LGPD: vazamento de dados pessoais sensíveis na saúde
Por Ludwig Lopes
Nos últimos dias o noticiário foi tomado pela notícia relacionada a famosa atriz que teve informações intimas e sigilosas indevidamente divulgadas. O vazamento destes dados pessoais teria ocorrido dentro do hospital no qual o procedimento médico foi realizado.
Houve neste caso, além de violação a direitos fundamentais de intimidade da referida atriz, um grave descumprimento à Lei Geral de Proteção de Dados (LGPD), chamando a atenção para a necessidade de adoção de rígidas políticas e procedimentos voltados a proteção de dados pessoais.
Neste contexto urge relembramos que dados pessoais sensíveis, são assim considerados aqueles que versem sobre “origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural” (Art. 5º, Inciso II, da LGPD).
Como se observa do trecho de lei, empresas do setor médico – e não apenas hospitais – tratam um grande volume de dados sensíveis, devendo, por isso, criar e implantar rigorosos processos internos voltados para a proteção desses dados pessoais.
Algumas Medidas Iniciais
Dentre as medidas iniciais voltadas a proteção dos dados pessoais, a primeira delas deve ser a realização de um mapeamento de risco.
Este mapeamento irá traçar todo o fluxo de tratamento de dado realizados pelos agentes de tratamento – tanto o controlador quanto o operador – identificando falhas e pontos de vulnerabilidade, classificando-as de acordo com nível de risco envolvido e propondo medidas corretivas.
Outra medida importante, é a criação de políticas e procedimentos voltados a segmentação de dados e utilização de sistemas de gestão seguros – preferencialmente com certificações da família ISO 27000 – restringindo possíveis pontos de vazamento de dados.
Outras medidas como políticas de eliminação ou anonimização de dados também devem ser implementadas, sempre respeitando os prazos legais para a guarda de informações e resguardando direitos do controlador de dados pessoais.
Trata-se de um procedimento complexo, principalmente quando se fala em empresas e outras instituições da área da saúde, mas que não pode mais ser postergado sob o risco de gerar danos não somente aos pacientes, mas à própria instituição médica que terá de arcar com pesadas indenizações e multas em caso de vazamento de dados pessoais sensíveis.
*Ludwig Lopes é advogado do escritório FNCA Advogados.
