O Protocolo de Compartilhamento aborda o cenário em que os resultados dos exames laboratoriais são compartilhados com outros prestadores de serviços de saúde. No entanto, a gestão desses dados vai além das preocupações comuns, pois os resultados dos exames contribuem para a formação de grandes bancos de dados de saúde. Isso demanda cuidados adicionais, especialmente considerando a sensibilidade e o potencial impacto dessas informações na saúde dos pacientes. Os exames laboratoriais passam por diversas fases, desde a coleta das amostras até o armazenamento dos resultados. Cada etapa do processo envolve o tratamento de dados sensíveis, desde a identificação do paciente até a divulgação do resultado. A conformidade com a LGPD e outras regulamentações relacionadas à proteção de dados é crucial em todas essas fases. Em resumo, os laboratórios de análises clínicas devem implementar medidas específicas para proteger a privacidade e a segurança dos dados sensíveis de saúde, desde a coleta até o armazenamento e compartilhamento. Essas medidas devem levar em consideração as diretrizes da LGPD, bem como normas setoriais e regulamentações específicas que regem o setor de saúde e análises clínicas. b. Controlador/operador Nas hipóteses de tratamento de dados relativos aos exames laboratoriais apontadas acima, os laboratórios que realizaram a coleta primária do dado com o objetivo de utilizá-los para o desenvolvimento de suas atividades serão considerados os controladores dos dados. Contudo, caso o estabelecimento de saúde seja um prestador de serviço terceirizado (como um laboratório que presta serviços para um hospital), ele figurará como operador dos dados. Para identificar o papel do prestador é necessário identificar: a quem compete as decisões referentes ao tratamento de dados pessoais? Ressalte-se que a classificação acima apontada deve servir apenas como um indicativo, devendo o prestador de serviços privados de saúde observar a finalidade específica do tratamento de dados e o papel de cada agente envolvido, a depender do contexto do caso sob análise. c. Base legal Em relação às bases legais dos principais tipos de tratamentos de dados e as principais finalidades dos exames laboratoriais, também é necessário utilizar as bases legais previstas no art. 11. No caso da “coleta das amostras”; “encaminhamento da amostra para o setor responsável pela análise clínica”; “emissão de laudo diagnóstico”; “divulgação do resultado para o paciente”;” armazenamento dos resultados”, quando realizados por profissional de saúde obrigado ao sigilo médico, a base legal aplicável é a tutela da saúde. d. Período de armazenamento/ eliminação O período de armazenamento deve seguir o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6º eles devem ser eliminados. No caso dos dados de saúde é necessário que se observe o previsto na Lei no 13.787/2018 quanto a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Assim, quando os exames forem anexados ao prontuário dos pacientes eles devem ser preservados por, no mínimo, 20 anos. e. Controlador/operador O Laboratório Paulo Ragone possui uma relação entre Controlador e Operador similar aos protocolos 1.2. e 1.3., sendo necessária a avaliação de quem é o responsável pelas decisões referentes ao tratamento de dados pessoais nos termos descritos nos protocolos supracitados. f. Base legal Além das bases legais já informadas, requer-se atenção especial à utilização dos dados coletados. O período de armazenamento deve seguir o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6o eles devem ser eliminados. No caso dos dados de saúde é necessário que se observe o previsto na Lei no 13.787/2018 e na RESOLUÇÃO Nº 226/2020 quanto a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Assim, os dados constantes no prontuário dos pacientes devem ser preservados por, no mínimo, 20 anos. g. Sigilo/segurança da informação Assim como no protocolo referente ao tratamento dos dados do prontuário laboratorial, as medidas de segurança relativas aos dados gerados pela Laboratório Paulo Ragone, devem ser reforçadas, tendo em vista que dados sensíveis do paciente são armazenados pelos prestadores de serviços. Nesse sentido, recomenda-se que sejam implementadas medidas de controle de acesso aos documentos, para garantir que apenas pessoas autorizadas possam acessar as informações. Além disso, sugere-se que sejam adotados sistemas de rastreamento das atividades realizadas com os dados (modificações, cópia, compartilhamento, etc…) e a implementação de um sistema de validação de transferência de arquivos. Ademais, considerando a necessidade de conexão com uma rede sem fio para realização das consultas, a utilização do recurso da Laboratório Paulo Ragone deve ser acompanhada de cuidados quanto aos riscos cibernéticos externos e internos. Para tanto, recomenda-se a implementação de soluções Secure SD-WAN e utilização de firewall para proteção da conexão. Também é necessário cuidado em relação à possibilidade de roubo de identidade odontológica, que pode ocorrer por meio da usurpação ou identificação das credenciais de um usuário em um sistema, devendo o sistema de autenticação ser reforçado (como a utilização do método de dois fatores de identificação). No Laboratório Paulo Ragone, é preciso especial cuidado na transmissão de dados. Lidar com dados de saúde que requerem proteção especial requer uma infraestrutura segura que deve impedir o acesso de terceiros. Isso não inclui apenas conexões seguras de internet. Como parte da conexão com o paciente/outros dentistas, deve-se assegurar que a conexão telefônica não possa ser grampeada por pessoas não autorizadas. Além disso, ao transmitir resultados de exames ou quadros clínicos ao interessado, deve-se garantir que a pessoa que recebe as informações é realmente o paciente ou o seu representante e, portanto, tem o direito de receber tais informações. 2. Protocolo de Compartilhamento 2.1. Aspectos principais Um dos principais pontos de atenção quanto à adequação dos processos de tratamento de dados dos prestadores privados de saúde se refere ao compartilhamento de dados. Conforme já abordado anteriormente, o setor de saúde é um setor amplamente regulado, de modo que algumas opções de compartilhamento podem se enquadrar na hipótese legal de “cumprimento de obrigação legal ou regulatória pelo controlador” (art. 7o, II; art. 11, II, a). Ainda assim, existem diversas hipóteses de compartilhamento de dados pessoais, especialmente dados de saúde, que não estão previstos na legislação específica do setor, sendo necessárias considerações acerca das melhores práticas para o compartilhamento desses dados sensíveis. Quanto à base legal, o compartilhamento dos dados depende da categoria dos dados que serão objeto do tratamento, mas a principal base aplicável pode ser o consentimento (art. 7o, I e 11, I) – especialmente para os dados que são compartilhados entre os operadores e os prestadores. Conforme mencionado anteriormente, a base legal do consentimento deve considerar a presença de determinados requisitos para que seja considerada válida, como previsto no art. 5o, XII, ele deve ser a: “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”.Assim, em sua aplicação para o tratamento de dados sensíveis e não sensíveis, o consentimento como base legal deve oferecer uma escolha real ao titular, sem ser apresentado como uma opção pré-preenchida (Privacy by Default), devendo ser oferecida uma forma de escolha efetiva separada dos termos e condições. Ademais, o controlador deve ter em vista que o titular pode retirar o consentimento quando bem entender, devendo fornecer os instrumentos para que possa retirar este consentimento de forma clara e facilitada. Tendo em vista que a revogação do consentimento pode prejudicar a atividade daqueles que pretendem utilizar os dados de saúde para o desenvolvimento de novas plataformas, modelos de negócio e modelos de remuneração, é premente que a ANS, o Ministério da Saúde e a ANPD trabalhem em torno da elaboração de padrões e técnicas que devem ser utilizados para o desenvolvimento de novas tecnologias, especialmente as que utilizam dados sensíveis como subsídio, com a finalidade de fornecer maior segurança e legitimidade ao tratamento de dados nestas circunstâncias. É necessário apontar que, nos termos do art. 11, II, da LGPD, o tratamento de dados pessoais sensíveis pode ocorrer sem o consentimento apenas quando for indispensável para: a) cumprimento de obrigação legal ou regulatória pelo controlador; b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos; c) realização de estudos por órgão de pesquisa; d) exercício regular de direitos,; e) proteção da vida ou da incolumidade física do titular ou de terceiro; f) tutela da saúde, g) garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônico. Com exceção do consentimento, em todos os casos de tratamento de dados pessoais sensíveis o tratamento só deve ocorrer se não houver alternativa para que a finalidade almejada seja alcançada, caso contrário, ele não será considerado legítimo. No caso da obrigação legal e regulatória (art. 11, LGPD), o processamento é legítimo quando existe previsão legal à qual o controlador está sujeito, como é o caso das obrigações regulatórias previstas no Protocolo TISS para o compartilhamento de dados com operadoras de planos de saúde. Já a utilização da base legal da tutela de saúde também merece ressalvas, tendo em vista que, não obstante todo o setor de saúde atuar indiretamente para o benefício da saúde do paciente, ela somente será aplicável nos “procedimentos realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária”, não podendo, portanto, ser aplicável indistintamente para qualquer processamento de dados do setor da saúde. Nesse sentido, sugere-se a utilização do conceito previsto na legislação europeia, aplicando-se a tutela da saúde apenas se o tratamento for necessário para efeitos de medicina preventiva ou do trabalho, para a avaliação da capacidade de trabalho do empregado, o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde ou de ação social ou a gestão de sistemas e serviços de saúde ou de ação social, se os dados forem tratados por ou sob a responsabilidade de um profissional sujeito à obrigação de sigilo profissional. Por fim, ressalte-se que o recurso à base legal do exercício regular de direito deve considerar que os dados podem ser utilizados para manifestação no âmbito de processos judiciais, administrativos ou arbitrais, ou outras situações que ele seja indispensável para a garantia de um direito, não sendo hábil, portanto, a fornecer a devida fundamentação para outras atividades de tratamento. 2.2. Compartilhamento entre os profissionais e estabelecimentos de saúdea. Introdução O compartilhamento entre profissionais de saúde e estabelecimento de saúde refere-se a casos como o compartilhamento de dados de saúde realizado por laboratórios diretamente com laboratórios parceiros e convênios, com o objetivo de facilitar o intercâmbio das informações, em prol do paciente; ou o compartilhamento de prontuários e resultados de exames pelo dentista com um hospital/clínica, por exemplo, para realização de procedimentos cirúrgicos. Tais situações diferem do compartilhamento realizado entre dentistas, pois envolve a troca de informações entre o profissional (pessoa física) e o estabelecimento (pessoa jurídica), tendo como finalidade a realização de procedimentos ou análises em benefício do titular. b. Controlador/operador Assim, como em todos os outros protocolos, a definição do controlador depende da identificação de qual agente é o responsável pelas decisões referentes ao tratamento de dados pessoais. Tendo em vista que, em diversas situações, o profissional de saúde e o estabelecimento são responsáveis por decisões relevantes referentes aos dados, como é o caso da realização de procedimento cirúrgico, nestes casos poderá ser possível considerar ambos como controladores conjuntos. Ressalte-se que as definições acima apontadas devem servir apenas como um indicativo e a análise dos papéis desempenhados por cada agente depende das especificidades de cada caso. c. Base legal O compartilhamento de dados entre profissional de saúde e estabelecimentos de saúde deve ser realizado apenas quando estritamente necessário ou quando corresponder a desígnio do titular dos dados pessoais. Para tais casos, a base legal aplicável poderia ser, prioritariamente, o consentimento ou, em casos excepcionais, a tutela da saúde, afora outras situações mais específicas. Ressalte-se que há um qualificador para a finalidade considerada legítima para o compartilhamento de dados pessoais no setor de saúde: pela LGPD, o tratamento de dados de saúde por meio do compartilhamento, com finalidade econômica, deve ser feito apenas quando (art. 11, § 4o): i) for realizado em benefício dos interesses dos titulares; ii) for estritamente necessário, iii) para prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde. d. Período de armazenamento/ eliminação O período de armazenamento dos dados pessoais deve seguir prioritariamente o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6º eles devem ser eliminados, podendo eventualmente serem arquivados para fins de cumprimento de finalidade secundária, quando aplicável e legítima. No caso dos dados de saúde, é necessário que se observe o previsto na Lei no 13.787/2018 quanto a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Assim, os prontuários dos pacientes devem ser preservados por, no mínimo, 20 anos e o processo de eliminação deverá resguardar a intimidade do paciente e o sigilo das informações.2.3. Compartilhamento entre estabelecimentos de saúde a. Introdução A hipótese de compartilhamento de dados entre estabelecimentos de saúde envolve a troca de informações entre duas pessoas jurídicas do setor de saúde. Isso pode ocorrer, por exemplo, quando hospitais, clínicas ou outros estabelecimentos precisam compartilhar informações sobre o estado de saúde de pacientes para facilitar o remanejamento ou a continuidade do atendimento. Esse tipo de compartilhamento de dados é comum no setor de saúde, onde a colaboração entre diferentes entidades é essencial para garantir a prestação adequada de serviços e o cuidado contínuo aos pacientes. No entanto, é fundamental que esse compartilhamento esteja em conformidade com as leis de proteção de dados, como a LGPD (Lei Geral de Proteção de Dados), para garantir a privacidade e a segurança das informações dos pacientes. As entidades envolvidas nesse compartilhamento devem seguir práticas seguras de manuseio de dados, garantindo que apenas as informações necessárias sejam compartilhadas e que o acesso seja restrito a profissionais autorizados. Além disso, é importante que o compartilhamento de dados seja realizado com base em uma justificativa legal, como o cumprimento de obrigações legais ou regulatórias, a tutela da saúde, o exercício regular de direitos, entre outros fundamentos previstos na LGPD. b. Controlador / operador Assim, como em todos os outros protocolos, a definição do controlador depende da identificação de qual agente é o responsável pelas decisões referentes ao tratamento de dados pessoais. Tendo em vista que os estabelecimentos são responsáveis por decisões referentes aos dados, nestes casos, a depender do contexto específico, é possível considerar ambos como controladores conjuntos. Ressalte-se que as definições acima apontadas devem servir apenas como um indicativo e a análise dos papéis desempenhados por cada agente depende das especificidades de cada caso. c. Base legal O compartilhamento de dados entre estabelecimentos de saúde diversos deve ser realizado apenas quando estritamente necessário e no atendimento estrito do princípio da minimização. Nos casos em que o compartilhamento do dado pessoal for indispensável, a base legal aplicável poderá ser, com maior frequência, o consentimento ou, em casos mais específicos, a tutela da saúde, a depender do contexto. Ressalte-se a existência de qualificador para o tratamento de dados de saúde por meio do compartilhamento com finalidade econômica, que deve ser feito apenas quando (art. 11, § 4o): i) for realizado em benefício dos interesses dos titulares; ii) for estritamente necessário, iii) para prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde. d. Período de armazenamento/ eliminação O período de armazenamento dos dados pessoais deve seguir prioritariamente o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6º eles devem ser eliminados, podendo eventualmente serem arquivados para fins de cumprimento de finalidade secundária, quando aplicável e legítima. No caso dos dados de saúde, é necessário que se observe o previsto na Lei no 13.787/2018 quanto a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Assim, os prontuários dos pacientes devem ser preservados por, no mínimo, 20 anos e o processo de eliminação deverá resguardar a intimidade do paciente e o sigilo das informações. O período de armazenamento deve seguir prioritariamente o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6º eles devem ser eliminados, podendo eventualmente serem arquivados para fins de cumprimento de finalidade secundária, quando aplicável e legítima. No caso dos dados de saúde, é necessário que se observe o previsto na Lei nº 13.787/2018 e na Resolução do CFO nº 91/2009, cujo tempo mínimo para a manutenção de prontuários (odontológicos) em suporte de papel ou digitais são de 10 (dez) anos. Atenção: muito embora o CFO estipule o tempo mínimo de 10 anos, recomenda-se guardar o prontuário indefinidamente. Isso pois existem alguns riscos jurídicos em se descartar o prontuário, mesmo após os 10 anos. Eis alguns deles: a) O paciente pode alegar em processos judiciais vício oculto (defeito que só se manifesta após certo tempo, sendo de difícil constatação pelo consumidor), ainda que fora deste prazo acima. Nesse caso, o prazo prescricional só se inicia a partir do momento em que o vício pôde ser detectado pelo consumidor – o que pode levar mais de 10 anos. b) O prazo de prescrição para a reparação de danos não corre contra os absolutamente incapazes (conforme arts. 3º e 198 do Código Civil). c) Em relação a doenças que o cirurgião-dentista poderia ter diagnosticado e sugerido tratamento a tempo, mas não o fez, também há um complicador. Isso porque o dentista pode ser condenado muitos anos depois de findo o tratamento, com base na teoria jurídica francesa, também adotada no Brasil, da “Perda de uma Chance”. Para defender-se, pode ser necessário apresentar documentos antigos. Por todos esses motivos é que não se recomenda o descarte dos prontuários odontológicos Assim, os prontuários dos pacientes devem ser preservados por, no mínimo, 10 anos e o processo de eliminação deverá resguardar a intimidade do paciente e o sigilo das informações. 2.4. Compartilhamento entre estabelecimentos de saúde e ANS (protocolo TISS) a. Introdução Conforme mencionado anteriormente, o protocolo TISS, regulamentado pela Resolução Normativa nº 305/2012 da ANS, abrange informações trocadas por agentes da Saúde Suplementar, quais sejam: i) troca dos dados de atenção à saúde, gerados na modalidade reembolso das despesas assistenciais ao beneficiário de plano privado de assistência à saúde, no envio de informação das operadoras de planos privados de assistência à saúde para a ANS; ii) trocas dos dados de atenção à saúde prestada ao beneficiário de plano privado de assistência à saúde, gerados na rede de prestadores de serviços de saúde da operadora de planos privados de assistência à saúde. A importância do compartilhamento de dados no bojo dos procedimentos de saúde suplementar é tamanha que a agência publicou a NOTA TÉCNICA Nº 3/2019/GEPIN/DIRAD-DIDES/DIDES (Processo nº 33910.029786/2019-51 da ANS), apresentando os principais tipos de dados tratados pela ANS, quais sejam: (i) cadastros de beneficiários do Sistema de Informações de Beneficiários (SIB); (ii) dados assistenciais da Troca de Informações de Saúde Suplementar; (iii) informações e documentos utilizados na instrução e defesa em processos administrativos sancionadores por infrações à normas da saúde suplementar; (iv) informações e documentos utilizados na instrução e defesa em processos de apuração de fraude em declaração de saúde para fins de rescisão unilateral de contrato de plano privado de assistência à saúde. Ademais, de acordo com a Nota Técnica, os operadores de planos privados de assistência à saúde devem enviar à ANS dados relativos aos cadastros de beneficiários do Sistema de Informações de Beneficiários (SIB) e os dados assistenciais da Troca de Informações de Saúde Suplementar. No bojo dos processos administrativos da ANS também são trocados dados relativos à cobrança de ressarcimento ao SUS e para apuração de infrações às normas da saúde suplementar; apuração de fraude em declaração de saúde para fins de rescisão unilateral de contrato de plano privado de assistência à saúde Com efeito o Laboratório Paulo Ragone deve seguir tais premissas em respeito a ANS, sendo que para tanto, vem realizando um trabalho contínuo de adequação dos procedimentos e do seu marco regulatório à LGPD, de modo que algumas das hipóteses previstas neste protocolo podem ser atualizadas ao longo do tempo. Contudo, este protocolo deve servir como apoio para a coordenação dos requisitos legais da LGPD e o marco regulatório deste Laboratório. b. Controlador / Operador Assim, como em todos os outros protocolos, a definição do controlador depende da identificação de qual agente é o responsável pelas decisões referentes ao tratamento de dados pessoais. Caso se verifique, efetivamente, que tanto ANS como as operadoras são responsáveis pelas decisões referentes aos dados, ambos podem ser considerados controladores conjuntos. Nos casos de compartilhamento de dados pessoais com estabelecimentos de saúde por exigência regulatória, deve-se verificar a possibilidade de estes serem enquadrados como operadores. Enquanto a ANS e os operadores podem ser considerados co-controladores, hipótese na qual os estabelecimentos não tenham gerência a ponto de tomarem decisões relevantes sobre o uso dos dados. Tal distribuição de papéis considera o cenário no qual a operadora solicita dados para os prestadores de serviços para prestar informações à ANS nos termos do protocolo TISS. Caso informações que não estejam previstas no protocolo TISS sejam solicitadas pelas operadoras, e não sejam exigidas pela ANS, as operadoras podem ser consideradas como únicas controladoras. Ressalte-se que as definições acima apontadas devem servir apenas como um indicativo e a análise dos papéis desempenhados por cada agente depende das especificidades de cada caso. c. Base legal O Laboratório Paulo Ragone com base nas diretrizes da ANS e na própria LGPD (LEI 13.709/2018) apresenta alguns exemplos do enquadramento dos principais tipos de tratamento nas hipóteses legais na NOTA TÉCNICA Nº 3/2019/GEPIN/DIRAD-DIDES/DIDES – Processo nº 33910.029786/201951 da ANS). d. Período de armazenamento/ eliminaçãoIndependentemente da base legal aplicável, o período de armazenamento dos dados pessoais deve seguir o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6º eles devem ser eliminados, podendo eventualmente serem arquivados para fins de cumprimento de finalidade secundária, quando aplicável e legítima. No caso dos dados de saúde, é necessário que se observe o previsto na Lei nº 13.787/2018 e na Resolução do CFO nº 91/2009, cujo tempo mínimo para a manutenção de prontuários em suporte de papel ou digitais são de 10 (dez) anos. Atenção: muito embora o CFO estipule o tempo mínimo de 10 anos, recomenda-se guardar o prontuário indefinidamente. Isso pois existem alguns riscos jurídicos em se descartar o prontuário, mesmo após os 10 anos. Eis alguns deles: a) O paciente pode alegar em processos judiciais vício oculto (defeito que só se manifesta após certo tempo, sendo de difícil constatação pelo consumidor), ainda que fora deste prazo acima. Nesse caso, o prazo prescricional só se inicia a partir do momento em que o vício pôde ser detectado pelo consumidor – o que pode levar mais de 10 anos. b) O prazo de prescrição para a reparação de danos não corre contra os absolutamente incapazes (conforme arts. 3º e 198 do Código Civil). c) Em relação a doenças que o cirurgião-dentista poderia ter diagnosticado e sugerido tratamento a tempo, mas não o fez, também há um complicador. Isso porque o dentista pode ser condenado muitos anos depois de findo o tratamento, com base na teoria jurídica francesa, também adotada no Brasil, da “Perda de uma Chance”. Para defender-se, pode ser necessário apresentar documentos antigos. Por todos esses motivos é que não se recomenda o descarte dos prontuários.Assim, os prontuários dos pacientes devem ser preservados por, no mínimo, 10 anos e o processo de eliminação deverá resguardar a intimidade do paciente e o sigilo das informações, ainda que esse manuseio seja realizado por órgãos públicos. 2.5. Compartilhamento entre estabelecimento de saúde e operadoras Ainda que o compartilhamento entre estabelecimentos de saúde e operadoras de planos de saúde/odontológicos seja em boa medida regulamentado pela ANS por meio das especificações do padrão TISS, existem diversas hipóteses relevantes de compartilhamento de dados entre operadoras e estabelecimentos de saúde que não estão regulamentado ou não possuem previsões legais passíveis de enquadramento na base legal do “cumprimento de obrigação legal ou regulatória pelo controlador” (art. 7º, II; art. 11, II, a), como o compartilhamento para fins de atendimento primário, coordenação de cuidados ou enriquecimento de dados em plataformas de saúde. Tendo em vista a relação vertical existente entre operadores e prestadores, por vezes, a relação entre operadores e prestadores privados de saúde podem facilitar o compartilhamento de dados sob pena de descredenciamento, prática considerada abusiva e que pode até mesmo consistir em um ilícito antitruste. É importante notar, ainda, que a Lei Geral de Proteção de Dados trouxe uma regra especial quanto ao tratamento de dados pessoais sensíveis no seu art. 11, privilegiando o uso do consentimento em detrimento das demais bases legais da lei. Isto porque o legislador, ciente da importância e da criticidade deste tipo de informações, privilegiou a transparência e a informação ao titular dos dados em relação ao uso dos seus dados.Portanto, ao realizar o tratamento de dados pessoais sensíveis, os agentes de tratamento devem privilegiar a obtenção do consentimento (quando não for a hipótese de dever regulatório acima exposto), oportunizando o paciente a ciência quanto ao uso dos seus dados. O uso de outras bases legais, conforme observado o inciso II do art. 11 é via de exceção e os agentes de tratamento deverão comprovar a indispensabilidade do tratamento, que deverá tomar por base os princípios da lei e o interesse do paciente. Recomenda-se ainda que o compartilhamento de dados com as operadoras de saúde seja precedido pela obrigação contratual da coleta de informações respeitando estritamente o princípio da minimização e da vedação do seu uso para outra finalidade: BOAS PRÁTICAS Operadores de serviços de saúde Prestadores de serviços de saúde-Buscar o consentimento dos paciente para requerer o compartilhamento de dados de saúde (quando não for base legal de cumprimento regulatório), esclarecendo a finalidade e aplicando a minimização de dados;-Compartilhar os dados somente dos pacientes que consentiram ou que o prestador conseguiu capturar o consentimento;-Aplicar medidas mitigatórias para integração de dados-Requerer somente os dados estritamente necessários para a finalidade necessária, aplicando medidas mitigatórias na integração destes dados;-Adotar medidas de segurança da informação-Retenção dos dados pelo período necessário;Adotar medidas de segurança da informação 2.6. Compartilhamento entre estabelecimentos de saúde e terceiros a. Introdução Por fim, a última hipótese deste protocolo versa sobre a possibilidade de compartilhamento de dados com terceiros não vinculados aos estabelecimentos de saúde, compreendendo situações como por exemplo: a) Realização de contratos com empresas de TI para gestão dos dados de pacientes; b) Compartilhar cópias do protocolos laboratoriais ou do estabelecimento de saúde para atender ordem judicial ou para defesa própria; c) Compartilhar informações do exames de trabalhadores, inclusive por exigência dos dirigentes de empresas ou de instituições; d) Enriquecimento de dados em plataforma de saúde, visando uma gestão completa e integrada de dados de saúde das pessoas (que pode contemplar atendimento primário, gestão populacional, marketplace, etc); e) Compartilhar dados para o desenvolvimento de dispositivos médicos, entre várias outras. b. Controlador / operador Assim, como em todos os outros protocolos, a definição do controlador depende da identificação de qual agente é o responsável pelas decisões referentes ao tratamento de dados pessoais. No caso do compartilhamento entre estabelecimentos de saúde e terceiros, sugere-se que a atribuição dos papéis considere os seguintes elementos:  Realização de contratos com empresas de TI para gestão dos dados de pacientes – nesse caso, a depender do contexto e da natureza do trabalho executado pela empresa de TI, é possível que este seja controladora conjunta do estabelecimento de saúde na gestão de dados dos pacientes. Contudo, dependendo da distribuição de papéis, a empresa também pode figurar como operadora;  Compartilhar cópias do prontuário sob guarda do biomédico ou do estabelecimento de saúde para atender ordem judicial ou para defesa própria – no caso aquele que compartilhar os dados eventualmente poderá ser considerado como operador e o receptor das informações o controlador, tendo em vista que a finalidade do compartilhamento será controlada pelo receptor, conforme deverá se verificar no contexto da situação específica.  Compartilhar informações do exame realizado de trabalhadores, inclusive por exigência dos dirigentes de empresas ou de instituições – no caso aquele que compartilhar os dados pode ser eventualmente considerado como operador e o receptor das informações como controlador, tendo em vista que a finalidade do compartilhamento será controlada pelo receptor, conforme deverá se verificar no contexto da situação específica;  Compartilhamento de dados em plataforma de saúde, visando uma gestão completa e integrada de dados de saúde das pessoas – nesse caso é provável que a empresa responsável pela gestão da plataforma e os estabelecimentos sejam controladores conjuntos na gestão de dados dos pacientes, caso se verifique a efetiva divisão de elementos de gestão.  Compartilhar dados para o desenvolvimento de dispositivos laboratoriais ou de saúde em geral – nesse caso é capital atentar para o contexto específico, sendo possível que a empresa responsável pelo desenvolvimento dos dispositivos seja controladora conjunta do estabelecimento de saúde na gestão de dados dos pacientes. Contudo, dependendo da distribuição de papéis, tanto o estabelecimento de saúde quanto o desenvolvedor também podem eventualmente figurar como operadores. Ressalte-se que a classificação acima apontada deve servir apenas como um indicativo, devendo o prestador de serviços privados de saúde observar a finalidade específica do tratamento de dados e o papel de cada agente envolvido, a depender do contexto do caso sob análise, consultando sempre o comitê de segurança da informação ou o seu jurídico ou o seu DPO aténs da tomada de decisão de compartilhamento dos dados. c. Períodos de armazenamento / eliminação O período de armazenamento de dados deve aderir ao princípio da minimização, que preconiza que os dados devem ser mantidos apenas enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. A eliminação dos dados deve ocorrer assim que estes não atendam mais aos princípios da finalidade e da necessidade, conforme estabelecido no art. 6º da LGPD. Especificamente em relação aos dados de saúde, é crucial observar o disposto na Lei nº 13.787/2018 e na Resolução do CFO nº 91/2009. Conforme essas normativas, o tempo mínimo de manutenção de prontuários, seja em suporte de papel ou digitais, é de 10 (dez) anos. Importante ressaltar que, embora o CFO estipule esse tempo mínimo, é recomendável guardar os prontuários indefinidamente devido a riscos jurídicos, como a alegação de vício oculto por parte do paciente. Alguns dos riscos jurídicos que justificam a prática de manter os prontuários por tempo indeterminado incluem a possibilidade de alegações de vício oculto em processos judiciais, o prazo de prescrição que não corre contra os absolutamente incapazes, e a teoria jurídica da “Perda de uma Chance” em casos relacionados a doenças que poderiam ter sido identificadas e tratadas a tempo. Assim, o laboratório deve preservar os prontuários dos pacientes por, no mínimo, 10 anos, seguindo as disposições legais. O processo de eliminação deve ser conduzido com cuidado, resguardando a intimidade do paciente e o sigilo das informações, mesmo quando realizado por órgãos públicos. A recomendação de manter os prontuários indefinidamente se baseia na prevenção de riscos legais associados à prescrição de possíveis ações judiciais, protegendo tanto o laboratório quanto os interesses dos pacientes. d. Base legal Na maioria dos casos de compartilhamento de dados entre prestadores de serviços de saúde e terceiros a base legal recomendada é o consentimento do paciente, tendo em vista que são tratados dados de saúde por agentes que não são profissionais de saúde, serviços de saúde ou autoridade sanitária, não podendo se aplicar as outras hipóteses do art. 11, II, da LGPD. Assim, por exemplo, para o “compartilhamento de dados em plataforma de saúde, visando uma gestão completa e integrada de dados de saúde das pessoas” é necessário o consentimento. Em outros casos, como “realização de contratos com empresas de TI para gestão dos dados de pacientes” e “compartilhar dados para o desenvolvimento de dispositivos médicos”, a depender o contexto é possível aplicar a base legal prevenção à fraude e à segurança do titular (art. 11, g). Quanto a “compartilhar informações do exame médico de trabalhadores, inclusive por exigência dos dirigentes de empresas ou de instituições”, de acordo com o Código de Ética Médica, tal dado pode ser revelado apenas quando o silêncio puser em risco a saúde dos empregados ou da comunidade (art. 76).Ressalte-se que o tratamento de dados de saúde por meio do compartilhamento com finalidade econômica deve ser feito apenas quando (art. 11, § 4º): i) for realizado em benefício dos interesses dos titulares; ii) for estritamente necessário; iii) para prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde. e. Privacy by design Recomenda-se, para o desenvolvimento e implementação de novas tecnologias e metodologias nesta fase, que se observe a chamada privacidade na concepção, ou “privacy by design”, cujo conceito já se encontra detalhado acima. Mesmo que não seja abordado de forma direta, a importância da adoção da privacidade na concepção ou “privacy by design” também pode ser observada nos arts. 46 e 50 da LGPD, que preveem a adoção de medidas de segurança e de mitigação de riscos. Quanto aos cuidados relativos à segurança da informação que devem ser tomados no desenvolvimento de dispositivos de saúde por fabricantes, recomenda-se que sejam seguidas as seguintes orientações do Guia nº 38 da Anvisa, que contém “Princípios e práticas de cibersegurança em dispositivos médicos”15, com as seguintes orientações que os fabricantes de dispositivos médicos devem considerar em seus projetos: (i) Comunicações seguras  O fabricante deve considerar como o dispositivo faria interface com outros dispositivos ou redes para a avaliação dos riscos apresentados. As interfaces podem incluir conexões com fio e ou sem fio. Exemplos de métodos de interface incluem Wi-Fi, Ethernet, Bluetooth, USB etc; O fabricante deve considerar projetar funcionalidades que atendam todas as entradas (não apenas externas) e levar em consideração a comunicação com dispositivos e ambientes que suportam apenas comunicação menos segura (por exemplo, um dispositivo conectado a uma rede doméstica ou a um dispositivo legado).  O fabricante deve considerar a transferência de dados de e para o dispositivo protegido para impedir o acesso não autorizado, modificação ou reprodução (replay). Por exemplo, os fabricantes devem determinar: como as comunicações entre dispositivos/sistemas se autenticarem entre eles; se a criptografia é necessária; como a reprodução não autorizada de comandos ou dados transmitidos anteriormente será impedida; e se o encerramento de sessões de comunicação após um tempo prédefinido é apropriado (ii) (iii) Proteção de dados  O fabricante deve considerar se os dados relacionados à segurança do paciente são armazenados ou transferidos para/do dispositivo que requer algum nível de proteção, tal como criptografia. Por exemplo, as senhas devem ser armazenadas como hashes criptograficamente seguros;  O fabricante deve considerar se são necessárias medidas de controle de risco sobre a confidencialidade para proteger os campos de controle/sequenciamento de mensagens nos protocolos de comunicação ou para impedir o comprometimento dos materiais de codificação criptográfica Integridade do dispositivo O fabricante deve avaliar a arquitetura no nível do sistema para determinar se recursos de projeto são necessários para garantir o não repúdio dos dados (por exemplo, suporte a uma função de trilha de auditoria).  O fabricante deve considerar riscos à integridade do dispositivo, tais como modificações não autorizadas no software do dispositivo.  O fabricante deve considerar controles, tais como anti- malware para evitar vírus, spyware, ransomware, e outras formas de código malicioso a ser executado no dispositivo. (iv) Autenticação do usuário  O fabricante deve considerar controles de acesso do usuário que validem quem pode usar o dispositivo ou permita a concessão de privilégios a diferentes funções de usuário ou permita o acesso de usuários em caso de emergência. Ademais, as mesmas credenciais não devem ser compartilhadas entre dispositivos e usuários. Exemplos de autenticação ou autorização de acesso incluem senhas, chaves de hardware, biometria ou um sinal de intenção que não pode ser produzido por um outro dispositivo. (v) Manutenção de software  O fabricante deve estabelecer e comunicar um processo para implementação e implantação de atualizações periódicas.  O fabricante deve considerar como operar o software do sistema, o software de terceiros ou como o software de código aberto será atualizado ou controlado. O fabricante também deve planejar como responder a atualizações de software ou ambientes operacionais desatualizados fora de seu controle (por exemplo, software de dispositivo médico executando em uma versão não segura de um sistema operacional.  O fabricante deve considerar como o dispositivo será atualizado para protegê-lo contra vulnerabilidades de ciber segurança recém descobertas. Por exemplo, pode- se considerar se as atualizações exigirão intervenção do usuário ou serão iniciadas pelo dispositivo e como a atualização pode ser validada para garantir que não tenha efeito adverso na segurança do paciente e no desempenho do dispositivo.  O fabricante deve considerar quais conexões serão necessárias para realizar atualizações e a autenticidade da conexão ou atualização através do uso de assinatura de código ou de outros métodos semelhantes. (vi) Acesso físico  O fabricante deve considerar controles para impedir que uma pessoa não autorizada acesse o dispositivo. Por exemplo, os controles podem incluir bloqueios físicos ou restringir fisicamente o acesso às portas, ou não permitir o acesso com um cabo físico sem exigir autenticação (vii) Confiabilidade e disponibilidade  O fabricante deve considerar os recursos de projeto que permitirão ao dispositivo detectar, resistir, responder e se recuperar de ataques de ciber segurança, a fim de manter seu desempenho essencial f. Período de armazenamentoO período de armazenamento deve seguir o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6º eles devem ser eliminados, podendo eventualmente serem arquivados para fins de cumprimento de finalidade secundária, quando aplicável e legítima. No caso dos dados de saúde, é necessário que se observe o previsto na Lei nº 13.787/2018 e na Resolução do CFO nº 91/2009, cujo tempo mínimo para a manutenção de prontuários em suporte de papel ou digitais são de 10 (dez) anos. Atenção: muito embora o CFO estipule o tempo mínimo de 10 anos, recomenda-se guardar o prontuário indefinidamente. Isso pois existem alguns riscos jurídicos em se descartar o prontuário, mesmo após os 10 anos. Eis alguns deles: a) O paciente pode alegar em processos judiciais vício oculto (defeito que só se manifesta após certo tempo, sendo de difícil constatação pelo consumidor), ainda que fora deste prazo acima. Nesse caso, o prazo prescricional só se inicia a partir do momento em que o vício pôde ser detectado pelo consumidor – o que pode levar mais de 10 anos. b) O prazo de prescrição para a reparação de danos não corre contra os absolutamente incapazes (conforme arts. 3º e 198 do Código Civil). c) Em relação a doenças que o cirurgião-dentista poderia ter diagnosticado e sugerido tratamento a tempo, mas não o fez, também há um complicador. Isso porque o dentista pode ser condenado muitos anos depois de findo o tratamento, com base na teoria jurídica francesa, também adotada no Brasil, da “Perda de uma Chance”. Para defender-se, pode ser necessário apresentar documentos antigos. Por todos esses motivos é que não se recomenda o descarte dos prontuários. Assim, os prontuários dos pacientes devem ser preservados por, no mínimo, 10 anos e o processo de eliminação deverá resguardar a intimidade do paciente e o sigilo das informações, ainda que esse manuseio seja realizado por órgãos públicos. 