Cartilha da Agência Nacional de Saúde Suplementar sobre a Lei Geral de Proteção de Dados (LGPD)

20.07.2021 – A Agência Nacional de Saúde Suplementar (ANS) publicou em 2020 uma cartilha sobre a Lei Geral de Proteção de Dados (LGPD), em que alguns conceitos e definições auxiliam a compreensão da LGPD.

Passemos inicialmente a uma lista de definições de forma bem mais abrangente e exemplificativa do que as definições descritas no Art. 5 da LGPD, conforme disposto abaixo:

1. Dados Pessoais – se uma informação permite identificar, direta ou indiretamente, um indivíduo que esteja vivo, então ela é considerada um dado pessoal: nome, RG, CPF, gênero, data e local de nascimento, telefone, endereço residencial, localização via GPS, retrato em fotografia, prontuário de saúde, cartão bancário, renda, histórico de pagamentos, hábitos de consumo, preferências de lazer; endereço de IP (Protocolo da Internet) e cookies, entre outros.

2. Dados Pessoais Sensíveis – são informações que revelam origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa. Os dados sensíveis também podem ser tratados se tiverem o consentimento explícito da pessoa e uma finalidade definida; e, sem consentimento do titular, quando for indispensável em situações ligadas: a uma obrigação legal; a políticas públicas; a estudos via órgão de pesquisa; a um direito, em contrato ou processo; à preservação da vida e da integridade física de uma pessoa; à tutela de procedimentos feitos por profissionais das áreas da saúde ou sanitária; à prevenção de fraudes contra o titular.

3. Dados Pessoais de Acesso Público – essa categoria de dados deve ser tratada considerando a finalidade, a boa-fé e o interesse público que justificaram a sua disponibilização. A LGPD define, por exemplo, que uma organização pode, sem precisar pedir novo consentimento, tratar dados tornados anterior e manifestamente públicos pelo titular. Porém, se uma organização quiser compartilhar esses dados com outras, aí ela deverá obter outro consentimento para esse fim – resguardadas as hipóteses de dispensa previstas na lei. A LGPD também se relaciona com a Lei de Acesso à Informação (LAI) e com princípios constitucionais, como o de que “todos têm direito a receber dos órgãos públicos informações de seu interesse particular, ou de interesse coletivo ou geral, ressalvadas aquelas cujo sigilo seja imprescindível à segurança da sociedade e do Estado”.

4. Dados Anonimizados – são aqueles que, originariamente, eram relativos a uma pessoa, mas que passaram por etapas que garantiram a desvinculação deles a essa pessoa. Se um dado for anonimizado, então a LGPD não se aplicará a ele. Vale frisar que um dado só é considerado efetivamente anonimizado se não permitir que, via meios técnicos e outros, se reconstrua o caminho para “descobrir” quem era a pessoa titular do dado – se de alguma forma a identificação ocorrer, então ele não é, de fato, um dado anonimizado e sim, apenas, um dado pseudonimizado e estará, então, sujeito à LGPD.

5. Dados Pseudonimizados – são aqueles dados que também passaram por etapas de tratamento, no qual se permitiu trocar o conjunto de dados originais (por exemplo, o e-mail do titular dos dados ou o próprio nome) por um pseudônimo. Ou seja, neste caso, é possível identificar quem era a pessoa titular do dado, sujeitando-se à LGPD.

Outro aspecto muito interessante da cartilha é a descrição de 20 (vinte) ações relacionadas ao tratamento de dados pessoais, já que o termo “tratamento” seria o gênero, ao passo que todas as ações seriam espécies de tratamento:

Acesso	Ato de ingressar, transitar, conhecer ou consultar a informação, bem como possibilidade de usar os ativos de informação de um órgão ou entidade, observada eventual restrição que se aplique;
Armazenamento	Ação ou resultado de manter ou conservar em repositório um dado;
Arquivamento	Ato ou efeito de manter registrado um dado embora já tenha perdido a validade ou esgotado a sua vigência;
Avaliação	Analisar o dado com o objetivo de produzir informação;
Classificação	Maneira de ordenar os dados conforme algum critério estabelecido;
Coleta	Recolhimento de dados com finalidade específica;
Comunicação	Transmitir informações pertinentes a políticas de ação sobre os dados;
Controle	Ação ou poder de regular, determinar ou monitorar as ações sobre o dado;
Difusão	Ato ou efeito de excluir, propagação, multiplicação dos dados;
Distribuição	Ato ou efeito de dispor de dados de acordo com algum critério estabelecido;
Eliminação	Ato ou efeito de excluir ou destruir dado do repositório;
Extração	Ato de copiar ou retirar dados do repositório em que se encontrava;
Modificação	Ato ou efeito de alteração do dado;
Processamento	Ato ou efeito de processar dados visando organizá-los para obtenção de um resultado determinado;
Produção	Criação de bens e de serviços a partir do tratamento de dados;
Recepção	Ato de receber os dados ao final da transmissão;
Reprodução	Cópia de dado preexistente obtido por meio de qualquer processo;
Transferência	Mudança de dados de uma área de armazenamento para outra, ou para terceiro;
Transmissão	Movimentação de dados entre dois pontos por meio de dispositivos elétricos, eletrônicos, telegráficos, telefônicos, radioelétricos, pneumáticos etc; e
Utilização	Ato ou efeito do aproveitamento dos dados.

A cartilha prossegue trazendo os fundamentos que norteiam a proteção de dados:

1. O respeito à privacidade, ao assegurar os direitos fundamentais de inviolabilidade da intimidade, da honra, da imagem e da vida privada;
2. A autodeterminação informativa, ao expressar o direito do cidadão ao controle, e assim, à proteção de seus dados pessoais e íntimos;
3. A liberdade de expressão, de informação, de comunicação e de opinião, que são direitos previstos na Constituição brasileira;
4. O desenvolvimento econômico e tecnológico e a inovação, a partir da criação de um cenário de segurança jurídica em todo o país;
5. A livre iniciativa, a livre concorrência e a defesa do consumidor, por meio de regras claras e válidas para todo o setor privado; e
6. Os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas.

Finalmente, o último ponto a destacar, é a vedação que a LGPD impõe aos planos privados de assistência à saúde, transcritos no parágrafo quinto do Art. 11: