Regime de responsabilidade dos agentes de tratamento na LGPD
A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece um regime de responsabilidade para agentes de tratamento — controladores e operadores — que pode implicar responsabilidade solidária em caso de violação dos dados pessoais, especialmente no contexto sensível dos dados de saúde. O controlador é aquele que determina as finalidades e meios do tratamento dos dados pessoais, sendo o principal responsável pela conformidade do tratamento, enquanto o operador executa o tratamento conforme as instruções do controlador, com deveres próprios de cuidado e adoção de medidas de segurança.
Distinção entre responsabilidade própria e responsabilidade solidária
Embora o controlador detenha a maioria das atribuições legais e seja o principal responsável pelo tratamento, a LGPD também impõe responsabilidades ao operador, inclusive por atos próprios que descumpram normas ou instruções legais. Dessa forma, a responsabilização pode ocorrer de forma solidária quando os agentes de tratamento contribuírem conjuntamente para a ocorrência do dano. O artigo 43 da LGPD dispõe sobre possíveis excludentes de responsabilidade, como a ausência de nexo causal entre conduta e dano ou a culpa exclusiva de terceiro.
Ônus da prova e aplicação prática em casos de vazamento de dados no setor saúde
Em eventuais ações judiciais por vazamento de dados pessoais de pacientes, o ônus da prova cabe ao controlador e ao operador para demonstrar a inexistência de falhas em suas atividades ou a adoção de medidas adequadas à proteção dos dados. O cumprimento das obrigações legais, a documentação das operações de tratamento, e auditorias regulares servem como instrumentos essenciais para mitigar riscos e atestar diligência na proteção dos dados.
Quantificação dos danos morais e materiais
A quantificação dos danos derivados de tratamento indevido de dados no setor saúde demanda avaliação criteriosa, dada a natureza sensível das informações envolvidas. Os danos morais podem ser presumidos, em decorrência da violação de direitos fundamentais à privacidade e à imagem, mas requerem conexão clara com o vazamento ocorrido. Já os danos materiais exigem comprovação direta do prejuízo econômico, podendo incluir custos com remediação, defesa judicial e reparação.
Cláusulas contratuais e estratégias para mitigação de riscos nos contratos hospitalares e de TI
Para a adequada alocação do risco e responsabilização, contratos entre controladores (instituições de saúde) e operadores (prestadores de serviços de TI, por exemplo) devem conter cláusulas específicas, como:
– Acordos de Processamento de Dados (Data Processing Agreement – DPA) que estabeleçam limites de responsabilidade e obrigações de conformidade; – Definição clara de níveis de serviço (Service Level Agreements – SLAs) relativos à segurança e confidencialidade dos dados; – Previsão de auditorias periódicas e a possibilidade de inspeções; – Responsabilidades específicas relativas à notificação de incidentes de segurança; – Cláusulas de indenização e reparação de danos decorrentes de falhas no tratamento dos dados.
Estas medidas contratuais, acompanhadas de práticas efetivas de governança e segurança da informação, são essenciais para a gestão do risco legal e a conformidade com a LGPD no setor de saúde.
A responsabilidade solidária entre controlador e operador, conforme previsto na LGPD, exige uma interpretação jurídica cuidadosa embasada nos princípios da boa-fé, segurança jurídica e eficiência na proteção dos dados pessoais. A implementação de políticas internas, a documentação das operações e a clara alocação de responsabilidades contratuais contribuem para a minimização de riscos e a proteção dos direitos dos titulares dos dados, sobretudo em ambientes sensíveis como o da saúde.
