BLOG BMJ

Por Gabriela Bolcero, Isabela de Castro Andrade da Silva e Raíssa Ornelas de Carvalho*

Cada vez mais o compartilhamento de informações se torna uma realidade. Em âmbito nacional, o Open Banking foi o programa pioneiro no compartilhamento de dados para melhora no oferecimento de serviços de forma integrada, e o Open Health está sendo elaborado seguindo a mesma linha. No cenário internacional, o tema está entrando em pauta de forma mais intensa, tendo em vista que, no dia 29 de abril, a Casa Branca divulgou a Declaração para o Futuro da Internet, juntamente com outros 60 países. A declaração defende uma rede mundial interoperável, confiável e segura.

O tema da segurança dos dados compartilhados perpassa as discussões nacionais e internacionais. O objetivo desse artigo é analisar o Open Health a partir da perspectiva de segurança dos dados e da segurança para os seus respectivos titulares.

Inspirado na experiência do setor financeiro com a regulamentação do Open Banking, o Open Health se coloca como um novo ambiente de negócios no setor privado de saúde brasileiro. A iniciativa visa criar concorrência no mercado de planos de saúde no Brasil e trazer transparência para o setor.

A proposta do Open Health, defendida inclusive pelo ministro da Saúde, Marcelo Queiroga, é constituída de dois pilares, um assistencial e outro financeiro. O primeiro compõe a Rede Nacional de Dados em Saúde (RNDS), cujos dados ficariam sob a tutela do Estado, e o segundo traria uma espécie de cadastro positivo da saúde, em que as operadoras dos planos poderão ver os perfis dos usuários, sua assiduidade financeira e as características dos contratos.

Apesar do modelo ser defendido pelo Ministério da Saúde e da continuidade das discussões no âmbito da pasta e da Agência Nacional de Saúde Suplementar (ANS), o tema ainda levanta temores entre especialistas. De um lado existe a concordância sobre a importância do pilar assistencial para o sistema público de saúde, por outro, o compartilhamento de dados em seu aspecto financeiro levanta preocupações quanto ao aumento de valores e qualidade de serviços que passarão a ser ofertados aos usuários dos planos de saúde privados no país.

Os dados a serem compartilhados são, por exemplo, o registro de doenças, medicações de uso contínuo e procedimentos cirúrgicos realizados pelos pacientes. Essas informações de saúde são consideradas dados pessoais sensíveis, uma vez que podem trazer algum tipo de discriminação, riscos e vulnerabilidades com maior potencial de danos aos direitos e liberdades fundamentais dos titulares de dados, conforme previsto da Lei Geral de Proteção de Dados (LGPD).

Base legal para compartilhamento de dados de saúde

Apesar de não existir base legal para o tratamento de dado sensível para procedimentos preliminares relacionados a contrato, a lei autoriza, para casos específicos, a comunicação ou uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde. Esse compartilhamento de dados poderá ocorrer em prestações de serviços de saúde, assistência farmacêutica ou de saúde, em dois casos: (i) visando a portabilidade de dados solicitada pelo titular ou; (ii) em transações financeiras e administrativas resultantes do uso e da prestação dos serviços.

Nesse sentido, o Open Health estará dentro dos limites estabelecidos pela legislação, uma vez que a plataforma tem como objetivo realizar a portabilidade entre operadoras para que o paciente possa escolher o melhor plano disponível de acordo com a sua realidade, após uma análise prévia das informações prestadas no sistema e por meio de consentimento.

Antes da alteração realizada pela Lei 13.853/2019, que cria a Autoridade Nacional de Proteção de Dados (ANPD), constava na legislação a previsão de que dados referentes à saúde poderiam ser compartilhados entre controladores, com o objetivo de adequar a prestação de serviços de saúde complementar, o que abarcava planos e seguros privados de assistência à saúde. Apesar de não mais existir essa previsão expressa, entende-se que se manteve tal possibilidade.

Restrições às operadoras

A LGPD, no artigo 11, §5º, veda às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários.

Essa previsão é uma transcrição da Súmula Normativa 27, de 10 de junho de 2015, da Agência Nacional de Saúde Suplementar (ANS), onde permanece o entendimento de que é possível apenas modular o valor do plano com base em condições reguladas, por exemplo, em caso de agravo por doença preexistente, persistindo a restrição de uso da mera análise de risco para condicionar a contratação ou excluir beneficiários. O legislador buscou aqui evitar o cruzamento de informações para práticas, como a negativa de acesso ao produto ou elevação do valor dos serviços de saúde.

Em efeitos práticos, não há como coibir essa conduta, uma vez que para aderir a um contrato por adesão, o consumidor precisa preencher os requisitos de admissibilidade para tal, não existindo garantias de que será admitido.

Além do mais, o paciente poderá dar o consentimento para o compartilhamento das informações, uma vez que a utilização do aplicativo não é um requisito para a efetivação de contratação com operadoras de saúde. Nesse sentido, o paciente deverá autorizar o compartilhamento e estar ciente das implicações desse ato, cabendo à operadora se certificar de que o consentimento é livre e esclarecido.

Caso seja seguido o modelo do Open Banking, em que o Banco Central estipulou três etapas para a autorização do compartilhamento de dados - sendo estas etapas o consentimento, a autenticação e a confirmação - o sistema não deverá enfrentar problemas nesse quesito, uma vez que o consentimento será o ponto de partida para o tratamento dos dados. Deste modo, deverá ser solicitada a autorização dos dados em um campo específico, que deverá estar destacado expressamente, o texto tratará apenas sobre o tratamento dos dados e não permitirá a conclusão do procedimento sem o consentimento em três fases.

Logo, existindo o consentimento do titular ou do responsável legal, de forma específica e destacada para as finalidades do Open Health, não há qualquer vedação expressa na LGPD para a utilização do sistema, sendo possível o compartilhamento de dados sensíveis referente à saúde, desde que respeitados os direitos fundamentais do indivíduo e que não fique caracterizado o partilhamento de informações para seleção de riscos.

Diante do exposto, é possível perceber que a legislação existente é capaz de gerar um ambiente relativamente seguro para o titular dos dados, porém, a elaboração desta política pública não está focada na segurança de dados, mas sim no aumento da competitividade mercadológica. Até o momento, não está claro de quem será a atribuição de gerir o relacionamento entre as empresas atuantes no compartilhamento de dados, os pacientes e o setor de saúde.

Referências:

Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais)

Lei nº 13.853, de 8 de julho de 2019

Súmula Normativa 27, de 10 de junho de 2015, da Agência Nacional de Saúde Suplementar (ANS)

LGPD: Lei Geral de Proteção de Dados Pessoais Comentada. Coordenadores Viviane Nóbrega Maldonado e Renato Opice Blum. 3ª Edição 2021. São Paulo: Thomson Reuters Brasil, 2021.

*Gabriela Bolcero é Consultora de Saúde e Bens de Consumo na BMJ.

*Isabela de Castro Andrade da Silva é estagiária de Defesa e Tecnologia na BMJ.

*Raíssa Ornelas de Carvalho é Consultora de Jurídico e Tributário na BMJ.