Código de Boas Práticas

Considerações Iniciais

O Laboratório Hemolab é um estabelecimento de saúde, que tem como foco o segmento de laboratórios de análises clínicas em Itaúna/MG. Considerando sua atuação no setor de saúde e pelo consequente tratamento de dados pessoais de forma intensa, a preocupação com os processos envolvendo o trânsito de informações se tornaram ainda mais valorizados.

Diante da entrada em vigor da LGPD, o cuidado com o tratamento de dados e a conscientização dos agentes envolvidos passaram por constante evolução, na medida em que as tecnologias de informação e comunicação vêm, com muita intensidade, criando inovadoras possibilidades no setor.

O Laboratório Hemolab concluiu que uma das medidas mais eficazes para a adequação aos marcos normativos de proteção de dados é, de fato, a criação de normas e procedimentos que se consubstanciam neste Código de Boas Práticas, buscando aplicar as normas gerais de proteção de dados pessoais às hipóteses específicas de tratamento de dados, bem como as melhores práticas adotadas, firmando um compromisso de que, além do cumprimento da legislação em si, a empresa se compromete com medidas adicionais e específicas.

1. Introdução

A Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/18) entrou em vigor em setembro de 2020, após 8 anos de intensos debates sobre privacidade e proteção de dados no país. Com a sua aprovação, o Brasil passa a ter uma legislação moderna e específica sobre o tema, com novas regras que objetivam proteger a privacidade e intimidade do indivíduo, mediante a definição de princípios, direitos e deveres para o tratamento de dados pessoais no Brasil.

A LGPD criou a Autoridade Nacional de Proteção de Dados – ANPD, regulamentada pelo Decreto nº 10.474/2020, que é o órgão responsável pela supervisão da lei, por elaborar as diretrizes para a Política Nacional de Proteção de Dados Pessoais e Privacidade e promover a regulamentação dos setores que lidam com dados pessoais.

O setor de saúde, por envolver um enorme fluxo de tratamento de dados pessoais sensíveis, merece um olhar aprofundado e específico sobre o tema. Diante disso, considerando a vigência da Lei, a centralidade do fluxo de dados no setor de saúde e a importância de garantir a confiança do cidadão na proteção de dados nesse setor, o Laboratório Hemolab cria seu Código de Boas Práticas, de forma a melhor contribuir com a implementação da LGPD.

2. Princípios de Proteção de Dados Pessoais

Os princípios da proteção de dados, presentes no art. 6º da LGPD, fornecem parâmetros fundamentais para nortear o tratamento de dados:

• Boa-fé objetiva: Tratamentos de dados pessoais pautados pelo caráter cooperativo e lisura, passível de constatação a partir de atos objetivos.
• Finalidade: Realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.
• Adequação: Compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento.
• Necessidade: Limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades.
• Livre acesso: Garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais.
• Qualidade dos dados: Garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.
• Transparência: Garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial.
• Segurança: Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
• Prevenção: Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
• Não discriminação: Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos.
• Responsabilização e prestação de contas: Demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

3. Bases Legais para o Tratamento de Dados Pessoais

A lei representa um avanço na proteção de dados ao prever condições de legitimidade para o tratamento de dados pessoais. De acordo com a LGPD, todo tratamento de dados pessoais deve estar amparado por uma das bases legais presentes em seu artigo 7º, entre as quais o consentimento do titular, a execução de um contrato, a proteção da vida, a tutela da saúde, o legítimo interesse, entre outros.

O setor de saúde deve observar, ainda, cuidado adicional, tendo em vista que a legislação confere proteção diferenciada para os dados considerados sensíveis, dentre os quais se incluem os dados de saúde, cuja proteção é feita em maior medida pela lei, inclusive quanto a um rol diferenciado de bases legais disponíveis para o seu tratamento (art. 11).

