Marcio Neves Arbach

Publicada em 2018, a Lei Geral de Proteção de Dados Pessoais (<a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>), Lei 13.709/2018, entrou em vigor em setembro de 2020. Com o "objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural", a Lei, assim como o regulamento europeu, General Data Protection Regulation (GDPR), resulta da constatação de que os dados pessoais são um ativo econômico valioso e um bem jurídico a ser criteriosamente tutelado pela legislação.
Cenário institucional
Desde a entrada em vigor do normativo, os órgãos do Poder Público, em suas três esferas, têm buscado adequar estruturas administrativas, processos de trabalhos, sistemas de informação e instrumentos contratuais aos requisitos definidos na LGPD. Também tem havido grandes esforços para treinar e capacitar equipes que tratam dados pessoais.
No campo da Saúde, a privacidade não é um tema novo. Trata-se de matéria há muito regulada por códigos de ética e de conduta de diferentes profissões da área da saúde. A LGPD, contudo, inaugura um novo arcabouço jurídico, definindo com mais clareza a forma como dados pessoais e dados pessoais sensíveis devem ser tratados.
Os desafios de proteção à privacidade dos usuários de serviços públicos de saúde são inúmeros. O SUS, por exemplo, atende 190 milhões de brasileiros, por meio de sua Rede de Atenção à Saúde, que envolve instituições dos setores público e privado, sem ou com fins lucrativos. No processo de prestação de serviços de saúde, são coletados, armazenados, processados, transmitidos e compartilhados dados pessoais e dados pessoais sensíveis.
O ecossistema de saúde digital brasileiro reflete a complexidade e a grandiosidade do nosso sistema de saúde, “caracterizado pela presença simultânea de um sistema público universal, materializado no Sistema Único de Saúde (<a href="https://www.jota.info/tudo-sobre/sus">SUS</a>), e um setor privado sobreposto, baseado, sobretudo, em planos de saúde coletivos”<a href="#_ftn1" name="_ftnref1">[1]</a>.
O Governo Federal criou o Programa ConecteSUS, cujo objetivo é ampliar a informatização e a integração digital dos estabelecimentos de saúde, viabilizando o uso de dados e informações dos usuários do SUS para o aumento e o aprimoramento do cuidado em saúde. Instituída pela Portaria <a href="https://bvsms.saude.gov.br/bvs/saudelegis/gm/2020/prt1434_01_06_2020_rep.html">GM/MS 1.434/2020</a>, a Rede Nacional de Dados em Saúde (RNDS) é a plataforma nacional de interoperabilidade em saúde. Por meio dela são transmitidos, processados, armazenados e compartilhados, de maneira segura, responsável e flexível, os dados dos usuários do SUS, de modo a viabilizar a transição e continuidade do cuidado à saúde nos setores públicos e privados.
O contexto institucional internacional também molda o cenário doméstico da proteção de dados. No processo de adesão à Organização para a Cooperação e Desenvolvimento Econômico (<a href="https://www.jota.info/tudo-sobre/ocde">OCDE</a>), por exemplo, o Brasil recebeu recomendações sobre Governança de Dados de Saúde, resultantes de avaliações conduzidas pela Secretaria-Executiva daquela organização internacional. O Estudo 47, concluído em 2021, apresentou um rol de 15 orientações relacionadas a dados de saúde. Pelo menos metade delas abordam diretamente a proteção à privacidade.
Os desafios do SUS
O contexto institucional, doméstico e internacional, acima, aponta para a necessidade de o sistema de saúde brasileiro adotar medidas para tornar mais seguros plataformas, sistemas e aplicações, bem como os procedimentos realizados por meios digitais na prestação de serviços de saúde, a fim de evitar vazamentos, sequestros ou perda dos dados pessoais coletados, armazenados, processados e compartilhados no acesso e na prestação de serviços de saúde, buscando, por um lado, assegurar a universalização da saúde e, por outro, proteger o direito à privacidade dos usuários desses serviços.
Política Nacional de Proteção de Dados
A exemplo de outras orientações nacionais, que contribuem para nortear programas e ações, bem como para induzir a cooperação intra e interfederativa, faz-se necessário a elaboração de uma diretriz nacional tratando da proteção de dados pessoais no âmbito SUS. Diretiva essa que deverá, por óbvio, ser amplamente discutida com estados e municípios, por meio de suas instâncias de representação, Conass e Conasems, para posterior aprovação na CIT. A discussão também precisa envolver as entidades vinculadas ao Ministério da Saúde: <a href="https://www.jota.info/tributos-e-empresas/saude/ans-entenda-o-que-faz-a-agencia-nacional-de-saude-suplementar-14062022">ANS</a>, ANVISA, Fiocruz e Funasa, de modo a contemplar os diferentes efeitos da LGPD no sistema público de saúde brasileiro.
