Fiscalização da ANPD e o tratamento de dados de saúde
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão central responsável pela fiscalização do cumprimento da Lei Geral de Proteção de Dados (LGPD) em relação ao tratamento de dados pessoais sensíveis, destacadamente os relativos à saúde. O tratamento desses dados exige cuidados especiais dado seu caráter sensível, conforme previsto no artigo 5º, inciso II, da LGPD, exigindo maior cautela na manipulação e segurança da informação.
A fiscalização da ANPD abrange pessoas jurídicas públicas e privadas que realizam atividades de tratamento de dados pessoais na área da saúde, incluindo hospitais, clínicas, laboratórios, farmácias e planos de saúde. Essa atuação se dá por meio da análise documental, inspeções in loco e monitoramento das práticas de governança e segurança da informação.
Mecanismos de atuação e critérios de risco
A ANPD adota diversos mecanismos para identificar e mitigar riscos relacionados ao tratamento de dados de saúde. Entre eles, destacam-se:
– Programa de Compliance e Governança: A implementação contínua de treinamentos, políticas internas e auditorias independentes tem papel fundamental na prevenção de riscos, configurando uma ferramenta essencial para garantir conformidade e evitar a materialização de infrações.
– Controles de acesso e segurança da informação: A adoção de controles rigorosos para limitar o acesso a dados sensíveis, emprego de criptografia e registro de logs são práticas recomendadas que demonstram diligência na proteção dos dados.
– Monitoramento e auditoria: Inspeções periódicas, internas ou por parte da ANPD, buscam diagnosticar vulnerabilidades e lacunas no tratamento, possibilitando atuação preventiva e corretiva.
Em termos de avaliação de risco, com destaque para dados de saúde, a ANPD considera aspectos como o potencial de dano ao titular, a quantidade de dados expostos e a forma de compartilhamento com terceiros — especialmente quando ocorre sem formalização adequada, como o fornecimento de informações a forças de segurança ou compartilhamento indevido de CPF por farmácias, situações que têm gerado denúncias e autuações.
Sanções administrativas aplicáveis
O regime sancionatório da LGPD prevê diversas medidas que a ANPD pode aplicar em caso de infração, escalonadas conforme a gravidade do ato e os riscos envolvidos:
– Advertência: comunicação formal para correção da prática irregular, usualmente aplicada em casos iniciais ou com baixo potencial lesivo.
– Multa simples: valor fixado sobre o faturamento da empresa, limitada a 2% do seu faturamento da pessoa jurídica, grupo ou conglomerado no Brasil, até o limite de R$ 50 milhões por infração.
– Multa diária: penalidade progressiva para compelir o cumprimento da ordem judicial ou administrativa.
– Bloqueio dos dados pessoais: medida que restringe o uso dos dados enquanto perdurar a irregularidade.
– Eliminação dos dados pessoais: destruição dos dados que foram indevidamente tratados, nos termos da lei.
A aplicação dessas sanções observam a gravidade da infração, boa-fé do infrator, o grau de colaboração para a apuração, e as medidas adotadas para mitigar os efeitos da infração.
Estratégias procedimentais e probatórias em defesa administrativa
Em processos administrativos instaurados pela ANPD, a produção de prova documental e técnica é essencial para demonstrar a efetividade das políticas internas e das medidas de segurança adotadas. As principais estratégias incluem:
– Documentação robusta: manutenção de registros claros sobre treinamentos periódicos, protocolos de segurança, auditorias técnicas e relatórios de incidentes.
– Atualização constante: programas de compliance devem estar alinhados às melhores práticas e às atualizações normativas, evidenciando diligência e boa-fé.
– Controle do compartilhamento: formalização e justificativa legal para compartilhamentos de dados, com contratos ou termos de consentimento explícito.
– Engajamento técnico: suporte de peritos ou consultores em proteção de dados pode fortalecer a argumentação técnica diante da autoridade.
Adicionalmente, é recomendável que as organizações adotem uma postura colaborativa durante a fiscalização para mitigar o impacto das autuações e possibilitar acordos que fomentem a conformidade.
Ao considerar a relevância do tema, é fundamental que profissionais do Direito, gestores de saúde e responsáveis por compliance estejam atentos às nuances da fiscalização da ANPD e implementem mecanismos de governança adequados para proteger a privacidade e cumprir os comandos legais. Isso contribui não apenas para evitar sanções, mas também para fortalecer a confiança no tratamento ético e seguro dos dados sensíveis relacionados à saúde.
