Karla Gamba

A implementação da Lei 13.709/2019, ou <a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm">Lei Geral de Proteção de Dados (LGPD)</a>, impacta e altera antigas práticas e o modo de funcionamento de empresas, sobretudo do mercado de saúde suplementar. Particularmente neste setor, a lei classifica os dados como sensíveis e, por isso, necessitam de uma proteção e tratamento mais criteriosos.
Em vigor desde 18 de setembro de 2020, a lei define como dado pessoal sensível: “dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural”. 
<div id="pro-saude-f7f3db38760a00af503e" role="main"></div>
<script src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js" type="text/javascript"></script> 
<script type="text/javascript"> new RDStationForms('pro-saude-f7f3db38760a00af503e', 'UA-53687336-1').createForm();</script>
Em seu art. 11º, a LGPD define ainda que o tratamento de dados pessoais sensíveis só poderá ocorrer com o consentimento do titular, a não ser nas hipóteses em que for indispensável para cumprimento de obrigação legal, tutela da saúde e outros. Quem descumprir a lei poderá sofrer sanções, mas elas só poderão ser aplicadas a partir de agosto de 2021.
O JOTA consultou a Agência Nacional de Saúde Suplementar (ANS), além de algumas empresas do setor de saúde e especialistas no assunto para verificar como anda a implementação da Lei Geral de Proteção de Dados.
<h3>ANS já tem encarregado e canal para titulares dos dados </h3>
A ANS foi a primeira das agências reguladoras federais a designar um servidor, Luiz Gustavo Meira Homrich, para ocupar o cargo de Encarregado de Proteção de Dados Pessoais. 
A agência também criou uma Assessoria de Proteção de Dados e Informação no âmbito do gabinete do diretor-presidente, Rogério Scarabel, visando dar apoio e suporte à atuação do Encarregado, além de um canal de recebimento de manifestações dos titulares dos dados no site da ANS.
A reguladora define que seu processo interno de implementação da lei está focado no desenvolvimento, implementação, operacionalização e monitoramento das práticas de proteção de dados, e vem sendo realizado após um alinhamento de expectativas com a Diretoria Colegiada.
De acordo com Gustavo Homrich, o principal desafio é fazer com que a mudança na estrutura esteja alinhada com a mudança cultural da organização.
Em <a href="https://www.jota.info/tributos-e-empresas/saude/ans-dados-28122020">entrevista</a> ao JOTA, o assessor explicou que a agência vem trabalhando para promover de forma permanente um inventário para identificar em sistemas e base de dados informações sensíveis compartilhadas pelo setor regulado e custodiadas pela agência. 
“Não podemos esquecer também, o levantamento dos contratos, serviços e processos em vigor e a necessidade de adequá-los à LGPD”, concluiu Homrich.   
<h3>ANS vai atuar conjuntamente com a ANPD</h3>
Em 2019, antes mesmo de a lei entrar em vigor, a ANS publicou a Nota Técnica 3/2019 na qual definiu os requisitos necessários, de ordem organizacional e tecnológicos, para a aplicação da LGPD na saúde suplementar, sendo eles: 
<ol>
<li style="font-weight: 400;"> Organização e Comunicação</li>
<li style="font-weight: 400;"> Processos</li>
<li style="font-weight: 400;"> Direitos do titular</li>
<li style="font-weight: 400;"> Proteção de dados</li>
<li style="font-weight: 400;"> Gestão de consentimento</li>
<li style="font-weight: 400;"> Retenção de dados e backup</li>
<li style="font-weight: 400;"> Contratos</li>
<li style="font-weight: 400;"> Plano de resposta a violação de dados</li>
</ol>
Hoje, com a lei já em vigor, a ANS considera que o setor regulado tem consciência da importância de ter iniciativas de referência que busquem a promoção de boas práticas de segurança e proteção de dados pessoais sensíveis:
“A expectativa é muito grande sobre as diretrizes e regulamentações que serão editadas pela Autoridade Nacional de Proteção de Dados”, afirmou o encarregado de proteção de dados da agência. 
O Art. 55-J da Lei Geral de Proteção de Dados prevê a possibilidade de articulação da Autoridade Nacional de Proteção de Dados com as agências reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação. Nesse sentido, a ANS diz que está aguardando a efetiva instalação da ANPD, para que seja iniciada essa ação conjunta visando à defesa do interesse público associada à proteção de dados pessoais.  
Gustavo Homrich defendeu que a adequação à LGPD será uma oportunidade de investimento, e não gastos, para o setor regulado: 
