Desde 2018, entrou em vigor em nosso país a Lei Geral de Proteção de Dados Pessoais do Brasil (LGPD). Trata-se da Lei 13.709/2018, que tem como objetivo, e como o nome mesmo já diz, garantir a proteção de dados pessoais de indivíduos — identificados ou identificáveis — e seus direitos de liberdade e privacidade.
A LGPD é baseada em leis internacionais que oferecem a garantia da privacidade dos dados pessoais, estejam eles em qualquer mídia (papel, eletrônico, conversas etc.), seja nos setores públicos ou privados.
Entende-se como dados pessoais que merecem proteção:
- endereços IP e de e-mail pessoal;
- dados como orientação sexual e opiniões políticas;
- dados básicos de identidade, como nome, dados genéticos, biométricos e relacionados à saúde do usuário.
Em resumo, a lei exige que qualquer dado pessoal seja processado apenas para fins claramente definidos, sendo lícitos, específicos e explícitos.
Além disso, os princípios de transparência e minimização de dados — uso apenas de dados necessários — são aplicados na lei e não devem, em hipótese alguma, quando se trata da área da saúde, ferir a confidencialidade entre médico e paciente, mesmo em formato online. Leia também.
Tendo isso em vista, é necessário saber a importância da aplicação da LGPD na área de saúde e como ela é utilizada nos hospitais e clínicas do país.
Como se aplica a LGPD na área da saúde
A área da saúde conta com diversos estabelecimentos — clínicas, hospitais, laboratórios, operadoras de planos de saúde, UPAs e outros — que além de lidar com dados pessoais dos titulares (pacientes, consumidores e colaboradores), lida também com dados pessoais sensíveis.
Para se entender mais a fundo, acompanhe:
- Dados pessoais: são aqueles relacionados à pessoa identificada ou identificável, logo: nome, CPF, RG;
- Dados pessoais sensíveis: são aqueles relacionados à origem racial/étnica, escolhas políticas e religiosas, informações referentes à saúde ou à vida sexual, dados genéticos ou biométricos.
Sabemos que na área da saúde a maioria dessas informações, tanto pessoais quanto sensíveis, é fornecida o tempo todo, e que, de acordo com a LGPD, a proteção de dados sensíveis é ainda mais restrita.
Portanto, os estabelecimentos precisam estar preparados para se adequar e garantir a segurança dos dados de funcionários e, principalmente, de pacientes. Para tanto, é essencial a ajuda de profissionais especializados e que entendem a fundo a lei, além de contar com serviços tecnológicos de ponta para fazer valer a aplicação da LGPD.
Os impactos na área da saúde
A implementação da LGPD na área da saúde afeta diversos momentos da jornada de atendimento e tratamento de um paciente, além de atingir toda a equipe envolvida no processo.
Isso porque, dentre outros pontos, algumas diretrizes da lei de proteção de dados atingem diretamente os estabelecimentos de saúde, por exemplo, o uso de dados sensíveis, a proteção de dados por terceiros (criptografia), a necessidade de autorização pelos usuários etc.
Além disso, é preciso destacar que a confidencialidade entre médico e paciente, mesmo nas ferramentas digitais utilizadas hoje para facilitar a rotina na área da saúde, deve ser sempre respeitada.
Ainda, o não cumprimento da lei de proteção de dados prevê algumas penalidades, como:
- advertência, com prazo limite para atividade corretiva;
- multa única, de até 2% do faturamento do exercício anterior, excluídos os tributos, limitada ao valor máximo de R$ 50 milhões, por violação;
- multa diária, observado o valor do limite total;
- publicização da infração após ser devidamente apurada e confirmada a sua ocorrência;
- bloqueio dos dados pessoais a que se refere a infração até a sua regularização;
- eliminação dos dados pessoais a que se refere;
- suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 meses, prorrogável por mais 6 meses, até a regularização da atividade de tratamento pelo controlador;
- suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 meses, prorrogável por igual período;
- proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
Por isso, é de extrema importância que todos os envolvidos entendam quais são os cuidados necessários para uma efetiva proteção de dados e evitem fraudes, o não cumprimento da lei e a exposição dos dados de pacientes.
Os cuidados necessários com a proteção de dados dos pacientes
Hoje, os pacientes podem, a qualquer momento, ter o controle sobre o uso e a segurança de suas informações pessoais, e é por esse e outros motivos que vemos a importância de se ter cuidados especiais com a proteção de dados.