As principais bases legais utilizadas nos protocolos de atendimento são: a) Execução de contrato (art. 7º, V); b) Legítimo interesse (art. 7º, IX); c) Consentimento (art. 7º, I e art. 11, I); d) Obrigação regulatória (art. 11, II, a); e) Tutela da saúde (art. 11); f) Prevenção à fraude e segurança do titular (art. 11, g); g) Exercício regular de direito.

Especial atenção merece a base legal da tutela da saúde, que está apta a autorizar o tratamento tanto de dados sensíveis quanto de dados não sensíveis. Para sua utilização é necessário cautela, pois seu conceito não se aplica indiscriminadamente a todas as etapas da prestação de serviços de saúde — somente se aplica a procedimentos realizados por profissionais de saúde sujeitos à obrigação de sigilo profissional.

Nos termos do art. 11, II, da LGPD, o tratamento de dados pessoais sensíveis pode ocorrer sem o consentimento apenas quando for indispensável para: cumprimento de obrigação legal ou regulatória; realização de estudos por órgão de pesquisa; exercício regular de direitos; proteção da vida ou da incolumidade física do titular ou de terceiro; tutela da saúde; ou garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação.

4. Direitos dos Titulares

A LGPD prevê determinados procedimentos que devem ser assegurados para garantir a proteção dos direitos dos titulares. Os direitos básicos atribuídos ao titular são conhecidos pela sigla "ARCO": acesso, retificação, cancelamento e oposição.

A LGPD estabelece, além dos chamados direitos ARCO, uma série de outros direitos para o titular, entre os quais assume particular relevância o direito de portabilidade dos dados pessoais, que implica na necessidade de o controlador implementar mecanismos que possibilitem a passagem dos dados pessoais para outros controladores, mediante requisição do titular.

5. Agentes do Tratamento

Os agentes de tratamento que, pela LGPD, são o controlador e o operador, são os únicos sujeitos que realizam operações de tratamento de dados e podem ser responsabilizados em caso de descumprimento da legislação. Dentre as obrigações dos agentes de tratamento, destaca-se a obrigatoriedade de adoção de medidas de segurança técnicas e administrativas para proteção de acessos não autorizados; o registro das operações de tratamento de dados e a elaboração de relatório de impacto.

Além disso, a LGPD atribui aos agentes de tratamento a obrigação de indicar o encarregado de tratamento de dados pessoais (art. 41), de manter a segurança da informação em todos os tratamentos (art. 46 e ss.) e de realizar o registro do tratamento de dados (art. 37).

6. Segurança da Informação

A obrigação de manter a segurança da informação permeia todas as obrigações previstas neste Código. Qualquer que seja a hipótese de tratamento, os dados devem ser mantidos em ambiente controlado e seguro, adotando, sempre que possível, anonimização ou pseudonimização dos dados, nos termos dos arts. 46 e seguintes da LGPD.

7. Autoridade de Garantia e Regime Sancionatório

Caso o tratamento dos dados seja feito de forma inadequada e sem considerar os princípios e regras que constam na LGPD, os agentes controladores e operadores podem ser responsabilizados. As penalidades previstas no art. 52 incluem:

• Advertência, com indicação de prazo para adoção de medidas corretivas;
• Multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, limitada a R$ 50.000.000,00 por infração;
• Multa diária, observado o limite total;
• Publicização da infração após devidamente apurada e confirmada;
• Bloqueio dos dados pessoais a que se refere a infração até a sua regularização;
• Eliminação dos dados pessoais a que se refere a infração;
• Suspensão do exercício da atividade de tratamento pelo período máximo de 6 meses, prorrogável por igual período;
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

8. Boas Práticas e Governança

Para a consideração, em sua plenitude, do arcabouço regulatório da proteção de dados no direito brasileiro, é necessário considerar a LGPD, bem como normativas relacionadas como o CDC, o Marco Civil da Internet, a Lei de Acesso à Informação e regulamentações setoriais aplicáveis. A aplicação efetiva da legislação deve ser adaptada aos aspectos individuais dos agentes, considerando devidamente os riscos e o arcabouço regulatório.

