LGPD: conheça os cuidados necessários com a proteção de dados pessoais dos pacientes

Desde 2018, entrou em vigor em nosso país a Lei Geral de Proteção de Dados Pessoais do Brasil (LGPD). Trata-se da Lei 13.709/2018, que tem como objetivo, e como o nome mesmo já diz, garantir a proteção de dados pessoais de indivíduos — identificados ou identificáveis — e seus direitos de liberdade e privacidade.

A LGPD é baseada em leis internacionais que oferecem a garantia da privacidade dos dados pessoais, estejam eles em qualquer mídia (papel, eletrônico, conversas etc.), seja nos setores públicos ou privados.

Entende-se como dados pessoais que merecem proteção: 

• endereços IP e de e-mail pessoal; 
• dados como orientação sexual e opiniões políticas; 
• dados básicos de identidade, como nome, dados genéticos, biométricos e relacionados à saúde do usuário.

Em resumo, a lei exige que qualquer dado pessoal seja processado apenas para fins claramente definidos, sendo lícitos, específicos e explícitos. 

Além disso, os princípios de transparência e minimização de dados — uso apenas de dados necessários — são aplicados na lei e não devem, em hipótese alguma, quando se trata da área da saúde, ferir a confidencialidade entre médico e paciente, mesmo em formato online. Leia também.

Tendo isso em vista, é necessário saber a importância da aplicação da LGPD na área de saúde e como ela é utilizada nos hospitais e clínicas do país.

Como se aplica a LGPD na área da saúde

A área da saúde conta com diversos estabelecimentos — clínicas, hospitais, laboratórios, operadoras de planos de saúde, UPAs e outros — que além de lidar com dados pessoais dos titulares (pacientes, consumidores e colaboradores), lida também com dados pessoais sensíveis.

Para se entender mais a fundo, acompanhe:

• Dados pessoais: são aqueles relacionados à pessoa identificada ou identificável, logo: nome, CPF, RG;
• Dados pessoais sensíveis: são aqueles relacionados à origem racial/étnica, escolhas políticas e religiosas, informações referentes à saúde ou à vida sexual, dados genéticos ou biométricos.

Sabemos que na área da saúde a maioria dessas informações, tanto pessoais quanto sensíveis, é fornecida o tempo todo, e que, de acordo com a LGPD, a proteção de dados sensíveis é ainda mais restrita.

Portanto, os estabelecimentos precisam estar preparados para se adequar e garantir a segurança dos dados de funcionários e, principalmente, de pacientes. Para tanto, é essencial a ajuda de profissionais especializados e que entendem a fundo a lei, além de contar com serviços tecnológicos de ponta para fazer valer a aplicação da LGPD.

Os impactos na área da saúde

A implementação da LGPD na área da saúde afeta diversos momentos da jornada de atendimento e tratamento de um paciente, além de atingir toda a equipe envolvida no processo.

Isso porque, dentre outros pontos, algumas diretrizes da lei de proteção de dados atingem diretamente os estabelecimentos de saúde, por exemplo, o uso de dados sensíveis, a proteção de dados por terceiros (criptografia), a necessidade de autorização pelos usuários etc.

Além disso, é preciso destacar que a confidencialidade entre médico e paciente, mesmo nas ferramentas digitais utilizadas hoje para facilitar a rotina na área da saúde, deve ser sempre respeitada.

Ainda, o não cumprimento da lei de proteção de dados prevê algumas penalidades, como:

• advertência, com prazo limite para atividade corretiva; 
• multa única, de até 2% do faturamento do exercício anterior, excluídos os tributos, limitada ao valor máximo de R$ 50 milhões, por violação; 
• multa diária, observado o valor do limite total; 
• publicização da infração após ser devidamente apurada e confirmada a sua ocorrência; 
• bloqueio dos dados pessoais a que se refere a infração até a sua regularização; 
• eliminação dos dados pessoais a que se refere; 
• suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 meses, prorrogável por mais 6 meses, até a regularização da atividade de tratamento pelo controlador; 
• suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 meses, prorrogável por igual período; 
• proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. 

Por isso, é de extrema importância que todos os envolvidos entendam quais são os cuidados necessários para uma efetiva proteção de dados e evitem fraudes, o não cumprimento da lei e a exposição dos dados de pacientes.

Os cuidados necessários com a proteção de dados dos pacientes

Hoje, os pacientes podem, a qualquer momento, ter o controle sobre o uso e a segurança de suas informações pessoais, e é por esse e outros motivos que vemos a importância de se ter cuidados especiais com a proteção de dados.