De acordo com o Guia de Boas Práticas – Lei Geral de Proteção de Dados (LGPD), fornecido pelo Governo Federal, existem dez princípios fundamentais a serem cumpridos, além de todas as regras estabelecidas pela LGPD, a saber:
- finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
- adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
- necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
- livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
- qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
- transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
- segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
- prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
- não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
- responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.*
*Fonte: Guia de Boas Práticas – Lei Geral de Proteção de Dados (LGPD).
Observados e cumpridos os princípios da lei de proteção de dados é importante, ainda, atentar-se a algumas práticas e dicas para se adequar às diretrizes, que devem ser seguidas diariamente por toda a equipe, como:
- controlar o acesso às informações dos pacientes e prontuários;
- treinar e alinhar a equipe para garantir a privacidade e proteção de dados dos pacientes;
- manter procedimentos internos para controle do uso de dados;
- investir em soluções tecnológicas e softwares capazes de garantir a proteção de dados de forma segura e prática.
Além disso, é imprescindível também que todos os colaboradores estejam alinhados não só com a lei, mas com a importância da proteção de dados dos pacientes. Para tanto, é preciso que haja procedimentos internos e treinamentos com os softwares utilizados, para que os riscos sejam minimizados.
Algumas estratégias para minimizar os riscos na proteção de dados
Mesmo seguindo todas as orientações da LGPD e seus princípios fundamentais, existem riscos, principalmente online, que devem ser considerados, especialmente quando se pensa no vazamento de dados e risco eminente com o uso da internet atualmente.
Pensando nisso, para minimizar os riscos do não cumprimento da LGPD, é possível seguir algumas estratégias e medidas básicas para adequação. Confira!
Mapeamento de dados
Com o mapeamento de dados, clínicas, hospitais e unidades de saúde conseguem visualizar e entender informações essenciais, por exemplo, quem tem acesso às informações, período de armazenamento, com quem os dados são compartilhados, o ciclo de vida e outras questões.
Nesse sentido, o mapeamento serve como uma ferramenta na qual é possível armazenar e enxergar em um só lugar todos os dados disponíveis sobre pacientes.
Tudo isso para que seja viável identificar possíveis riscos e basear a proteção com clareza e conhecimento de toda informação existente ali.
Conscientização de colaboradores e parceiros
É de extrema importância que os colaboradores e parceiros estejam cientes da possibilidade de um vazamento de dados ou compartilhamento com as pessoas erradas. Ainda, como isso poderia levar ao não cumprimento da LGPD e manchar a credibilidade de uma instituição.
Por isso, deve-se conscientizar continuamente a todos sobre como usam as informações, por exemplo, e-mails, senhas e planilhas, que são armazenados e compartilhados etc.
Privacy by Design
Investir em um Privacy by Design (framework que facilita a adequação à LGPD) é uma das práticas que pode ajudar muito na proteção de dados.
Basicamente, ele incorpora a privacidade e a proteção de dados pessoais desde a sua concepção, isso em todos os projetos do estabelecimento.
Monitoramento e proteção contínua
Não somente durante o uso em tempo real do sistema, é preciso investir em proteção contínua, 24 horas, sete dias por semana, dos dados de pacientes na área de saúde.
Isso porque, equipamentos e sistemas devem garantir proteção contra possíveis ataques e invasões online, além de garantirem a possibilidade de manutenção a qualquer momento.
Otimização de processos
Fazer uma boa gestão de pessoas e otimizar os processos ajuda na produtividade da equipe e, consequentemente, no entendimento e cumprimento da LGPD.
Para tanto, invista em bons sistemas de gestão de fluxo e facilite a entrada e saída de dados, e claro, a proteção dos mesmos de forma mais ágil.
Conclusão
Aqui, vimos que muitos cuidados são necessários para que os dados de pacientes estejam protegidos e as unidades de saúde cumpram com todas as regras e boas práticas da LGPD.
Para tanto, é preciso entender a importância da proteção de dados não somente para que o estabelecimento esteja respaldado pela lei e transmita confiança aos pacientes, mas para que esses pacientes também sintam que ali não somente sua saúde está sendo cuidada, e sim a pessoa como um todo, incluindo suas informações e dados sensíveis.
Além disso, é preciso se aliar ao uso de tecnologias confiáveis para tornar o processo mais seguro, investindo em sistemas de gestão e proteção que se preocupam com as informações, utilizando criptografia de ponta a ponta e atendendo às normas das autoridades.
Ataques cibernéticos acontecem o tempo todo, por isso, é importante também estar atento às vulnerabilidades e pronto para solucionar possíveis problemas a fim de evitar as punições pelo não cumprimento da LGPD.