LGPD: O caminho para adequação na área da saúde

O advento da Lei Geral de Proteção de Dados (LGPD) trouxe muitas dúvidas sobre a real necessidade de adequação às regras, mas principalmente, como realizar essa adequação. Isso não foi diferente na área da saúde e para muitos nasceu uma grande dúvida: o que a pessoa física, desde que trate dados com fins econômicos, e a pessoa jurídica precisam fazer para que possam afirmar que estão em conformidade com a norma?

Independentemente do tamanho da estrutura, seja um hospital, clínica, laboratório, farmácia, ou mesmo pequeno consultório, todos deverão possuir uma estrutura mínima de proteção e privacidade de dados pessoais. Principalmente se considerarmos que a área da saúde trabalha basicamente com dados sensíveis e frequentemente com dados de crianças, adolescentes e idosos.

Olhando de fora pode parecer um caminho árduo a ser percorrido para quem quer se adequar às novas regras de proteção de dados, porém, com a estruturação de uma governança em proteção de dados e a nomeação de um encarregado pelo tratamento de dados pessoais ou DPO (Data Protection Officer), esse trabalho pode se tornar menos complexo.

As etapas seguintes do trabalho de adequação são:

Realização de um mapeamento dos dados pessoais tratados e seu ciclo de vida

Também conhecida como data maping essa é uma etapa extremamente importante para qualquer um que realize operações (tratamentos) com dados pessoais. Permitirá um autoconhecimento das próprias atividades e processos que realizam tratamento de dados pessoais.

O data maping traçará o ciclo de vida dos dados dentro de cada processo, como eles são coletados, tratados e, posteriormente, descartados. Trará informações fundamentais ainda sobre as bases legais utilizadas e eventuais compartilhamentos.

Esse mapeamento permitirá que se realize uma análise de gaps (brechas) nos processos e juntos darão um norte por onde começar as adequações. Onde se encontram os riscos mais críticos a serem trabalhados e mitigados.

Realizar as devidas adequações

Com o mapeamento de dados e a análise de gaps, é hora de realizar as devidas adequações, tais como, adequar as bases legais utilizadas para cada tratamento de dado, revisar contratos, elaborar políticas de proteção e privacidade de dados; elaborar política de retenção e descarte de dados, criar avisos de privacidade; estabelecer meios de controle e resposta à incidentes; criar mecanismos para que os titulares possam exercer os seus direitos; dentre outros que se fizerem necessários.

Nessa etapa ainda cumpre elaborar um relatório de impacto à proteção de dados pessoais, que nos termos da Lei é justamente a documentação que conterá a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

Treinamento

Com as adequações realizadas, é hora de realizar treinamentos periódicos dos colaboradores que tratam dados pessoais, a fim de disseminar a cultura de proteção e privacidade dos dados pessoais.

Os treinamentos servirão para ensinar às pessoas porque devem se preocupar com a proteção e a privacidade dados, além das implicações concretas que as violações às regras podem trazer aos titulares dos dados, aos próprios colaboradores e aos hospitais, clínicas, consultórios, dentre outros.

Os treinamentos também irão capacitar os colaboradores para trabalhar e tratar dados pessoais em conformidade com a LGPD, minimizando riscos e respeitando as medidas de segurança a serem implementadas pela organização.

Monitoramento

Por fim, faz-se necessário um monitoramento contínuo do programa de proteção de dados, o que permitirá avaliar a eficiência das adequações realizadas, identificar novos riscos, identificar processos que ainda estejam em desconformidades com as regras estabelecidas pela LGPD, e, ainda, permitirá que medidas sejam tomadas corrigir e implementar melhorias.

Ainda tem dúvidas? Entre em contato conosco pelo email contato@emrichleao.adv.br