5 pontos da LGPD para clínicas médicas

Este breve artigo é dirigido aos médicos e médicas. Ainda mais em tempos de pós-pandemia e de aumento expressivo da demanda por profissionais de saúde, exames e atendimentos remotos (telemedicina, prontuários digitais, dados de laboratório e exames em nuvem), nada melhor do que algumas reflexões sobre os riscos a serem minimizados no desempenho da atividade clínica após o advento da lei Geral da Proteção de Dados - LGPD.

A nova lei considera como dado pessoal sensível as informações relativas à saúde, de modo que todos os profissionais da área médica estão obrigados a adotar as diretrizes da nova lei sob pena de pesadas multas - além do risco comercial da exposição indevida de seus pacientes.

A ideia não é tratar o assunto sob o aspecto técnico, mas sim sob o foco da gestão do dia a dia do gestor da clínica e dos reflexos dessas condutas na operação administrativa e comercial do consultório.

O assunto é bastante vasto, complexo e precisa ser digerido aos poucos.

Dessa forma, a ideia é falarmos sobre questões pontuais. Caso você precise ou se interesse por análises mais profundas sobre a nova lei 13.709/18, terei prazer em responder questionamentos nos comentários.

Falaremos de 5 pontos principais:

1. riscos de vazamento de dados em clínicas
2. telemedicina segura e em conformidade com a legislação
3. sistemas de gestão da clínica: online ou local
4. uso de dados dos pacientes e o ato de consentimento
5. como ficam os cadastros rotineiros dos pacientes com a nova lei

Ao final, incluiremos algumas sugestões para que você possa reduzir substancialmente os riscos envolvidos, além de poder cumprir de maneira mais assertiva a nova legislação brasileira. Vamos começar?

a) Riscos de vazamento de dados em clínicas

Tenho certeza de que não é novidade alguma que o sigilo médico em relação ao estado clínico do paciente é lei. Porém, em uma era de conectividade praticamente inevitável de usuários e trabalhadores em clínicas, os riscos de vazamento das informações sigilosas constantes nos prontuários e demais registros do paciente, tornam-se cada vez mais cobiçados.

Estamos falando aqui dos chamados "ciberataques" que afetam diretamente a segurança da informação do seu consultório e, consequentemente, dos seus pacientes.

Casos não raros são os de hackers que maliciosamente invadem os computadores e servidores da sua clínica, obtêm acesso a falhas de segurança, bloqueiam todas as informações de pacientes e de prontuários e, em troca de liberação, pedem quantias consideráveis de dinheiro.

Não fosse essa a pior das situações, pagar esse tipo de bandido pode ser pior do que não honrar o resgate dos dados, de maneira que um vazamento dessa natureza em uma clínica com pacientes, digamos "famosos" ou com quadros clínicos delicados, pode tornar a situação comercial do seu negócio e com seus pacientes um verdadeiro pesadelo.

Já houve um caso judicializado no Brasil de vazamento de dados sigilosos de pacientes portadores de HIV de uma clínica que atendia uma determinada empresa nos exames de admissão e demissionais - com indenizações (e casos graves de suicidio nos nomes vazados!) que levaram os profissionais médicos a abandonarem sua carreira profissional.

b) Telemedicina segura e em conformidade com a legislação

Durante um atendimento telemático médico, você precisa armazenar dados e registros de toda a consulta (áudio, vídeo, chat ou ambos), justamente para se resguardar acerca das orientações e do quadro clínico indicado pelo paciente.

A escolha das plataformas que serão utilizadas tanto por seus médicos quanto por seus pacientes de ponta a ponta, serão determinantes para aumentar a segurança dessa armazenagem.

Não podemos esquecer que, do outro lado da tela, o paciente em geral é um ser humano que muitas vezes não está familiarizado com tecnologia e procedimentos dessa natureza, de modo que, quanto mais intuitivo e seguro for sua interface, maiores as chances de que você dificulte qualquer invasão.

Imagine, por exemplo, se alguém tem acesso a uma teleconsulta gravada com um paciente em que é revelada uma informação pessoal de natureza clínica relevante, sensível e sigilosa?

Armazenagem das imagens de exames, receitas online, prontuários digitais e rotinas medicamentosas precisam estar blindadas de possíveis invasões.

O alerta fica justamente para evitar que sua clínica utilize qualquer plataforma gratuita ou sem registro e armazenamento adequado e que não esteja sincronizada com seu sistema de gestão e registro médico. Isso aumenta, e muito, os riscos de vazamento e invasão a dados sensíveis.

c) Sistemas de gestão da clínica: online ou local

Seja qual for o sistema que você utilize ou venha a utilizar, é bastante raro termos uma operação dessas que seja 100% digital e sem a existência de papel. Justamente por esta razão, precisam existir critérios bastante distintos na tratativa de dados físicos (papelada e registros antigos) e dados digitais.