A importância do reconhecimento do modelo regulatório híbrido da Proteção de dados se concretiza por meio dos Códigos de Conduta, como uma forma de buscar coordenar as diversas normativas que incidem particularmente sobre o setor de saúde, sob a lógica e gramática da LGPD — propiciando a complementaridade entre os instrumentos jurídicos existentes e concretizando a autorregulação prevista no art. 50 da LGPD.

Este Código de Boas Práticas foi elaborado com base no guia da Confederação Nacional de Saúde (CNSaúde), criado em conjunto por especialistas da área de proteção de dados, com membros da Agência Nacional de Saúde Suplementar – ANS e representantes dos prestadores do setor, com o objetivo de colaborar com a ANPD na aplicação da LGPD no setor privado de saúde.

9. Âmbito de Aplicação

Este Código tem como foco o tratamento de dados realizado pelos prestadores privados de serviços laboratoriais de análises clínicas. A LGPD se aplica aos dados dos pacientes e profissionais dos estabelecimentos e não àqueles dados referentes exclusivamente à atividade administrativa interna da empresa.

Os principais momentos nos quais ocorre o tratamento de dados incluem: a) fornecimento de dados cadastrais na entrada; b) coleta de materiais; c) realização de exames laboratoriais; d) atendimento à distância; e) entrega de resultados.

Protocolo 1 — Atendimento ao Paciente

Existem diversos momentos nos quais dados pessoais e dados pessoais sensíveis são tratados ao longo da passagem dos pacientes pelos estabelecimentos de saúde. As principais bases legais utilizadas são execução de contrato, legítimo interesse, consentimento, obrigação regulatória e tutela da saúde. A análise da legalidade do tratamento de dados deverá perpassar necessariamente pela correlação entre o tipo de dado tratado e a finalidade de seu tratamento.

Protocolo 2 — Compartilhamento de Dados

Um dos principais pontos de atenção quanto à adequação dos processos de tratamento de dados dos prestadores privados de saúde refere-se ao compartilhamento de dados. A principal base legal aplicável ao compartilhamento é, prioritariamente, o consentimento (art. 7º, I e 11, I) — especialmente para os dados que são compartilhados entre os operadores e os prestadores.

O consentimento, para ser válido, deve ser: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para uma finalidade determinada. Deve ser concedido sem pré-preenchimento (Privacy by Default) e oferecido separadamente dos termos e condições. O titular pode retirar o consentimento quando bem entender.

Protocolo 3 — Pesquisa Clínica

A pesquisa clínica é um processo de investigação científica envolvendo seres humanos que tem como objetivo o desenvolvimento de medicamentos ou tratamentos eficazes contra determinada doença. É objeto de regulamentação tanto pela ANVISA quanto pelo Ministério da Saúde (Norma Operacional CONEP nº 001/2013, Resolução CNS nº 506/2016, RDC Anvisa nº 9/2015 e nº 10/2015, Resolução CNS nº 466/2012).

O tratamento de dados para efeitos de investigação científica pode ser analisado sob duas perspectivas: a) utilização primária — dados coletados diretamente para fins científicos; b) utilização secundária — tratamento posterior de dados coletados inicialmente para outros fins. Essa distinção impacta tanto a definição dos agentes (controlador ou operador) quanto a base legal aplicável.

Protocolo 4 — Exercício dos Direitos dos Titulares

A LGPD assegura procedimentos que visam garantir a proteção dos direitos dos titulares e o seu exercício. A garantia do direito dos titulares se vincula às obrigações atribuídas pela LGPD aos controladores, como a necessidade de nomeação de um encarregado (DPO) que receba as reclamações dos titulares e se comunique com a autoridade de proteção de dados (art. 41 da LGPD).

Protocolo 5 — Segurança da Informação

O Protocolo de Segurança da Informação tem como objetivo fixar diretrizes gerais a serem seguidas pelo Laboratório Hemolab nos termos expostos pelo art. 46 da LGPD. Por meio deste são adotadas medidas de segurança técnica e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado. Os controles de segurança adotados seguem o NIST Cybersecurity Framework e as normativas ISO 27701/27001.

Contato