LGPD na Odontologia: como garantir a segurança de dados

Lei Geral de Proteção de Dados determina novas regras de coleta, armazenamento e utilização de dados dos pacientes

Você sabe o que é LGPD? A Lei Geral de Proteção de Dados exige que empresas/consultórios/clínicas etc. adequem o tratamento de dados pessoais dos clientes/pacientes a regulamentos específicos. Publicada no Diário Oficial da União em agosto de 2018, a Lei nº 13.709/18 fecha o cerco contra o compartilhamento de informações sem consentimento. Em um cenário mundial marcado por informações vazadas pela internet, o projeto é considerado um marco na história da cibersegurança no Brasil, trazendo garantias às instituições e pessoas físicas. 

Para estar preparado é importante familiarizar-se com as alterações. Isso porque as novas regras para segurança de informações preveem penalidades severas para instituições que não cumprirem as normas e o valor pode chegar a 5% do faturamento bruto da empresa responsável ou a um teto de R$ 50 milhões. As sanções serão praticadas a partir do dia 1º de agosto de 2021. A fiscalização será feita pela Autoridade Nacional de Proteção de Dados (ANPD). 

A APCD conversou com Lucas Paglia, especialista em Proteção de Dados e sócio-fundador da P&B Compliance, que explicou os principais pontos da LGPD na saúde e seus impactos. Segundo o especialista, o objetivo da lei é que a solicitação para esse consentimento seja feita de forma explícita, clara e transparente, de modo que o usuário entenda perfeitamente do que se trata. "O importante é dar transparência e finalidade de como é feito esse tratamento de dados", diz. 

De acordo com Paglia, a lei também prevê, com mais rigor, a proteção dos chamados dados sensíveis. "Os dados pessoais tornam identificável uma pessoa física, por exemplo, como nome, CPF e RG. Já os dados pessoais sensíveis, são dados que exigem atenção e cuidado". Trata-se de informações que apresentam um caráter pessoal e privado sobre a vida íntima do usuário, como condições de saúde física e mental, eventuais problemas de cunho psicológico, crenças religiosas, posicionamentos políticos, orientação sexual e assim por diante.

Com a adaptação à LGPD por parte das instituições de saúde é preciso ajustar todos os processos internos, sobretudo aqueles nos quais transitam informações sensíveis. Portanto, clínicas, hospitais e laboratórios terão que avaliar o ciclo de vida de todos os dados coletados no atendimento ao paciente, seja online ou offline, além de seus dados internos. A partir daí, tudo deverá ser inspecionado e documentado. "Temos um cuidado muito grande no fluxo que esse dado tem dentro das clínicas, hospitais e empresas. Como ele é coletado? Na recepção? Numa anamnese? Ou na placa de um veículo deixado no estacionamento? O fluxo deve ser: coletei, armazenei e o que farei a partir dali, como por exemplo, se esse dado sair da minha empresa quando há um compartilhamento dessas informações com outras instituições", diz o especialista. 

Quais os impactos da LGPD na saúde? 

A lei ainda pode passar por alterações, mas com base nas previsões atuais, pontuamos informações das quais Cirurgiões-Dentistas e gestores da área devem estar atentos de acordo com a nova lei. Veja: 

1. Dados de pacientes só poderão ser coletados e armazenados em sistemas com  autorização e transparência. A medida vale tanto para prontuários novos quanto para dados que já estão no sistema. 

2. A lei contempla toda transação de informação, não necessariamente só operações digitais, ou seja, registros em papel, por exemplo, também precisarão da autorização;

3. As validades para mensagens entre Cirurgiões-Dentistas e pacientes por WhatsApp devem ser criptografadas e protegidas. 

4. Empresas terão de nomear um responsável interno para proteção dos dados ou terceirizar a gestão de segurança de informação.

5. É de responsabilidade do contratante a segurança dos dados e falha dos terceirizados; 

6. Os pacientes terão o direito de saber quais dados estão no sistema e para que finalidade essas informações serão utilizadas. Estes dados também deverão estar disponíveis para ANPD; 

7. Os dados pessoais dos pacientes, assim como todas as transmissões de informações no sistema, deverão ser criptografados e, depois de cumprirem o objetivo devem ser deletados;

Paglia alerta que o primeiro passo para estar de acordo com a lei e como se proteger é pensar em um primeiro relatório. "Entender quais são os riscos, os gaps e os momentos que devemos gastar, de fato, tempo e recurso. O fluxo dos dados é fundamental. Assim como falamos, como ele entra, como é armazenado e como é transferido, deletado ou descartado. Depois, é importante saber se dentro desse fluxo existe um risco. Então, toda a empresa já tem uma segurança dessa informação. A nova lei visa agora olhar esse processo com outros olhos e ver se dentro do que a lei pede exige um tratamento correto". 

Para isso, o especialista sugere um plano de ação para, pontualmente, "por grau de prioridade, adequar a empresa e reduzir os  riscos e alterar os pequenos passos dos processos diários", diz. Paglia alerta ainda para que a empresa tenha seus dados protegidos e de acordo com a nova lei, “a definição de um responsável interno para a segurança da informação é essencial. O Data Protection Officer (DPO) é obrigatório em todas as empresas, clínicas, hospitais. Ainda, existe uma questão comercial das grandes empresas solicitando cada vez mais que existam cláusulas contratuais que dão segurança para a cadeia inteira estar, hoje, adequada". 

Plano de ação, por onde começar? 

Já ficou claro que os desafios são diversos. Por isso, reunimos algumas dicas para você, profissional, se preparar e começar. Confira: 

1. Revise sua política de privacidade e tratamento de dados;

2. Prontuários digitais facilitam o manuseio das adaptações à LGDP. *É importante o profissional se adaptar a coleta digital do paciente e/ou disponibilizar o recurso para assinatura;

3. Capacite o quadro de colaboradores para que entendam mais sobre a nova lei;

4. Conte com diferentes fontes de dados, como agendamento online, WhatsApp e mais;

5. Deixe o acesso de dados pessoais mais simples, quando possível;

6. Tenha um sistema de segurança adequado;

7. Facilite o acesso de dados para que os usuários possam modificá-los quando necessário;

Paglia finaliza dizendo que tudo isso "precisa estar muito claro numa política de privacidade, porque é ali que iremos dizer como coletamos, o que coletamos, e o que iremos fazer com esses dados". Agora, Cirurgião-Dentista, certifique-se de que sua clínica está preparada para entrar numa nova era de proteção de dados. Todas essas questões são essenciais para a sua segurança e do paciente.

Texto: Fernanda Carvalho