LGPD para clínicas e hospitais: como se adequar?

Adequação à Lei Geral de Proteção de Dados é fundamental para evitar punições e também estabelecer processos mais transparentes e seguros para o paciente 

A Lei Geral de Proteção de Dados (LGPD) foi sancionada em agosto de 2018 e entrou em vigor em agosto de 2020, com diversas implicações para clínicas e hospitais que fazem ou não uso de serviços de telemedicina, como a telerradiologia.

A LGPD é uma legislação voltada à proteção dos dados pessoais dos cidadãos, tendo como foco operações que exigem a coleta de informações.

No segmento da saúde estima-se que 90% das informações coletadas são dados pessoais sensíveis, que têm determinações específicas na lei.

6 práticas para adequação de clínicas e hospitais à LGPD

Clínicas e hospitais que coletam dados de pacientes precisam estar em compliance com a LGPD, uma vez que a falta de cumprimento da legislação pode resultar em multas e outras penalizações.

1. Informações sobre a LGPD

O primeiro passo para adequação à LGPD é buscar mais informações sobre o tema em fontes confiáveis ou na própria legislação.

Um ponto central é entender o que é classificado como dados pessoais que incluem: nome, telefone, e-mail, endereço e demais informações que permitam identificar o indivíduo.

Na saúde, como visto, a maior parte é classificada como dados pessoais sensíveis que consistem em informações que, quando utilizadas de forma indevida, podem ter consequências nocivas e discriminatórias contra o titular.

Entre os dados considerados sensíveis incluem-se, por exemplo, histórico médico, informações sobre a saúde, dados biométricos e outros.

2. Transparência com o paciente

Entre os principais objetivos da LGPD está o maior controle sobre os dados pessoais dos pacientes. Dessa forma, a legislação exige que haja mais transparência nos processos de coleta e tratamento de dados.

O paciente deve fornecer, de forma consciente e esclarecida, seus dados. Para tal, a política de dados deve explicitar informações como:

• quais dados serão coletados e qual o propósito;
• se as informações serão compartilhadas com terceiros e motivos do compartilhamento;
• esclarecer fatores sobre a segurança dos dados.

Portanto, a lei não impede que haja a coleta, armazenamento e tratamento de dados pessoais, apenas visa que tais processos sejam feitos com autorização do titular dos dados e com transparência.

3. Escolha das ferramentas

A maior parte das ferramentas e sistemas digitais já notificou os usuários sobre as atualizações nos procedimentos e políticas para adequarem-se à LGPD.

Apesar disso, é importante que os gestores de saúde estejam atentos se todas as ferramentas usadas na clínica ou hospital, como de telerradiologia, teleatendimento e outras seguem a nova legislação.

Além disso, é relevante que novas contratações considerem esse ponto, uma vez que a clínica ou hospital também têm responsabilidade sobre esses dados e não apenas a empresa fornecedora do sistema.

4. Escolha dos parceiros

Os parceiros também precisam estar adequados à LGPD, pois há uma divisão da responsabilidade e se houver o vazamento de dados sensíveis de pacientes devido à inadequação de um parceiro, a clínica ou hospital podem ser igualmente punidos.

Esse é o caso da escolha de parceiros que recebem informações dos pacientes.

5. Função do DPO

A LGPD definiu a função do Encarregado de Proteção de Dados ou DPO (do inglês, Data Protection Officer).

Esse profissional é o responsável pelo compliance da clínica ou hospital em relação à legislação de proteção de dados. Ele deve estabelecer processos e políticas para que as regras sejam executadas em todos os departamentos.

A lei não determina quem deve desempenhar a função de DPO, mas entende-se que esse profissional deve ter competências sobre a LGPD e sua aplicação, sobre as operações do setor de saúde e também sobre tecnologia. 

6. Adequação do Termo de Consentimento Livre e Esclarecido

O Termo de Consentimento Livre e Esclarecido (TCLE) já é um instrumento amplamente usado na área da saúde para esclarecer aos pacientes ou responsáveis detalhes sobre procedimentos.

É importante que o modelo de TCLE usado seja atualizado com as informações sobre a proteção de dados do paciente, assegurando quais dados serão coletados, para qual finalidade, entre outras informações.

Quais os riscos da falta de compliance?

As clínicas e hospitais que não se adequarem à LGPD estão suscetíveis a diversos riscos, como advertência, multa de 2% do faturamento anual até o limite de R$ 50 milhões, bloqueio das operações, exigência de exclusão dos dados, suspensão das atividades e até proibição total ou parcial de atividades que envolvam coleta e tratamento de dados.

LGPD e telerradiologia: quais as mudanças na área?

A telerradiologia, desde sua regulamentação pela Resolução Nº 2.107/2014 do Conselho Federal de Medicina (CFM), já determina que haja a autorização do paciente para compartilhamento das informações.

O TCLE explica que serão compartilhados o exame de imagem para análise e também os dados clínicos que são fundamentais à qualidade do laudo emitido pelo radiologista.

Dessa forma, a telerradiologia já operava sobre essas regras antes mesmo da vigência da LGPD, o que não reduz a importância dos gestores conhecerem a lei e suas exigências para outros processos.