LGPD para empresas de saúde

A partir de agosto de 2020 entra em vigor no Brasil a Lei Geral de Proteção de Dados, conhecida também como LGPD. Por meio dela, todas as empresas atuantes no país precisarão garantir que a coleta de informações pessoais seja autorizada de maneira formal. Essas empresas também devem garantir aos clientes o direito de saber a finalidade desses dados obtidos, quem terá acesso aos mesmos, como eles serão armazenados e se haverá compartilhamento dessas informações.

Quando uma empresa estabelece contato clientes, parceiros e prospects, essas pessoas fornecem seus dados pessoais e esperam que se preserve essa relação de confiança. O vazamento dos dados ou uso inadequados deles podem gerar danos irreparáveis aos envolvidos.

A nova lei dará segurança jurídica às pessoas, enquanto gradativamente irá extinguir as práticas ilegais com relação ao uso de dados dos cidadãos como, por exemplo, a venda de lista de dados.

Princípios da LGPD

A Lei Geral de Proteção de Dados se baseia em 10 princípios:

Finalidade

Dados coletados só podem ser tratados para fins legítimos e especificados aos titulares, ou seja, as empresas não podem coletar informações e, depois, usá-las para outros fins. Por exemplo, o cliente de uma operadora de saúde que fornece seus dados para poder ser cadastrado no convênio não pode ter esses dados usados para serem ofertados outros produtos incompatíveis com a finalidade.

Adequação 

O tratamento dos dados deve ser compatível com a finalidade que foi informada para o usuário. Isso significa que a empresa não pode usar os dados dos clientes para qualquer fim que não tenha sido previamente informado. Por exemplo, se o paciente manifestou o desejo de ser acessado apenas por e-mail, ele não pode receber ligações ou mensagens de texto da instituição.

Necessidade 

Os dados devem ter o uso limitado ao necessário para o alcance de objetivos pré-estabelecidos. Ou seja, as empresas devem coletar apenas aquelas informações estritamente necessárias para prestação dos seus serviços. Por exemplo, caso o objetivo seja disparar e-mails, é desnecessário solicitar o número do telefone ou endereço do paciente.

Livre acesso 

Os titulares dos dados devem sempre ter acesso fácil e gratuito às suas informações, além de serem informados sobre como essas informações serão utilizadas e qual será a duração desse processo. Por exemplo, um beneficiário cadastrado em uma base de dados há seis meses, pode decidir revisar as informações ou excluir dados que não queira mais compartilhar com a organização, desde que essa exclusão não conflite com outras exigências legais, como determinações da ANS.

Qualidade dos dados 

Princípio que garante aos titulares que seus dados serão exatos, terão informações claras, relevantes e atualizadas para tratamento. Por exemplo, se o beneficiário, cadastrado em uma base de dados há algum tempo, notou que as informações estão desatualizadas, poderá solicitar alteração a qualquer momento.

Transparência 

Garante aos usuários informações claras e de fácil acesso sobre o tratamento de seus dados e quem são os responsáveis por tratá-los. Por exemplo, ao receber um SMS falando sobre um novo credenciado na região onde mora, o paciente pode questionar o motivo para que tenha recebido essa mensagem e qual critério utilizaram para selecioná-lo.

Segurança 

As empresas que tratam de dados devem adotar medidas para proteger as informações de acessos não autorizados, eventos acidentais, alteração, perda, comunicação ou compartilhamento irregular. Por exemplo, o beneficiário informou o número do seu CPF ou Cartão Nacional de Saúde para a operadora. É responsabilidade da empresa proteger esses dados para que esse usuário não seja prejudicado por fraudes.

Prevenção 

É importante adotar medidas para prevenir a ocorrência de danos no tratamento das informações. Em caso de invasão ao sistema em que os dados estão armazenados, por exemplo, a empresa detentora de dados de cidadãos brasileiros será responsabilizada por qualquer uso indevido das informações que estavam em seu poder.

Não discriminação 

Os dados não podem ser utilizados para a promoção de ações ilícitas, discriminatórias ou abusivas. Por exemplo, o tabelamento do mesmo serviço por preços diferentes, considerando a região de residência do cliente, que foi identificada no banco de dados, é uma prática considerada inadequada.

Responsabilização e prestação de contas

As organizações são responsáveis pelos dados que detém e, por essa razão, têm o dever de informar quando terceiriza o tratamento das informações, bem como identificar o encarregado pela tarefa. Dessa forma, a empresa deve a possuir documentação que comprove a regularidade do processo, em concordância com a lei.

Ações irregulares

A LGPD exige que o consentimento para o uso de dados pessoais ou recebimento de conteúdo, promoções e informações seja fornecido por meio de formulário físico ou eletrônico, desde que o mesmo possa ser comprovado em caso de fiscalização. Comprar listas de contato infringi essa regra fundamental.

Lembre-se que é considerada falta grave ações que induzam a pessoa ao consentimento ou que sejam caracterizadas como coação. Deve-se prezar pelo livre direito de escolha do cidadão.

As organizações devem ficar atentas, também para não cometer outras falhas como:

Formulário de consentimento com frases genéricas

Não será aceita pela LGPD frases que digam algo, como “autorizo o livre uso de meus dados para fins de pesquisa”. É preciso informar qual será a pesquisa, a que se destina, a quem beneficiará, quais pessoas terão acesso aos dados, quando e como será divulgada, entre outros detalhes.

Impedir que o cliente peça a exclusão de seus dados da lista

Opte por criar um mecanismo que facilite o cancelamento do cadastro do cliente da base de dados, em uma ação simples, sem burocracias e com a garantia de atendimento imediato à solicitação.

Ocultar do cliente informações sobre mudanças nos processos

É direito do cliente ser informado sobre qualquer mudança nos processos de coleta, tratamento ou armazenamento dos dados. Inclusive, neste caso, é importante reforçar a ele a possibilidade de solicitar o descadastro da base de dados, caso não concorde com algo da nova política.

Dessa forma, dedique atenção para estruturar as práticas de adequação à LGPD e, para evitar ferir as normas da lei, só faça alterações nos processos caso elas sejam fundamentais para o negócio.

Dados de Jovens

No contato com jovens com idade inferior a 12 anos, a LGPD exige um cuidado extra com relação à manipulação dos dados. As informações de membros desse público só podem ser coletadas mediante a autorização dos respectivos responsáveis legais. É importante lembrar, também, que a forma de comunicação com o cliente deve considerar o perfil do público. Isso quer dizer que, ao falar com uma criança ou jovem, não é permitido usar termos jurídicos ou qualquer outra linguagem de difícil interpretação e compreensão.

Atenção à dados de saúde

Em geral, a área mais sensível da vida das pessoas é a saúde. Isso faz com que qualquer exposição de informações sobre os dados referentes à saúde seja cuidadosamente planejada. Esse cuidado deve ser redobrado com a chegada da LGPD. Há também a necessidade de maior fiscalização quanto a dados do prontuário físicos ou virtuais para que não haja ações que caracterizem vazamento de dados. Algumas medidas preventivas são importantes.

Só exponha ou utilize informações do paciente nas instalações da organização caso tenha autorização formal dele;

Treine a equipe com relação à deveres, direitos e punições relacionadas à LGPD;

Mapeie, categorize e monitore as informações de pessoas que tenham acesso a dados na instituição;

Invista em soluções de segurança dos dados coletados;

Mantenha o constante monitoramento das ações e revisão dos processos.

Penalizações

As empresas que não respeitarem as diretrizes da LGPD estarão sujeitas a multas simples ou diárias de até 2% do faturamento da empresa, limitado a R$ 50 milhões por infração. Além disso, também poderão ter os dados irregulares bloqueados para o uso ou a infração amplamente divulgada.

Conclusão

A Lei Geral de Proteção de Dados traz uma série de exigências às empresas tanto nos dados coletados de clientes em potencial do ponto de vista de marketing, quanto no uso de dados de clientes em todos os níveis de informação, desde simples dados cadastrais como endereço, até dados mais específicos como utilização de planos de saúde ou resultados de exames. Zelar por esses dados é obrigação das empresas muito antes da lei começar a ser discutida. A LGPD vem para normatizar a forma de garantir essa segurança, permitindo que haja fiscalização e coibindo abusos e má fé.

Organizações que aproveitarem os próximos meses para se adequarem, seja buscando o apoio de especialistas ou aderindo a ferramentas que facilitem o processo, sairão na frente em termos de credibilidade junto ao mercado.