Para a lei, não existe distinção entre dado físico (papel, fichas, arquivo morto) e digital: tudo são dados e seu conteúdo é relevante e sigiloso. Portanto, seja qual for seu método de armazenagem atual, fique atento.

Se você utiliza um sistema de gestão online (desses que não precisam instalar um sistema no seu computador e que são acessados via web - internet), você deve se certificar que no contrato de serviços deles constem cláusulas de conformidade com a LGPD junto ao servidor de dados deles (seja local ou nuvem). A maioria dos sistemas não costumam enviar o contrato de serviços detalhados, portanto, exija ler o contrato ANTES de adquirir o sistema.

Verifique também qual é o nível de responsabilidade por invasão aos sistemas deles e a base de dados que irão gerenciar através do software deles para sua clínica. Isso é altamente impactante em uma eventual situação de vazamento, especialmente para que você possa comprovar que tomou todas as medidas ao seu alcance para minimizar os riscos. Ao final explicaremos melhor sobre o conceito de "tomar todas as medidas necessárias a redução do risco".

Outro detalhe: se o sistema em nuvem via internet armazenar ou utilizar servidores fora do Brasil, existem exigências adicionais na documentação deles em razão do tratamento de dados no exterior constantes da lei.

Caso seu sistema seja local (aquele que alguém precisa instalar o software no seu computador local) e que às vezes pode até não depender de internet, igualmente esteja atento a documentação do sistema quanto às políticas de backup, restauração, preservação dos dados e responsabilidade de terceiros (sim, todo e qualquer funcionário da empresa de software que tiver acesso ao seu computador para fazer atualizações, reparos, ajustes etc., deve estar sob a responsabilidade da empresa de software e de eventual mal uso do dados).

Quantas histórias já não vimos sobre celebridades ou autoridades que levaram seus celulares ou computadores para a manutenção e, algum tempo depois, vazam na internet fotos privadas, diálogos, arquivos pessoais. Em geral isso acontece porque os funcionários de um local de manutenção, ao terem acesso, utilizam mal essa liberdade técnica e infringem gravemente a lei de dados.

Por fim, caso você ainda utilize o sistema físico (papel, fichinhas, registros) tome cuidado com o acesso de pessoas com celulares. Os smartphones são uma revolução, mas se tornaram uma ferramenta poderosa (até demais) de espionagem e desvio de dados. Aplicativos de mensagens eletrônicas (whatsapp, telegram etc) podem disseminar em segundos uma foto ou uma informação sigilosa de um paciente de maneira quase incontrolável.

E aqui entra outro alerta: os próprios colaboradores da sua clínica. Falaremos mais ao final sobre as medidas nesse sentido. Dados da Verizon indicam que, mais de 73% dos vazamentos indevidos de dados ocorrem por iniciativa externa; contudo ao menos 27% destes vazamentos são internos, ou seja, de quem já tem acesso aos dados.

d) Uso de dados dos pacientes e o ato de consentimento

A nova lei exige que, quando sua clínica for armazenar, utilizar, manipular e proteger os dados de seus pacientes (por exemplo, o Estatuto da Criança e do Adolescente prevê que os dados médicos devem ser armazenados por 18 anos), os titulares dos dados ou seu representantes, precisam assinar o consentimento para esse processo.

A figura do consentimento é bastante abrangente, porém, igualmente subjetiva. Pensando na sua rotina de atividades, o melhor a ser feito é, junto com a documentação inicial que seu paciente assina quando chega na sua clínica pela primeira vez (ficha de anamnese por exemplo), é importante que junto de tudo já esteja anexado o termo de consentimento e tratamento de dados.

Caso seu sistema seja todo digital, esse termo pode ser enviado por email antes da teleconsulta (apenas a primeira vez) ou mesmo para arquivo de que o termo assinado foi enviado.

Importante: a regra pela lei é que consentimento não se presume, ou seja: se não estiver expressamente autorizado, não pode ser utilizado.

Lembrando que essa interface praticamente em 100% dos casos será feita por suas secretárias. Assim, treiná-las a saber explicar isso aos pacientes é fundamental para evitar qualquer mal entendido dessa natureza.

e) Como ficam os cadastros rotineiros dos pacientes com a nova lei

O prontuário médico, a agenda médica e o cadastro de pacientes, são os pontos-chave sensíveis nesse processo. Afinal, é essencial para o exercício da sua profissão estas informações sobre todos os seus pacientes. Porém, é exatamente todo esse acesso que o coloca em ainda mais risco pois, além dos dados considerados sensíveis pela legislação (nome, sexo, idade, etc.) sua clinica possui dados laboratoriais, de saude, de evidências em consultas, que podem ser considerados ultra-sensíveis.