A elaboração de diretriz nacional voltada especificamente para a saúde tornou-se ainda mais premente quando a Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/anpd">ANPD</a>), agência reguladora responsável por fiscalizar a aplicação da LGPD no País, excluiu da sua agenda regulatória para o biênio 2023-2024 a dimensão “saúde”, conforme verifica-se na Portaria ANPD 35/2022<a href="#_ftn2" name="_ftnref2">[2]</a>. A “saúde” constava como tema prioritário de regulação da agência, contudo o tema foi retirado da programação. Como consequência, resta ao setor da saúde buscar a autoregulação<a href="#_ftn3" name="_ftnref3">[3]</a> e a disseminação de boas práticas de implementação da LGPD entre os agentes de tratamento da saúde.
Agentes de tratamento
Um tema que também pode ser tratado no âmbito de uma diretriz nacional é a definição dos agentes de tratamento (controlador e operador), bem como orientação sobre a importância de as instituições que compõem a Rede de Atenção à Saúde designarem seus encarregados de dados.
No complexo ecossistema da saúde digital os papéis de controlador e operador podem se sobrepor. Exemplo disso é um hospital privado que atende SUS. A instituição atua como controlador ao armazenar, processar e, eventualmente, compartilhar dados pessoais coletados dos pacientes em sua rede de computadores própria. A função de operador ocorre quando esse o hospital transmite os dados dos pacientes SUS para a RNDS. Nesse caso, na função de operador, o hospital deverá observar regras e padrões estabelecidos pelo Ministério da Saúde para a transmissão e utilização dos dados pessoais.
A definição dos agentes de tratamento em normativo nacional também contribui para definir papéis e obrigações no tratamento dos dados pessoais. Essa definição, por sua vez, contribuiu para maior assertividade nos processos de apuração de responsabilidade em razão de incidentes de segurança e privacidade que acarretam vazamentos, sequestros e alterações indevidas de dados pessoais. Adicionalmente, a correta identificação dos agentes de tratamento contribui para fortalecer no SUS os princípios da transparência e da responsabilização e prestação de contas, nos moldes do art. 6° da LGPD.
Compartilhamento de dados
Fator que se intensifica na saúde é o compartilhamento de dados fora do ambiente RNDS, seja em razão do aumento acelerado da transformação digital da saúde, seja pela adoção de metodologias inovadoras de incorporação tecnológica baseada em acordos de compartilhamento de riscos entre SUS e indústria, como foi o caso da incorporação do medicamento Zolgensma<a href="#_ftn4" name="_ftnref4">[4]</a>. Nesse contexto, faz-se necessário elaborar e disseminar frameworks e boas práticas de compartilhamento baseados nos requisitos de tratamento de dados pessoais estabelecidos na LGPD.
A discussão em torno do compartilhamento de dados na área da saúde também abrange a transferência internacional de dados de saúde, seja para adequação do Brasil a padrões internacionais de segurança e privacidade da informação, seja para adequar a troca de dados realizadas quando da execução de pesquisas e políticas públicas, como é o caso de estudos e programas que coletam amostras laboratoriais e as enviam para a análise do material em outros países.
A transferência internacional de dados de saúde consta da agenda regulatória da ANPD par ao biênio 2023-2024<a href="#_ftn5" name="_ftnref5">[5]</a>.
Conclusão
Este texto é uma primeira tentativa de organizar questões centrais para o avanço da proteção de dados no SUS, tendo como baliza a LGPD, Lei 13.709/2018, que já se encontra em vigor e produzindo seus efeitos jurídicos. Sua no SUS ainda requer amadurecimento dos gestores do SUS, mas também dos órgãos reguladores, já que a política de saúde possui particularidades em relação a outras políticas públicas.
___________________________________________________________________________________
<a href="#_ftnref1" name="_ftn1">[1]</a> Instituto de Estudos para Políticas de Saúde (IEPS). Mais SUS em evidências: Gestão e Financiamento do Sistema de Saúde Brasileiro.
<a href="#_ftnref2" name="_ftn2">[2]</a> https://www.in.gov.br/en/web/dou/-/portaria-anpd-n-35-de-4-de-novembro-de-2022-442057885
<a href="#_ftnref3" name="_ftn3">[3]</a> Analluza Bolivar Dallari. Nova agenda regulatória da ANPD esqueceu da saúde. Em Consultor Jurídico (conjur.com.br).
<a href="#_ftnref4" name="_ftn4">[4]</a> https://www.gov.br/conitec/pt-br/assuntos/noticias/2022/dezembro/ms-e-novartis-firmam-compromisso-para-elaboracao-do-acordo-de-compartilhamento-de-risco-para-ame
<a href="#_ftnref5" name="_ftn5">[5]</a> https://www.in.gov.br/en/web/dou/-/portaria-anpd-n-35-de-4-de-novembro-de-2022-442057885

passaporte-da-vacina-768×459

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Os desafios de sua implementação no contexto do sistema de saúde brasileiro

Privacidade e Proteção de Dados de Saúde

Os desafios da implementação da proteção e privacidade de dados de saúde no contexto do sistema de brasileiro.