Multas da LGPD na saúde: conheça as possíveis sanções em caso de descumprimento da Lei

A partir de 1^o de agosto de 2021 passam a ser aplicadas sanções a estabelecimentos que não cumprirem com as normas da Lei Geral de Proteção de Dados. A lei, aprovada desde setembro de 2020, segue compreensível com aqueles que ainda não se adequaram, não aplicando todas as penalidades à risca. Em breve, as multas da LGPD serão empregadas a rigor causando riscos de punições de até 2% sobre o faturamento e podendo chegar a até R$ 50 milhões. 

Neste artigo, você entenderá melhor o que é a Lei, a quais multas as empresas de saúde estão sujeitas e, o mais importante, como  prevenir possíveis penalidades e constrangimentos no descumprimento da LGPD.

O que é a LGPD

Sancionada em agosto de 2018, a LGPD é um ordenamento legal que colocou o Brasil em sintonia com as maiores economias globais na regulação das atividades de tratamento de dados pessoais. 

Resumidamente, entre várias questões, a LGPD estabelece de maneira objetiva o que são dados pessoais e dados sensíveis, exige consentimento para uso desses dados, determina transparência no seu uso e, em casos de vazamentos, exige mecanismos de gestão de falhas e cria penalidades rígidas em caso de descumprimento da legislação.

Essas questões agora são regras para empresas de todos os tamanhos e setores. Elas são particularmente importantes para aqueles que lidam com dados pessoais e sensíveis de indivíduos, caso que atinge em cheio a área da saúde. O não cumprimento ou cumprimento parcial dessas regras podem causar sanções e até multas da LGPD.

Impactos da LGPD na Saúde

Empresas de saúde precisam armazenar uma gama de dados gigantesca, dentre os quais muitas informações pessoais de pacientes, ou seja, dados que podem causar constrangimentos se divulgados. 

Vale dizer que a LGPD foi criada para proteger “dados pessoais”, ou seja, só é relacionada a pessoas físicas. Além disso, a legislação especifica “dados sensíveis”, ou seja, aqueles cuja guarda é ainda mais valiosa. E cita especificamente dois tipos de dados muito presentes no setor de saúde, os dados referentes “à saúde ou à vida sexual” e “dado genético ou biométrico quando vinculada a uma pessoa natural”.

Para o setor, isso traz a necessidade de tomar todas as medidas para a anonimização dos dados, ou seja, usar todos os meios técnicos possíveis para garantir a segurança dessas informações.

Vamos entender abaixo em que pontos o não cumprimento das regulamentações ocasiona multas da LGPD e, logo mais, como podemos atuar de maneira preventiva para evitá-las. 

Quando começam as multas da LGPD?

De acordo com a lei, a partir de 1^o de agosto, a Autoridade Nacional de Proteção de Dados (ANPD), órgão que regula e fiscaliza a LGPD, aplicará sanções em casos irregulares. Ou seja, quem não estiver em dia já estará sujeito às penalizações.
Entretanto, para a aplicação, a ANPD é obrigada a criar um regulamento próprio sobre as sanções administrativas, antes de aplicá-las. Esse documento, chamado Regulamento de Fiscalização e Aplicação de Sanções Administrativas, já foi elaborado e passou por Consulta Pública entre 28 de maio e 28 de junho de 2021, estando ainda em fase de finalização, de acordo com informe de 30 de julho da própria ANPD.

Multas da LGPD e outras sanções

As sanções possíveis em caso de descumprimento da LGPD são as seguintes:

• advertência, com indicação de prazo para adoção de medidas corretivas;
• multa simples, de até 2% do faturamento da empresa, com limite de R$ 50 milhões por infração;
• multa diária, observado o limite de R$ 50 milhões;
• publicização da infração após apurada e confirmada a sua ocorrência;
• bloqueio dos dados pessoais a que se refere a infração até a sua regularização;
• eliminação dos dados pessoais a que se refere a infração;
• suspensão parcial do funcionamento do banco de dados a que se refere a infração por 6 meses, prorrogável por igual período;  
• suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração por 6 meses, prorrogável por igual período;  
• proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. 

Detalhe: embora a ANPD seja a única entidade encarregada de aplicar sanções e multas da LGPD quando houver descumprimento, nada impede que a empresa seja também enquadrada nos termos do Código de Defesa do Consumidor. Inclusive os PROCONs devem se tornar parceiros da ANPD nesses processos.

Como evitar ser multado pela ANPD?

Para evitar multas da LGPD e outras sanções, essencialmente, as empresas devem se adequar às diretrizes estabelecidas. Ou seja, é preciso seguir cada ponto da lei, modificando os sistemas internos de dados e a própria cultura de uso com a proteção de dados.

Esse é um processo longo, que especialistas avaliam que demore de 3 a 14 meses, dependendo do tamanho da organização, setor e dos níveis de tratamento de dados atualmente utilizados. Algumas dicas básicas entretanto não podem faltar:

1. Mapeamento dos fluxos e processos que envolvam os dados pessoais na empresa;
2. Definição de um encarregado (DPO – Data Protection Officer) pelo tratamento de dados pessoais;
3. Estabelecimento da prática de coletar só os dados necessários dos seus usuários;
4. Adaptação de seu site, app, ou qualquer ponto de coleta de dados às normas da lei;
5. Treinamento de todos os envolvidos que lidam com dados pessoais e sensíveis da saúde;
6. Certificação de que todos os fornecedores estejam adequados à LGPD;
7. Criação de um Relatório de Impacto à Proteção de Dados Pessoais, com todas as ações adotadas.

Segurança dos dados em saúde

Para as questões que envolvem o uso de tecnologias para otimização de processos na área da saúde, é fundamental verificar regras básicas de segurança de dados, com destaque para as ações: 

• Garanta o uso de criptografia de ponta a ponta no tráfego de dados;
• Valide seus arquivos em todas as transferências realizadas;
• Certifique-se de que apenas usuários cadastrados tenham acesso às informações dos pacientes;
• Utilize assinatura digital para verificação da autenticidade das informações registradas;
• Teste seu sistema de armazenamento quanto a fragilidades na segurança dos dados e se ele atende às regras para que os dados estejam disponíveis quando houver necessidade;
• Siga as regras básicas de segurança de dados, como manter equipamentos e sistemas atualizados, ter backup, firewall, controle de acesso à internet e ferramentas de suporte remoto seguras.

Plataforma Octopus, uma ferramenta aliada à adequação da LGPD

Uma das preocupações da Neomed é garantir que as soluções oferecidas sigam as normas impostas pela LGPD. Por isso a Octopus, plataforma de laudos remotos, é totalmente segura, com mensagens e dados de exames criptografados de ponta a ponta. 

Tudo isso para proporcionar segurança legal aos usuários da solução. Para saber mais sobre a Octopus e como ela pode ajudar a sua empresa a não descumprir as exigências da LGPD, fale agora mesmo com nossos especialistas. 

Jose Henrique

José Henrique Lopes é especialista em Gestão e Governança em Tecnologia da Informação pela Universidade Federal de Goiás (UFG). Apaixonado por inovação e novos negócios, atua há mais de 16 anos como Diretor e Gestor de TI e Inovação. Atualmente é Chief Technology Officer (CTO) e Data Protection Officer (DPO) na Neomed