo que não tem fim, sempre precisa ser revisitado”, ponderou o advogado.
A implementação da LGPD no contexto organizacional é algo cíclico: novos profissionais entram nas instituições e precisam ser conscientizados, assim como novos produtos são desenvolvidos, novas parcerias são feitas, novos fornecedores passam a integrar a cadeia da empresa e assim por diante. Por isso, as boas práticas em relação ao cumprimento dessa lei precisam estar sempre em voga.
Dr. Lucas finalizou salientando que a LGPD ainda é recente e, portanto, é natural que haja dúvidas e pontos a serem lapidados. No entanto, é fundamental que todos os produtos ou serviços que dependam do uso de dados de pacientes sejam desenvolvidos com total atenção à questão da privacidade desde a sua concepção.
“Um erro comum, que vemos no dia a dia, é a criação de novos produtos e serviços e, no momento de lançá-los, vem a pergunta: ‘mas eu posso fazer isso?’, algo que pode ser evitado ao levar em conta a LGPD desde os estágios iniciais”, completou.
Siga o Medscape em português no Facebook, no Twitter e no YouTube
© 2022 WebMD, LLC
Citar este artigo: LGPD no setor de saúde: abordando as principais dúvidas comuns - Medscape - 27 de outubro de 2022.
Comente