Bases legais para tratamento de dados pessoais e sensíveis na saúde
A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece diferentes bases legais para o tratamento de dados pessoais, sem hierarquia entre elas, aplicáveis ao setor de saúde. Para dados pessoais sensíveis, como informações genéticas e dados de saúde, demanda-se camada adicional de segurança e atenção devido ao potencial discriminatório que esse tratamento inadequado pode implicar.
No âmbito da saúde, destacam-se as bases legais do consentimento, tutela da saúde, execução de contrato, legítimo interesse (aplicável apenas a dados pessoais comuns), proteção da vida, políticas públicas, exercício regular de direitos, além da anonimização, quando possível.
Consentimento na saúde e requisitos específicos
O consentimento para o tratamento de dados de saúde deve ser livre, informado, específico, destacado e claro, sobretudo em pesquisas clínicas. Para dados sensíveis, exige-se consentimento distinto, devidamente documentado, que respeite a especificidade do tratamento. Em pesquisas envolvendo crianças e adolescentes, o consentimento deve ser fornecido pelo responsável legal, que deve ser identificado e comprovado pelo controlador.
Além disso, o controle da forma de coleta, armazenamento e uso do consentimento inclui a manutenção das evidências dessa autorização, a fim de cumprir obrigações de compliance e possibilitar auditorias internas e externas.
Legitimo interesse e limitações para dados sensíveis
A base legal do legítimo interesse permite o tratamento de dados pessoais comuns quando equilibrado com os direitos fundamentais do titular, mediante aplicação obrigatória do teste de proporcionalidade e adoção de medidas para resguardar direitos. Na área da saúde, esse fundamento é utilizado especialmente para finalidades administrativas ou de marketing, mas é vedado para dados sensíveis, salvo exceções expressas.
Tutela da saúde e execução de políticas públicas
Tratamentos necessários à proteção da saúde do titular ou à execução de políticas públicas de saúde, como vacinação, podem justificar o manejo de dados sensíveis sem consentimento, desde que observados os limites legais e regulamentares. Situações de emergência médica que impeçam o consentimento também autorizam o tratamento, como no acesso a informações para atendimento em casos de incapacidade do paciente.
Compartilhamento, interoperabilidade e restrições
O compartilhamento de dados pessoais sensíveis entre controladores para fins econômicos é proibido pela LGPD, salvo exceções ligadas à prestação e gestão de serviços de saúde, assistência e portabilidade, quando requerida pelo titular. A interoperabilidade dos sistemas e o conceito de “open health” conferem ao usuário maior autonomia sobre seus dados, exigindo que instituições garantam transparência, segurança e documentação adequada das operações.
Documentação, governança e segurança
Instituições de saúde devem implementar políticas claras e acessíveis sobre coleta, tratamento e compartilhamento de dados, além de adotar medidas reforçadas de segurança, auditorias periódicas, treinamento contínuo para prevenção de falhas humanas e planos eficazes de resposta a incidentes.
Será imprescindível, ainda, manter registros detalhados das operações de tratamento, testes de proporcionalidade e evidências da manifestação de consentimento, o que além de cumprir a LGPD, fortalece as práticas de governança e mitigação de riscos jurídicos.
Exemplos práticos na instituição de saúde
Prontuários médicos eletrônicos, serviços de telemedicina e pesquisas clínicas são casos que demandam atenção rigorosa às bases legais, à forma do consentimento e ao controle do acesso. A vigilância sobre pacientes menores de idade requer cuidados especiais quanto ao consentimento e à documentação da responsabilidade legal.
Essas orientações práticas oferecem suporte para a adequação das instituições de saúde à LGPD, minimizando riscos e garantindo o respeito aos direitos dos titulares na complexa operação do tratamento de dados pessoais sensíveis. O desenvolvimento de políticas robustas e a capacitação contínua dos profissionais são essenciais para a conformidade e a excelência na gestão desses dados.