Voltando ao seu formato atual de arquivos: se forem físicos, encarregue-se de urgentemente digitalizá-los e armazená-los em sistemas seguros e robustos. Qualquer invasão não autorizada nesse sentido é um problema de alto potencial ofensivo e prejuízos financeiros incalculáveis.

Com essa medida simples, você pode criar acessos escalonados por níveis (médicos, secretárias, assistentes, o próprio paciente) de modo que além da rastreabilidade de quem acessou, você possa definir quem não pode acessar - e que no final das contas é o mais importante.

Lembrando que, como falamos no tópico acima, é necessário o termo de consentimento do paciente para essa armazenagem e tratamento de todos os dados dessa natureza.

Conclusões e algumas sugestões

Obviamente que neste pequeno artigo é impossível definirmos todos os potenciais riscos e soluções para as questões que envolvem as clínicas médicas e a lei Geral de Proteção de Dados.

Contudo, pontuados estes 5 cenários, algumas sugestões podem ajudar a reduzir consideravelmente os riscos envolvidos e as pesadas multas já em vigor:

• contrate um profissional jurídico que esteja familiarizado com a LGPD (acredite, ele pode economizar-lhe multas, além de poder revisar todos os documentos internos, preparar os termos de consentimento, analisar os contratos de sistemas informatizados, os contratos com seus colaboradores e prestadores de serviços diversos e acionar a autoridade nacional de proteção de dados). O descumprimento da legislação pode levar até ao fechamento da clínica, portanto, ter um profissional ao seu lado nesse sentido certamente fará toda a diferença em uma situação de crise;
• contrate um treinamento para todos os seus colaboradores, literalmente todos, inclusive você. Temos o péssimo hábito de achar que estamos o tempo todo conscientes de nossos atos, ainda mais os rotineiros e de profissão. Poder olhar sua clínica de fora para dentro pode lhe trazer uma clareza impressionante quanto aos riscos e eventuais falhas de segurança e comunicação a serem supridas;
• monte uma rota dos dados - é o equivalente a um GPS de todo o caminho dos dados do paciente dentro da sua estrutura e por cada pessoa que ele passa, com suas potenciais implicações;
• adquira um certificado digital para sua clínica. A assinatura digital, além de garantir autenticidade ao processo, será um poderoso fator positivo para provar que um determinado dado ou informação procedem ou não do seu banco de dados;
• leia a lei. Parece bobeira, mas ler a lei lhe trará clareza de alguns itens que mencionamos aqui, justamente para que você se familiarize com os riscos e os potenciais de vazamentos;
• busque no mercado empresas de virtualização de acervo que utilizem certificação digital, rastreabilidade e armazenagem ultra-segura em servidores de nuvem. Isso garante o conceito de "todas as medidas para minimizar o risco de vazamento ou invasão" que poderão ser considerados pela autoridade nacional de dados (ANPD) para quantificar uma eventual advertência ou uma pesada multa;
• contrate sistemas de gestão de clínicas, de prontuários, de agendamento de plantões, de atendimento em telemedicina e de documentação médica que apresentem cláusulas de conformidade com a LGPD. Essa é a diferença entre sua clínica ter a quem responsabilizar ou ter de responder sozinha pelos prejuízos de uma eventual crise de vazamento de dados;
• todos os seus colaboradores precisam assinar um aditivo ao seu contrato de trabalho se responsabilizando pelo sigilo, restrição de acesso e proibição de divulgação de qualquer dados existente ou constante nos bancos de dados da sua clínica. Procure seu contador e peça a ele que providencie isso com urgência e, se o caso, com o suporte do profissional jurídico;
• crie uma pequena cartilha de políticas de uso, manipulação, armazenagem e destruição de dados para todo o seu pessoal interno e prestadores de serviços. Quem não é treinado, não pode ser cobrado e acaba alegando ignorância. Além disso, uma inocente informação ou foto enviada do whatsapp a partir da sua clínica para o paciente, pode gerar problemas bastante delicados (só pense na situação em que um número de telefone tenha sido clonado, por exemplo).

Espero que os alertas e dicas sejam proveitosos. E não se esqueça: mais do que conseguir proteger efetivamente os dados, você precisa PROVAR que tomou todas as medidas à sua disposição para tentar impedir o mal uso dos dados. Nos termos da própria lei: "Adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano".