Proteção de dados de saúde

O que é

Proteger os dados de saúde não é proibir seu uso: é fixar condições. Cada jurisdição responde às mesmas perguntas: o que conta como dado de saúde, quem está obrigado, com que base se pode tratar, que direitos a pessoa tem, que segurança se exige e quem fiscaliza.

Dois modelos

• Lei geral com categoria especial. Uma lei cobre todos os setores e dá aos dados de saúde um regime reforçado: o RGPD na União Europeia, a LGPD no Brasil, a Lei 25.326 na Argentina e a APPI no Japão.
• Lei setorial. A HIPAA, nos Estados Unidos, obriga apenas entidades cobertas (planos de saúde, câmaras de compensação e certos prestadores) e seus associados comerciais. No Canadá, a PIPEDA convive com leis provinciais de informação de saúde.

Comparação

Elementos que se repetem

• Bases legais diferentes do consentimento para a assistência e a saúde pública.
• Direito de acesso do paciente: por exemplo, 30 dias prorrogáveis na HIPAA.
• Segurança e notificação de violações: 72 horas para a autoridade no RGPD, como regra geral.
• Autoridade de fiscalização: autoridades nacionais na UE, a ANPD no Brasil, o Comissário de Privacidade no Canadá e o HHS para a HIPAA.

Equívocos comuns

• Confundir proteção com proibição. O RGPD (art. 9.º, n.º 2, alínea h), a HIPAA (§ 164.506) e a LGPD (art. 11, II, f) preveem o uso na assistência.
• Supor que uma lei cobre tudo. A HIPAA não alcança quem não é entidade coberta nem associado comercial.
• Achar que anonimizar sempre tira os dados do âmbito da lei. A LGPD considera pessoais os dados anonimizados se a anonimização puder ser revertida com esforços razoáveis (art. 12).
• Reduzi-la à segurança da informação. A segurança é um elemento; também contam a base legal, a finalidade e os direitos.