De acordo com o Guia de Boas Práticas – Lei Geral de Proteção de Dados (LGPD), fornecido pelo Governo Federal, existem dez princípios fundamentais a serem cumpridos, além de todas as regras estabelecidas pela LGPD, a saber:

• finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; 
• adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento; 
• necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados; 
• livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais; 
• qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
• transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial; 
• segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão; 
• prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
• não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
• responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.*

*Fonte: Guia de Boas Práticas – Lei Geral de Proteção de Dados (LGPD).

Observados e cumpridos os princípios da lei de proteção de dados é importante, ainda, atentar-se a algumas práticas e dicas para se adequar às diretrizes, que devem ser seguidas diariamente por toda a equipe, como:

• controlar o acesso às informações dos pacientes e prontuários;
• treinar e alinhar a equipe para garantir a privacidade e proteção de dados dos pacientes;
• manter procedimentos internos para controle do uso de dados;
• investir em soluções tecnológicas e softwares capazes de garantir a proteção de dados de forma segura e prática.

Além disso, é imprescindível também que todos os colaboradores estejam alinhados não só com a lei, mas com a importância da proteção de dados dos pacientes. Para tanto, é preciso que haja procedimentos internos e treinamentos com os softwares utilizados, para que os riscos sejam minimizados.

Algumas estratégias para minimizar os riscos na proteção de dados

Mesmo seguindo todas as orientações da LGPD e seus princípios fundamentais, existem riscos, principalmente online, que devem ser considerados, especialmente quando se pensa no vazamento de dados e risco eminente com o uso da internet atualmente.

Pensando nisso, para minimizar os riscos do não cumprimento da LGPD, é possível seguir algumas estratégias e medidas básicas para adequação. Confira!

Mapeamento de dados

Com o mapeamento de dados, clínicas, hospitais e unidades de saúde conseguem visualizar e entender informações essenciais, por exemplo, quem tem acesso às informações, período de armazenamento, com quem os dados são compartilhados, o ciclo de vida e outras questões.

Nesse sentido, o mapeamento serve como uma ferramenta na qual é possível armazenar e enxergar em um só lugar todos os dados disponíveis sobre pacientes.

Tudo isso para que seja viável identificar possíveis riscos e basear a proteção com clareza e conhecimento de toda informação existente ali.

Conscientização de colaboradores e parceiros

É de extrema importância que os colaboradores e parceiros estejam cientes da possibilidade de um vazamento de dados ou compartilhamento com as pessoas erradas. Ainda, como isso poderia levar ao não cumprimento da LGPD e manchar a credibilidade de uma instituição.

Por isso, deve-se conscientizar continuamente a todos sobre como usam as informações, por exemplo, e-mails, senhas e planilhas, que são armazenados e compartilhados etc. 

Privacy by Design 

Investir em um Privacy by Design (framework que facilita a adequação à LGPD) é uma das práticas que pode ajudar muito na proteção de dados.

Basicamente, ele incorpora a privacidade e a proteção de dados pessoais desde a sua concepção, isso em todos os projetos do estabelecimento.

Monitoramento e proteção contínua

Não somente durante o uso em tempo real do sistema, é preciso investir em proteção contínua, 24 horas, sete dias por semana, dos dados de pacientes na área de saúde. 

Isso porque, equipamentos e sistemas devem garantir proteção contra possíveis ataques e invasões online, além de garantirem a possibilidade de manutenção a qualquer momento.

Otimização de processos

Fazer uma boa gestão de pessoas e otimizar os processos ajuda na produtividade da equipe e, consequentemente, no entendimento e cumprimento da LGPD.

Para tanto, invista em bons sistemas de gestão de fluxo e facilite a entrada e saída de dados, e claro, a proteção dos mesmos de forma mais ágil.

Conclusão

Aqui, vimos que muitos cuidados são necessários para que os dados de pacientes estejam protegidos e as unidades de saúde cumpram com todas as regras e boas práticas da LGPD.

Para tanto, é preciso entender a importância da proteção de dados não somente para que o estabelecimento esteja respaldado pela lei e transmita confiança aos pacientes, mas para que esses pacientes também sintam que ali não somente sua saúde está sendo cuidada, e sim a pessoa como um todo, incluindo suas informações e dados sensíveis.

Além disso, é preciso se aliar ao uso de tecnologias confiáveis para tornar o processo mais seguro, investindo em sistemas de gestão e proteção que se preocupam com as informações, utilizando criptografia de ponta a ponta e atendendo às normas das autoridades.

Ataques cibernéticos acontecem o tempo todo, por isso, é importante também estar atento às vulnerabilidades e pronto para solucionar possíveis problemas a fim de evitar as punições pelo não cumprimento da LGPD.