“A Lei promoverá um diferencial de competitividade, gerando maior confiança dos titulares dos dados, maior segurança e proteção dos dados custodiados, maior sinergia entre as áreas de negócio das empresas, bem como melhoria da imagem das instituições e melhor governança dos dados”.
<h3>Desafios para o setor </h3>
Empresas de saúde consultadas pelo JOTA relataram que iniciaram os trabalhos de preparação para implementação da lei antes mesmo dela entrar em vigor. Para o setor, os desafios na implementação da nova estrutura não se restringem a questões técnicas. Nesse ponto, as empresas destacam também os novos investimentos e a necessidade de criar e disseminar uma nova cultura de tratamento de dados.  
Operadoras de planos de saúde, hospitais, clínicas e laboratórios vêm aplicando a LGPD de diversas maneiras. Algumas delas estão indicando pessoas da própria empresa para efetuar a implementação da lei, outras têm terceirizado a gestão de segurança da informação para outras empresas, o que é permitido pela lei.
<h3>Assunto estratégico </h3>
O tema LGPD é considerado um assunto estratégico para o mercado de saúde suplementar e, por isso, as empresas têm evitado falar abertamente sobre suas organizações internas. 
“É tudo muito novo, estamos no momento de entender quais são os nossos pontos fracos e pontos fortes, e implementar ações internas para cumprir a lei. Se a gente abre, acaba expondo nossas fragilidades, é quase um segredo de mercado”, afirmou reservadamente um auxiliar de uma operadora de plano de saúde. 
De maneira geral, as grandes empresas do setor de saúde suplementar têm investido na capacitação de pessoal e orientação sobre melhores práticas, além da contratação de softwares para proteção das informações. As empresas também afirmaram que estão criando novos canais de reclamação e comunicação com os titulares dos dados.
Outro ponto importante desse processo inicial de implementação da lei tem sido o mapeamento dos caminhos que esses dados percorrem dentro da empresa, desde a porta de entrada até o armazenamento e descarte das informações. As operadoras afirmam que estão observando ainda quem hoje tem acesso a esses dados, quem de fato deveria ter, e quais podem ficar livremente disponíveis para cada setor da empresa.
Uma dificuldade relatada por algumas empresas do setor diz respeito aos dados antigos que já constam no sistema ou armazenados em papel — isso porque, pela lei, o conceito de dados não abrange só aqueles que constam no meio digital. Nesses casos, além de reorganizar o material, as empresas devem obter o consentimento dos titulares para manter essas informações. Tal trabalho é apontado como “dificultoso”.  
<h3>Adaptação sem resistência</h3>
Apesar das críticas, especialistas ouvidos pelo JOTA avaliam que as empresas não têm demonstrado resistência e estão dispostas a se adequar. Doutor em direito e especialista em aplicação da LGPD na área da Saúde, o professor e advogado Gabriel Schulman, afirma que as empresas têm tido uma conduta proativa de caráter preventivo, mas ressalta que elas devem ficar muito atentas à finalidade de cada dado e sugere que sejam criados sistemas que hierarquizam os níveis de acesso para exibir cada dado a quem interessa.
Ele lembra que a regulamentação para a saúde não explicita quais dados poderão ser trocados, mas afirma que a LGPD, como lei geral, vai dialogar com a legislação setorial. Nesse sentido, a ANS terá um papel fundamental, podendo estabelecer normas que complementam a LGPD.
Algumas empresas estão realizando auditorias internas, com profissionais da área de segurança da informação, com o objetivo de analisar como está o andamento da implementação da lei e observar o que não está em conformidade. Para Schulman, esse olhar cuidadoso ajudará não só a fugir de sanções e penalizações por não cumprimento da lei, bem como em outros processos internos e externos:
"O mercado de planos de saúde, por exemplo, tem uma circulação muito intensa de dados. Então o olhar cuidadoso ao tratamento desses dados pela operadora vai exigir que ela passe a enxergar toda essa cadeia e isso vai ajudá-la a justificar mais à frente um aumento de mensalidade, ou algo que tenha que esclarecer à ANS", diz o especialista.

Planos de saúde 2

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

ANS diz que aguarda instalação da ANPD para definir como irá auxiliar na fiscalização do setor

LGPD: ANS define estrutura de fiscalização enquanto setor ainda busca se adaptar

Em vigor desde setembro de 2020, a Lei Geral de Proteção de Dados vem provocando alterações no modo de funcionamento do setor