Responsabilidade civil e administrativa pelo vazamento de dados sensíveis na saúde
O vazamento de dados sensíveis no setor de saúde configura hipótese de responsabilização civil e administrativa conforme previsto na Lei Geral de Proteção de Dados (LGPD). A legislação impõe às instituições de saúde o dever de proteger os dados pessoais relacionados à saúde, características genéticas, biométricas e outros dados que possam causar discriminação ou danos aos titulares. A violação dessas obrigações pode ensejar sanções aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD), além de reparação de danos causados aos titulares.
Critérios para alocação de papéis: controlador e operador
A correta definição entre controlador e operador é essencial para a atribuição de responsabilidades e gestão de riscos. O controlador determina as finalidades e os meios de tratamento dos dados pessoais e, em geral, serão as instituições de saúde, clínicas, hospitais e laboratórios que decidem como e por que coletar e utilizar os dados. O operador, por sua vez, realiza o tratamento em nome do controlador, podendo ser fornecedores de sistemas, terceirizados para armazenamento ou processamento de dados, entre outros. Contratos robustos devem explicitar essas responsabilidades para evitar lacunas jurídicas.
Medidas técnicas e organizacionais para proteção dos dados
A preservação da confidencialidade dos dados sensíveis requer a implementação de medidas técnicas e organizacionais adequadas, aplicáveis tanto a prontuários físicos quanto digitais. Para o meio físico, destacam-se a restrição de acesso, controle de manuseio, e armazenamento seguro; para os meios digitais, a encriptação, monitoramento de acessos, autenticação forte e backups regularizados são práticas indispensáveis.
Além disso, a realização de Relatórios de Impacto à Proteção de Dados (DPIA – Data Protection Impact Assessment) é recomendada para identificar riscos potenciais relacionados ao tratamento, promovendo a adoção de mitigadores adequados antes do início das operações.
Diretrizes e atuação da ANPD
A ANPD apresenta orientações específicas para o setor da saúde, reforçando a necessidade de políticas de privacidade claras, capacitação continuada dos profissionais, e planos de resposta a incidentes. A autoridade tem ampliado sua fiscalização para avaliar a adequação das práticas de governança e a efetividade dos controles adotados pelas instituições.
Estratégias de defesa e mitigação de riscos
A elaboração de planos de resposta a incidentes que incluam comunicação tempestiva aos titulares e à ANPD é crucial para mitigar os impactos de eventuais vazamentos. Também é imprescindível a capacitação dos agentes de tratamento, incluindo médicos, secretárias e demais colaboradores, quanto à importância do sigilo e do cumprimento da LGPD.
Ainda, a revisão periódica dos contratos com fornecedores e a implementação de auditorias internas fortalecem a governança e demonstram diligência perante eventuais demandas judiciais ou administrativas.
O cenário jurídico-legal brasileiro exige das entidades de saúde uma abordagem integrada que combine conformidade normativa e práticas operacionais eficazes para garantir a proteção dos dados sensíveis, preservando direitos fundamentais dos titulares e resguardando a integridade das instituições.