3. Protocolo de pesquisa clínica 3.1. Aspectos principais A pesquisa clínica é um processo de investigação científica envolvendo seres humanos que tem como objetivo o desenvolvimento de medicamentos ou tratamentos eficazes contra determinada doença e a identificação de efeitos adversos aos produtos ou procedimentos objeto do estudo. Dada a necessidade de proteção do paciente e garantia da segurança do estudo, bem como a importância das pesquisas para o desenvolvimento de novos tratamentos, a pesquisa clínica é objeto de regulamentação tanto pela ANVISA quanto pelo Ministério da Saúde regulamentam os procedimentos (Norma Operacional CONEP nº 001/2013, Resolução CNS nº 506/2016, RDC Anvisa nº 9/2015 e RDC Anvisa nº 10/2015, Resolução CNS nº 251/1997) e as melhores práticas (Guia ICH de Boas Práticas Clínicas, E6(R2), Resolução CNS nº 466/2012). Igualmente, o Código de Ética Odontológica do CFO (RESOLUÇÃO 118/2012) trata da matéria, prevendo práticas vedadas ao dentista que conduz pesquisas clínicas. Em relação ao Ministério da Saúde, este atua por meio do CNS, através do CONEP, que atua por meio de uma rede de CEPs, que são organizados nas instituições onde se realizam as pesquisas. O CONEP16 tem como função a análise dos aspectos éticos das pesquisas clínicas realizadas em áreas temáticas especiais que lhe são encaminhadas pelos CEP das instituições. Já os CEPs têm como atribuição a revisão dos protocolos e pesquisas, tendo a função de proteger os direitos dos voluntários que participam das pesquisas. A atribuição dos órgãos do CNS são complementares à da Anvisa, que também edita normas a respeito da pesquisa clínica, fato que é representativo da importância e sensibilidade das pesquisas clínicas. Assim, resulta justificada a preocupação deste Guia de Boas Práticas a respeito das especificidades dos estudos clínicos no que concerne o tratamento de dados, especialmente considerando que os ensaios utilizam como subsídio dados de saúde dos participantes. Os dados de saúde podem ser obtidos de diversas formas, além da coleta primária por meio da ficha clínica como, por exemplo, pelo cruzamento de dados de saúde com outros dados e informações que se convertem em dados de saúde, a depender do contexto (como no caso dos dados de localização utilizados para mapear os possíveis vetores de uma pandemia). No caso da pesquisa clínica, nos estudos científicos podem ser utilizados tanto informações do paciente (como exames, prontuários e dados fornecidos pelo próprio paciente) quanto informações advindas do cruzamento de dados. Nesse sentido, o tratamento de dados para efeitos de investigação científica pode ser analisado sob duas perspectivas17 a) a sua utilização primária – investigação sobre dados de saúde que consiste na utilização direta para fins científicos; b) a sua utilização secundária – investigação sobre dados de saúde que consiste no tratamento posterior de dados recolhidos inicialmente para outros fins. Na utilização primária, os pacientes aptos a participar do estudo têm o seu dado coletado diretamente para a utilização no estudo. Na utilização secundária os titulares forneceram ou tiveram seus dados coletados para outros fins e, posteriormente, esses dados são utilizados nos estudos. Conforme se observará a seguir, essa distinção impacta tanto a definição sobre quais agentes figuram como controlador ou operador quanto a base legal aplicável, de modo que, além de observar o tipo de dado e a finalidade, no caso da pesquisa clínica também é pertinente observar a distinção entre a utilização primária e secundária dos dados pessoais. Destaca-se que a base legal mais frequentemente utilizada para a realização de pesquisa clínica é o consentimento, devendo este seguir com determinados requisitos cujas especificações encontram-se na regulamentação específica mencionada para a matéria de pesquisa clínica, para que seja considerado válido. Conforme mencionado no Protocolo de Atendimento, deve ser observado o previsto no art. 5º, XII, que define o consentimento como: “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. No mais, a forma do consentimento já foi delimitada pelas resoluções do CONEP e outras normas específicas. 3.2. Convite para a pesquisa a. Introdução O tratamento de dados para seleção de potenciais candidatos e o convite para participação é o momento que antecede a realização das pesquisas clínicas. Esse tratamento não é isento de dúvidas por parte dos pesquisadores, especialmente em relação à utilização secundária dos dados de saúde, tendo em vista que, em diversas ocasiões, a base de dados utilizada para seleção dos candidatos aptos a participar dos ensaios é pré-existente e eventualmente não tenha sido obtido o consentimento para que fosse realizado o convite. Ainda que os convites sejam divulgados ao grande público, para que os resultados efetivamente atestem a eficácia de determinado tratamento ou medicamento é necessária a formação em amostragem adequada e representativa do grupo de participantes, até para garantir a qualidade dos dados que serão coletados. Para tanto, uma das formas mais eficazes de seleção é a utilização de bancos de dados pré-existentes (utilização secundária) para a realização do convite para o paciente. Assim, nem sempre é possível coletar o consentimento dos pacientes que poderiam ser beneficiados pelos estudos (considere-se igualmente que diversos bancos de dados foram formados antes da entrada em vigor da LGPD) e, ainda que a busca do referido consentimento fosse priorizada, haveria dificuldade considerável em obter amostragem e representatividade ideais para o prosseguimento das pesquisas e a formação dos grupos experimentais no formato mais adequado para que a pesquisa seja exitosa. Ao mesmo tempo, deve-se evitar o tratamento indiscriminado de dados pessoais e, especialmente, dados pessoais sensíveis de saúde, que podem ser considerados uma violação frontal à LGPD, sendo passível de punição. Necessário pontuar ainda que, dependendo do objeto de pesquisa, existem requisitos específicos para redução de riscos colaterais para os pacientes alvo e que tais requisitos podem reduzir significativamente o número de pacientes elegíveis para os estudos. Caso tais requisitos não sejam atendidos, é possível que o próprio CEP/CONEP rejeite o protocolo de pesquisa submetido, tendo em vista que as pesquisas clínicas devem ser apreciadas por meio do CEP/CONEP para avaliação ética. Por isso esse protocolo dedica-se às principais questões atinentes ao tratamento de dados para fins de pesquisas clínicas, tendo em vista a necessidade da sua promoção e, ao mesmo tempo, de que sigam as melhores práticas para a proteção dos dados pessoais dos participantes. b. Controlador / operador No caso da utilização de bancos de dados para envio dos convites, a identificação do controlador depende do propósito para o qual o dado será utilizado e de quem é o agente responsável pelo tratamento. É possível que o estabelecimento que possua o banco de dados também realize a pesquisa clínica, não havendo dúvidas que ele seja o controlador no tratamento de dados relativos ao convite. Também é possível que médicos diferentes sejam responsáveis pelo paciente que consta no banco de dados ou mesmo que o banco de dados utilizado seja de outra empresa do mesmo grupo. Nesse caso, os dois agentes podem ser considerados controladores conjuntos, tendo em vista que o banco servirá para propósitos diferentes. A identificação do propósito para o qual o dado foi coletado (utilização primária ou secundária) impacta na determinação do controlador, pois, aquele que coleta o dado para fins de pesquisa clínica, ainda que seja indiretamente, se torna o controlador desse dado no que diz respeito à pesquisa clínica. Ainda, a depender do contexto, pode haver também algum controlador conjunto que não participe necessariamente do estudo, mas que ainda assim figure como controlador no que diz respeito ao tratamento. c. Base legal No tratamento de dados relativos ao convite para pesquisa clínica, confirme aludido, a utilização prioritária da base legal do consentimento é capaz de suprir as demandas em relação à sua legitimidade. Contudo, tendo em vista a existência de bancos de dados pré-existentes, a pertinência da realização de amostragens a partir de bases de dados de volume considerável e a necessidade de transição para a implementação da LGPD, pode-se vislumbrar igualmente, em cada contexto, a viabilidade da utilização da base legal da tutela da saúde. Ressalte-se que, para a utilização da base legal da tutela da saúde, o fato de o paciente obter benefícios diretos à sua saúde com o estudo é um importante fundamento para a sua legitimidade. Ademais, conforme mencionado anteriormente, o tratamento dos dados para fins de tutela da saúde deve ser realizado por profissionais de saúde, de serviços da saúde ou autoridade sanitária, devendo estes guardar sigilo sobre as informações obtidas no exercício profissional. Necessário ressaltar a predominância da autonomia do paciente sobre qualquer outra circunstância: assim, mesmo com a utilização da base legal da tutela da saúde, caso o titular demonstre não ter interesse nos contatos a respeito da pesquisa, é necessário que seus dados sejam excluídos do banco de dados para que ele não seja contactado novamente. Em relação ao consentimento, especialmente em relação ao convite para pesquisa, é necessário observar que este seja informado e concedido livremente. Assim, é necessário assegurar que o titular não se sinta pressionado a participar do estudo ou que seja penalizado de qualquer forma caso não participe. Ademais, caso o consentimento seja fornecido, ainda assim deve-se possibilitar que este seja revogado a qualquer momento e que as operações de tratamento em curso sejam interrompidas. 3.3. Pesquisa clínica com dados pessoais. a. Introdução O Protocolo de Pesquisa Clínica com Dados Pessoais versa sobre o segundo momento da pesquisa, no qual os dados são coletados e utilizados para realização da pesquisa, principalmente por sua utilização primária. Durante a realização da do estudo, podem ser coletados dados relativos à saúde ou realizados questionários sobre outros dados que podem ser posteriormente correlacionados, bem como podem ser coletados dados ao longo do estudo, como dados relativos à reação do paciente aos medicamentos testados. Conforme mencionado, a realização da pesquisa possui regulamentação tanto junto à ANVISA quanto ao Ministério da Saúde, que regulamentam estes procedimentos (Norma Operacional CONEP nº 001/2013, Resolução CNS nº 506/2016, RDC Anvisa nº 9/2015 e RDC Anvisa nº 10/2015, Resolução CNS nº 251/1997) e as melhores práticas (Guia ICH de Boas Práticas Clínicas, E6(R2), Resolução CNS nº 466/2012), de modo que o próprio consentimento e o sigilo das informações já foram abordados pelos dispositivos. Além disso, o “Manual de Orientação: Pendências Frequentes em Protocolos de Pesquisa Clínica”18 do CONEP/CNS/MS apresenta requisitos específicos sobre como apresentar os detalhes do protocolo pesquisa e até mesmo acerca da redação do Termo de Consentimento Livre e Esclarecido (TCLE), auxiliando no cumprimento dos princípios da transparência e do consentimento como manifestação livre, informada e inequívoca do titular. b. Controlador / operador Assim como descrito no item anterior, a identificação do controlador depende do propósito para o qual o dado será utilizado e de quem é o agente responsável pelo tratamento. É possível que o estabelecimento que possua o banco de dados também realize a pesquisa clínica, podendo então este ser o controlador no tratamento de dados relativo ao Protocolo de Pesquisa. Também é possível que um médico seja responsável pelo paciente que consta no banco de dados seja diferente do pesquisador responsável pelo Protocolo de Pesquisa ou mesmo que o banco de dados utilizado seja de outra empresa do mesmo grupo. Nesses casos, os agentes podem ser considerados controladores conjuntos, tendo em vista que o banco servirá para propósitos diferentes.Repise-se que a identificação do propósito para o qual o dado foi coletado (utilização primária ou secundária) impacta na determinação do controlador, pois, aquele que coleta o dado para fins de pesquisa clínica, ainda que seja indiretamente, se torna o controlador desse dado no que diz respeito à pesquisa clínica. Ainda, a depender do contexto pode haver também algum controlador conjunto que não participe necessariamente do estudo, mas que ainda assim figure como controlador no que diz respeito ao tratamento. Caso o prestador de serviços privados de saúde opte pela contratação de estudos clínicos de uma ORPC, é necessária atenção especial aos termos do acordo realizado e a forma de atribuição das funções relativas ao ensaio clínico. A depender dos termos e do contexto do tratamento, o patrocinador e a ORCP podem ser controladores conjuntos ou, caso a ORCP não detenha o controle do tratamento dos dados coletados e tratados, o patrocinador pode eventualmente figurar como controlador e a organização como operadora c. Base legal Conforme mencionado anteriormente, a base legal aplicável à Pesquisa Científica é o consentimento. Nesse sentido, recomenda-se a formulação do TCLE nos termos sugeridos pela Norma Operacional CONEP nº 001/2013. d. Período de armazenamento / eliminação Quando utilizado o consentimento como base legal, é necessário eliminar os dados do titular que porventura revogue o seu consentimento. Ademais, assim como nos outros protocolos, o período de armazenamento deve seguir o princípio da minimização, de modo que os dados devem ser mantidos enquanto forem pertinentes, adequados e limitados aos fins para os quais são processados. Assim, ainda que a lei não estabeleça um período limite para armazenamento dos dados, tão logo os dados armazenados não sejam adequados aos princípios da finalidade e da necessidade previstos no art. 6º eles devem ser eliminados, podendo eventualmente serem arquivados para fins de cumprimento de finalidade secundária, quando aplicável e legítima. Especialmente no caso da pesquisa clínica, recomenda- se que os participantes sejam informados acerca da possibilidade de tratamento posterior, se for necessário, e que este não seja incompatível com as finalidades iniciais. Acresce-se, ser necessário que se proceda à minimização dos dados por meio da obrigação de especificação dos objetivos e questões investigadas, além da avaliação inicial acerca do tipo e do volume de dados que serão necessários para que as questões sejam respondidas. e. Sigilo / segurança da informação Além do previsto na LGPD, o tratamento de dados para pesquisa clínica possui um robusto arcabouço regulatório que regulamenta as diversas facetas do tratamento de dados sensíveis. Contudo, é necessário ressaltar medidas de segurança que podem conferir proteção adicional aos dados tratados. Nesse sentido, ressalta-se a importância da utilização da pseudonimização, em conjunto com outras práticas de segurança, para tornar menos factível a identificação dos titulares dos dados, visto que os seus elementos nominativos não irão sempre acompanhar os dados pseudonimizados em seu tratamento.Veja-se que, diferentemente da anonimização – que o dado pessoal se torna não identificável por conta da desassociação completa – o dado pseudonimizado pode ser associado novamente ao titular. Assim, para que a pseudonimização seja eficaz, deve-se garantir que os dados que permitem a identificação do titular sejam armazenados em locais com acesso controlado para que logrem proporcionar maior segurança. Assim, sugere-se a realização do processo de encriptação, a assinatura de acordos de não divulgação, além da limitação do acesso aos dados e da manutenção de registro dos acessos realizados aos bancos de dados. 4. Protocolo para exercício dos direitos dos titulares A LGPD assegura procedimentos que visam garantir a proteção dos direitos dos titulares e o seu exercício, entre os quais estão os chamados direitos “ARCO” (MENDES, 2019): Acesso; Retificação; Cancelamento e Oposição. Assim, neste protocolo serão apresentadas sugestões para garantia de tais direitos, com base nas melhores práticas internacionais, conforme elucida o Código de Boas Práticas da Confederação Nacional de Saúde. Destacamos que a garantia do direito dos titulares se vincula às obrigações atribuídas pela LGPD aos controladores dos dados pessoais, como a necessidade de nomeação de um encarregado que receba as reclamações dos titulares, nem como se comunique com a autoridade de proteção de dados e garanta que os procedimentos internos estejam em estrito cumprimento com a legislação de proteção de dados brasileira (art. 41 da LGPD). 4.1. Direito de acessoÉ direito do titular acessar e receber uma cópia de seus dados pessoais, bem como outras informações que sejam pertinentes ao tratamento de seus dados. Tal pedido pode ser realizado de forma verbal ou escrita e não é possível cobrança de nenhuma natureza para o exercício desse direito, sob pena de impedimento indireto de acesso. Ademais, é necessário estabelecer tempo razoável para resposta dos pedidos, dentro do limite máximo de 15 dias previsto no art. 19, II. O direito de acesso está diretamente relacionado ao princípio do livre acesso, transparência e prestação de contas, é tão forte, de modo que a recusa em prestar as informações solicitadas deve ocorrer somente em situações fundamentadas. Dessa forma, recomenda-se que algumas medidas sejam tomadas pelos prestadores privados de saúde ao preparar o procedimento de atendimento às solicitações de informação, tais como:  Estabelecer fluxos para quando for solicitado o direito de acesso e meios para identificar um pedido de informação;  Registrar a data do recebimento do pedido;  Ter uma política de registro dos pedidos recebidos e criar um canal eficiente para receber tais pedidos;  Estabelecer prazos para atender os pedidos de informação, respeitando o limite de 15 (quinze) dias estabelecido no art. 19 da LGPD e hipóteses de interrupção do prazo quando são necessárias informações adicionais que adicionais que impeçam o atendimento do pedido; Estabelecer os limites das informações que não podem ser prestadas, identificando quais informações são relativas a segredos comerciais e industriais;  Possuir sistemas de gerenciamento de informações eficientes que permitam a identificação e localização das informações;  Identificar quando um pedido de informação pode envolver informações de outros titulares;  Identificar se os dados solicitados são pertinentes e informar, ao menos: i – finalidade específica do tratamento; ii – forma e duração do tratamento, observados os segredos comercial e industrial; iii – identificação do controlador; iv – informações de contato do controlador; v – informações acerca do uso compartilhado de dados pelo controlador e a finalidade; vi – responsabilidades dos agentes que realizarão o tratamento; vii – direitos do titular especificados no art. 18 da LGPD 4.2. Direito de retificação O art. 18, III, LGPD garante o direito de retificação de dados que sejam incorretos, incompletos ou desatualizados, em consonância ao princípio da qualidade dos dados, que garante que os dados dos titulares sejam exatos, claros, relevantes e atualizados. Da mesma forma, que o pedido de acesso, o pedido pode ser recusado tão somente em hipóteses excepcionais e deve ser atendido, preferencialmente, em até um mês:  Estabelecer quando o direito de retificação se aplica e como identificar um pedido de retificação;  Registrar a data do recebimento do pedido;  Possuir uma política de registro dos pedidos recebidos e criar um canal eficiente para receber tais pedidos; Estabelecer prazos para atender o pedido de retificação e hipóteses de interrupção do prazo quando são necessárias providências adicionais;  Ter sistemas de gerenciamento de informações eficientes que permitam a retificação das informações. 4.3. Direito de cancelamento O titular dos dados tem o direito de solicitar o cancelamento de operações de tratamento que não cumpram os requisitos legais. Ademais, o titular também tem direito de cancelar dados que foram armazenados de forma indevida ou cujo consentimento foi revogado, quando a base legal do consentimento for aplicável. Nesse sentido, sugere-se os seguintes procedimentos para atendimento dos pedidos de cancelamento das operações:  Estabelecer quando o direito de cancelamento se aplica e como identificar um pedido de cancelamento;  Registrar a data do recebimento do pedido;  Possuir uma política de registro dos pedidos recebidos e criar um canal eficiente para receber tais pedidos;  Estabelecer prazos para atender o pedido de retificação e hipóteses de interrupção do prazo quando são necessárias providências adicionais;  Identificar se foi dado o consentimento para o tratamento do dado e se é possível revogá-lo, de acordo com as normas setoriais;  Possuir procedimentos para informar outros operadores que porventura também realizem o tratamento em nome do controlador acerca do cancelamento ou com quem o dado tenha sido compartilhado.  Quando o tratamento tiver origem no consentimento do titular ou em contrato, providenciar o acesso do titular à cópia eletrônica integral de seus dados pessoais, observados os segredos comercial e industrial, em formato que permita a sua utilização subsequente, inclusive em outras operações de tratamento;  Fornecer informações claras e adequadas acerca a origem dos dados, a inexistência de registro, os critérios utilizados para o tratamento de dados e a finalidade do tratamento, observados os segredos comercial e industrial ao atender os pedidos do titular;  Possuir sistemas de gerenciamento de informações eficientes que permitam o cancelamento das informações e sua eliminação física 4.4. Direito de oposição O art. 18, § 2º, da LGPD permite que o titular se oponha a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento aos dispositivos legais. Assim, sugere-se os seguintes procedimentos para o atendimento das solicitações:  Identificar a oposição ao tratamento de dados e quando esse direito é aplicável;  Registrar a data do recebimento do pedido;  Possuir uma política de registro dos pedidos recebidos e criar um canal eficiente para receber tais pedidos;  Estabelecer prazos para atender à oposição ao tratamento e hipóteses de interrupção do prazo quando são necessárias providências adicionais;  Possuir sistemas de gerenciamento de informações eficientes que permitam a efetivação do direito de oposição, cancelamento, retificação e outros tipos de alterações relativas aos dados pessoais 4.5. Modelo de formulário para exercício dos direitos do titular Para que o exercício dos direitos do titular acima mencionados, sugere-se que um formulário nos moldes apontados abaixo (próxima página) seja disponibilizado para que o titular realize seu pedido.

CONTEXTUALIZAÇÃO
A Lei nº 13.709/2018, Lei Geral de Proteção de Dados – LGPD, tem como um de seus pilares centrais a implementação de medidas de Segurança da Informação que podem trazer às entidades públicas e privadas, uma cultura de maior conscientização na área. A
LGPD considera que, mais grave do que sofrer um ataque ou passar por um vazamento de dados, é não se prevenir e nem adotar as medidas e práticas necessárias e possíveis para a
proteção dos seus dados e de todos os que são afetados por eventuais acessos não autorizados.
A atividade de conformidade com as disposições da Lei Geral de Proteção de Dados (LGPD) não se limita à implementação de medidas tecnológicas e padrões de segurança.
Abrange também a elaboração, manutenção e revisão de documentos que não apenas
asseguram a conformidade com a mencionada lei, mas também contribuem para uma maior
organização e otimização dos processos internos. Além disso, essas medidas visam proteger
a entidade, sua reputação, seus servidores, usuários dos serviços prestados e parceiros.
Na Era Tecnológica, onde os computadores pessoais são amplamente populares e o
acesso à internet é facilmente alcançável, observamos uma crescente dependência de
processos digitais para a manutenção de modelos de negócios e o cumprimento de
obrigações legais. Embora a informatização desses processos proporcione praticidade,
redução de custos e economia de tempo, ela também acarreta riscos de segurança que não
podem ser negligenciados. Com tempo e recursos adequados, qualquer sistema pode ser
vulnerável a comprometimentos.
Considerando esses aspectos, torna-se essencial a elaboração de estratégias e planos
para o controle de danos, destacando a importância dos Planos de Respostas a Incidentes
de Segurança em Dados Pessoais. Incidente de segurança é definido como uma violação da
segurança que, de modo acidental ou ilícito, resulta na destruição, perda, alteração,
divulgação ou acesso não autorizados a dados pessoais transmitidos, armazenados ou
sujeitos a qualquer outro tipo de tratamento.
A Resposta a Incidentes é o processo que delineia como uma organização deve lidar
com incidentes de segurança, seja um ataque cibernético, violação de dados, presença de
aplicativos maliciosos (como vírus) ou violações das políticas e padrões de segurança da

entidade, entre outros. O objetivo é minimizar os danos causados pelo incidente, reduzir o
tempo de ação e os custos de recuperação.
O Plano de Respostas a Incidentes (PRI) constitui um documento interno que deve
ser amplamente familiarizado por todos os servidores, funcionários e colaboradores. Ele
detalha as medidas a serem adotadas no caso de um Incidente de Segurança em Dados
Pessoais. O LABORATÓRIO PAULO RAGONE, sendo uma entidade de direito privado,
especialmente no âmbito de saúde, deve observar cuidados adicionais devido à legislação
que confere proteção diferenciada aos dados sensíveis, incluindo os dados de saúde, com
bases legais específicas para seu tratamento (art. 11).
Nesse contexto, o Plano de Respostas a Incidentes (PRI) do LABORATÓRIO PAULO
RAGONE visa orientar a organização na resposta eficiente a situações de emergência e
exceção, garantindo a integridade dos sistemas, a proteção de informações e a privacidade
dos titulares de dados.

OBJETIVO, ABRANGÊNCIA E VIGÊNCIA DO PLANO DE RESPOSTAS A INCIDENTES (PRI) DO
LABORATÓRIO PAULO RAGONE
O propósito fundamental deste Plano é guiar o LABORATÓRIO PAULO RAGONE na
resposta à situações de emergências e exceção, de maneira documentada, formal, ágil e
confiável. Além disso, visa preservar as evidências que possam contribuir para prevenir
novos incidentes e cumprir as exigências legais de comunicação e transparência.
Dentro deste Plano de Respostas a Incidentes (PRI), serão definidas as funções e
responsabilidades tanto individuais quanto de equipes. Serão também delineadas as
medidas a serem implementadas para assegurar que o LABORATÓRIO PAULO RAGONE
responda de maneira apropriada a um incidente, mantendo sempre o compromisso com a
integridade dos sistemas/processos, proteção de informações e privacidade dos titulares, a
fim de garantir a confiabilidade contínua dos serviços oferecidos.
Este PRI é aplicável em qualquer caso de incidentes envolvendo Dados Pessoais e
deve ser seguido em conjunto com outras políticas do LABORATÓRIO PAULO RAGONE por
todas as áreas, colaboradores e prestadores de serviços que possam ter acesso às
informações, arquivos e dados sob a responsabilidade da entidade.

A entrada em vigor do PRI do LABORATÓRIO PAULO RAGONE ocorrerá na data de
sua publicação, permanecendo em vigor por tempo indeterminado. Este plano pode ser
revisado e alterado conforme necessário, sempre que houver identificação de tal
necessidade.

TERMOS E DEFINIÇÕES
 Agentes de Tratamento: Representa a união do controlador, responsável pelas
decisões sobre o tratamento de dados, e do operador, que realiza efetivamente o
tratamento. Importante notar que servidores ou equipes de trabalho não são
considerados controladores ou operadores, uma vez que atuam sob a direção do
agente de tratamento.
 Anonimização: Refere-se à aplicação de meios técnicos que, de maneira razoável e
disponível, tornam um dado incapaz de ser associado, direta ou indiretamente, a um
indivíduo. Esse processo contribui para a privacidade e segurança dos dados.
 Ataque: Trata-se de um evento onde vulnerabilidades são exploradas. Pode ocorrer
quando um atacante busca realizar ações maliciosas, como invadir sistemas, acessar
informações confidenciais ou tornar um serviço inacessível. A prevenção e detecção
de ataques são essenciais para a segurança da informação.
 Autoridade Nacional de Proteção de Dados – ANPD: Órgão da administração pública
nacional encarregado de fiscalizar e garantir o cumprimento da Lei Geral de Proteção
de Dados em todo o território nacional. Sua atuação é fundamental para assegurar a
conformidade das organizações com as normas de proteção de dados.
 Controlador: Refere-se a pessoa física ou jurídica, de direito público ou privado, que
toma decisões relacionadas ao tratamento de dados pessoais. É o responsável pela
definição dos propósitos e meios do tratamento, assumindo a liderança nas práticas
de privacidade.
 Dados Pessoais: Englobam qualquer informação relacionada a um indivíduo que
possa ser utilizada para identificá-lo, direta ou indiretamente. Inclui dados como
nome, endereço, telefone, entre outros, sendo essencial seu tratamento com
respeito à privacidade.

 Dados Pessoais Sensíveis: Consistem em informações que abordam a origem racial
ou étnica, convicção religiosa, prática ou orientação sexual, dados médicos ou de
saúde, informações genéticas ou biométricas, crenças políticas ou filosóficas, filiação
política ou sindical, número do seguro social, número da carteirinha do plano de
saúde e dados bancários. Esses dados demandam cuidados especiais devido à sua
natureza mais sensível.
 Encarregado ou Data Protection Officer (DPO): Pessoa física designada pelo
controlador para garantir a conformidade com a legislação de proteção de dados.
Atua como canal de comunicação entre o controlador, os titulares dos dados e a
Autoridade Nacional de Proteção de Dados (ANPD).
 GT LGPD LABORATÓRIO PAULO RAGONE: Grupo de Trabalho estabelecido pela
Portaria P nº 55/2020 com o propósito de implementar as disposições da Lei Geral
de Proteção de Dados. Contribui para a aplicação efetiva dos princípios e normas da
LGPD no contexto específico do LABORATÓRIO PAULO RAGONE.
 Incidente: Refere-se a qualquer ato, suspeita, ameaça ou circunstância que
comprometa a confidencialidade, integridade ou disponibilidade de informações em
posse do LABORATÓRIO PAULO RAGONE ou que ela venha a ter acesso. A
identificação e resposta rápida a incidentes são cruciais para a segurança da
informação.
 IP (Protocolo da Internet): Número utilizado para identificar dispositivos de
tecnologia da informação em uma rede ou Internet. Essa identificação é
fundamental para o roteamento eficiente de dados, sendo parte integrante da
comunicação na internet.
 LGPD: Sigla que identifica a Lei Geral de Proteção de Dados, Lei nº 13.709/2018, que
estabelece regras e princípios para o tratamento de dados pessoais no Brasil. Sua
implementação é crucial para garantir a proteção da privacidade e segurança dos
dados.
 Log: Processo de registro de eventos relevantes em um sistema computacional. A
análise de logs é uma prática essencial para a detecção de atividades suspeitas e
manutenção da integridade dos sistemas.
 Operador: Pessoa física ou jurídica, de direito público ou privado, que realiza o
tratamento de dados em nome do controlador. Essa distinção é importante para

definir as responsabilidades e obrigações de cada parte envolvida no tratamento de
dados.
 Sistemas: Compreendem hardware, software, rede de dados, armazenador de
mídias e outros componentes utilizados pelo LABORATÓRIO PAULO RAGONE para
apoiar suas atividades. O controle e proteção desses sistemas são cruciais para a
segurança da informação.
 Tratamento: Refere-se a qualquer operação ou conjunto de operações efetuadas
sobre os dados, incluindo coleta, gravação, organização, estruturação, alteração,
uso, acesso, divulgação, cópia, transferência, armazenamento, exclusão,
combinação, restrição, adaptação, recuperação, consulta, destruição ou
anonimização. O tratamento adequado assegura a conformidade com a legislação de
proteção de dados.
 Vazamento de Dados: Consiste em qualquer quebra de sigilo ou disseminação de
dados que pode resultar, criminosamente ou não, na perda, alteração,
compartilhamento, acesso, transmissão, armazenamento ou processamento não
autorizado de dados. A prevenção e resposta eficaz a vazamentos são essenciais
para proteger a privacidade dos indivíduos e a integridade dos dados.
 Violação de Privacidade: Refere-se a qualquer violação à legislação aplicável ou
conduta e evento que resulte na destruição acidental ou ilícita dos dados, bem como
na sua perda, roubo, alteração, divulgação ou acesso não autorizado, danos ou
desvio de finalidade em seu tratamento. A prevenção e gestão de violações são
fundamentais para a preservação da confiança e integridade dos dados pessoais.
 Vírus: Programa ou parte de um programa de computador, geralmente malicioso,
que se propaga inserindo cópias de si mesmo e se tornando parte de outros
programas e arquivos. A detecção e proteção contra vírus são essenciais para a
segurança dos sistemas de informação.

ATORES E RESPONSABILIDADES
Cada departamento dentro da estrutura organizacional do LABORATÓRIO PAULO
RAGONE assume responsabilidades específicas ao lidar com a ocorrência ou mesmo a
suspeita de um incidente, sendo imperativo comunicar imediatamente a incidência ao Time

de Resposta do LABORATÓRIO PAULO RAGONE. As funções designadas para este propósito
são as seguintes:
 Notificador: Esta entidade pode ser uma pessoa ou um sistema de monitoramento
encarregado de comunicar a detecção do incidente.
 Acionador(es): Responsável por receber as notificações e conduzir o tratamento
inicial, realizando a triagem do incidente.
 Time de Resposta a Incidentes (TRI): Este grupo é composto por colaboradores do
LABORATÓRIO PAULO RAGONE que possuem habilidades, acesso, responsabilidades,
treinamento e conhecimentos necessários para responder a uma variedade de
incidentes. O TRI é designado de acordo com as características específicas de cada
incidente e inclui o Encarregado de Dados (DPO) e servidores de outras áreas com
especialização no tema ou cujos processos tenham sido impactados pelo incidente.
 Responsável por Sistema: Indivíduo capacitado a propor soluções de resposta, além
de autorizar ou vetar procedimentos de emergência relacionados ao sistema
afetado.
 Responsável por Processo ou Negócio: Gerente ou chefe de setor identificado na
estrutura organizacional, com a capacidade de sugerir soluções de resposta a serem
avaliadas pelo TRI.
 GT LGPD LABORATÓRIO PAULO RAGONE: Esta é a principal instância decisória no
que diz respeito ao tratamento de Dados Pessoais no LABORATÓRIO PAULO
RAGONE. O GT LGPD responde diretamente ao Presidente e desempenha um papel
fundamental na definição das estratégias e ações relacionadas à proteção de dados.

MACRO ETAPAS DO PROCESSO
Este Plano de Resposta a Incidentes segue uma estrutura organizada, abordando as
seguintes macroetapas:
Identificação:
A detecção eficaz de qualquer Incidente de Segurança é crucial para a
implementação bem-sucedida do Plano de Respostas. Medidas essenciais, como
ferramentas de monitoramento, registros de eventos, mensagens de erro em firewalls,
entre outras, devem estar disponíveis. Além disso, é vital sensibilizar e capacitar

proativamente servidores, funcionários e colaboradores para identificar e relatar possíveis
vazamentos de dados.
Preparação:
A resposta a um incidente requer decisões rápidas e execução ágil. Dada a margem
estreita para erros, a prática regular de procedimentos de emergência e a medição dos
tempos de resposta são cruciais. Essa abordagem permite desenvolver uma metodologia
que promove agilidade e precisão, minimizando o impacto da falta de recursos e os danos
potenciais causados pelo comprometimento de sistemas e processos.
Contenção:
Após a identificação de um incidente, é imperativo contê-lo e, se necessário, isolá-lo
para evitar impactos adicionais em outros sistemas e processos. Esta etapa inclui medidas
de contenção de curto prazo, backup do sistema, contenção a longo prazo, entre outras.
Durante essa fase, a documentação e registro do incidente devem ocorrer
simultaneamente, evitando a destruição ou perda de evidências.
Erradicação:
Após a contenção da ameaça, a próxima etapa envolve a remoção da ameaça e a
restauração dos sistemas/processos afetados ao estado original anterior ao incidente.
Recuperação:
Nesta etapa, os sistemas/processos afetados passam por testes e validações antes
de retornar ao ambiente de produção ou ao fluxo normal, assegurando que nenhuma
ameaça persista.
Preceitos assimilados (Lições aprendidas):
Esta etapa visa atualizar o Plano de Respostas a Incidentes com as ações realizadas,
contribuindo para o aprendizado da equipe e facilitando futuras intervenções em
incidentes.
Documentação do Incidente:
O incidente deve ser documentado de forma abrangente, incluindo todas as ações
implementadas nas etapas anteriores e as lições aprendidas.

Comunicações:
A ocorrência de incidentes de segurança com potencial risco ou dano significativo
aos titulares deve ser comunicada à Autoridade Nacional de Proteção de Dados (ANPD) e ao
titular afetado. Dependendo da situação, as informações à ANPD podem ser fornecidas por
meio de solicitações, comunicações ou auditorias, com o objetivo principal de demonstrar a
conformidade (ou intenção de conformidade) da Entidade com as exigências da lei.

DESCRIÇÃO DO PROCESSO
Início/Detecção
1. A notificação de um novo incidente ocorre quando uma pessoa, interna ou externa ao
LABORATÓRIO PAULO RAGONE, comunica a ocorrência ou quando um alarme da
monitoração é acionado. A comunicação inicial do incidente pode se originar de diversas
fontes, como e-mails, telefonemas e sistemas internos (incluindo notificações feitas pelo
Encarregado no caso de notificação pelo titular dos dados pessoais). É imperativo
registrar todas essas comunicações diretamente por meio do Notificador.
Triagem
2. A notificação é recebida pelo Acionador, que desempenha o papel de Encarregado de
Dados do LABORATÓRIO PAULO RAGONE. Nessa fase, o Acionador realiza uma avaliação
preliminar do incidente e determina se é necessário formar um Time de Resposta a
Incidentes (TRI) para conduzir a avaliação. Notificações sem relevância ou claramente
improcedentes são descartadas. Se a formação do TRI não for necessária, o Acionador
assume as fases subsequentes descritas no fluxo do processo que, de outra forma,
seriam de responsabilidade do TRI.
3. Durante a avaliação preliminar, busca-se obter informações sobre os sistemas/processos
supostamente impactados, avalia-se a criticidade, identificam-se os danos aparentes e
avalia-se o risco de a situação se agravar sem uma resposta imediata.
4. Com base na avaliação preliminar, incidentes que não envolvem sistemas online e que
não apresentam riscos significativos pela falta de ação imediata podem ser
encaminhados para os trâmites regulares dos setores pertinentes da Autarquia.
Avaliação

Nesta etapa, inicia-se uma avaliação mais aprofundada do incidente pelo DPO/TRI,
classificando-o e determinando sua criticidade.
A criticidade do incidente pode ser categorizada de acordo com as seguintes
classificações:

CONTEXTUALIZAÇÃO
A Lei nº 13.709/2018, Lei Geral de Proteção de Dados – LGPD, tem como um de seus pilares centrais a implementação de medidas de Segurança da Informação que podem trazer às entidades públicas e privadas, uma cultura de maior conscientização na área. A
LGPD considera que, mais grave do que sofrer um ataque ou passar por um vazamento de dados, é não se prevenir e nem adotar as medidas e práticas necessárias e possíveis para a
proteção dos seus dados e de todos os que são afetados por eventuais acessos não autorizados.
A atividade de conformidade com as disposições da Lei Geral de Proteção de Dados (LGPD) não se limita à implementação de medidas tecnológicas e padrões de segurança.
Abrange também a elaboração, manutenção e revisão de documentos que não apenas
asseguram a conformidade com a mencionada lei, mas também contribuem para uma maior
organização e otimização dos processos internos. Além disso, essas medidas visam proteger
a entidade, sua reputação, seus servidores, usuários dos serviços prestados e parceiros.
Na Era Tecnológica, onde os computadores pessoais são amplamente populares e o
acesso à internet é facilmente alcançável, observamos uma crescente dependência de
processos digitais para a manutenção de modelos de negócios e o cumprimento de
obrigações legais. Embora a informatização desses processos proporcione praticidade,
redução de custos e economia de tempo, ela também acarreta riscos de segurança que não
podem ser negligenciados. Com tempo e recursos adequados, qualquer sistema pode ser
vulnerável a comprometimentos.
Considerando esses aspectos, torna-se essencial a elaboração de estratégias e planos
para o controle de danos, destacando a importância dos Planos de Respostas a Incidentes
de Segurança em Dados Pessoais. Incidente de segurança é definido como uma violação da
segurança que, de modo acidental ou ilícito, resulta na destruição, perda, alteração,
divulgação ou acesso não autorizados a dados pessoais transmitidos, armazenados ou
sujeitos a qualquer outro tipo de tratamento.
A Resposta a Incidentes é o processo que delineia como uma organização deve lidar
com incidentes de segurança, seja um ataque cibernético, violação de dados, presença de
aplicativos maliciosos (como vírus) ou violações das políticas e padrões de segurança da

entidade, entre outros. O objetivo é minimizar os danos causados pelo incidente, reduzir o
tempo de ação e os custos de recuperação.
O Plano de Respostas a Incidentes (PRI) constitui um documento interno que deve
ser amplamente familiarizado por todos os servidores, funcionários e colaboradores. Ele
detalha as medidas a serem adotadas no caso de um Incidente de Segurança em Dados
Pessoais. O LABORATÓRIO PAULO RAGONE, sendo uma entidade de direito privado,
especialmente no âmbito de saúde, deve observar cuidados adicionais devido à legislação
que confere proteção diferenciada aos dados sensíveis, incluindo os dados de saúde, com
bases legais específicas para seu tratamento (art. 11).
Nesse contexto, o Plano de Respostas a Incidentes (PRI) do LABORATÓRIO PAULO
RAGONE visa orientar a organização na resposta eficiente a situações de emergência e
exceção, garantindo a integridade dos sistemas, a proteção de informações e a privacidade
dos titulares de dados.

OBJETIVO, ABRANGÊNCIA E VIGÊNCIA DO PLANO DE RESPOSTAS A INCIDENTES (PRI) DO
LABORATÓRIO PAULO RAGONE
O propósito fundamental deste Plano é guiar o LABORATÓRIO PAULO RAGONE na
resposta à situações de emergências e exceção, de maneira documentada, formal, ágil e
confiável. Além disso, visa preservar as evidências que possam contribuir para prevenir
novos incidentes e cumprir as exigências legais de comunicação e transparência.
Dentro deste Plano de Respostas a Incidentes (PRI), serão definidas as funções e
responsabilidades tanto individuais quanto de equipes. Serão também delineadas as
medidas a serem implementadas para assegurar que o LABORATÓRIO PAULO RAGONE
responda de maneira apropriada a um incidente, mantendo sempre o compromisso com a
integridade dos sistemas/processos, proteção de informações e privacidade dos titulares, a
fim de garantir a confiabilidade contínua dos serviços oferecidos.
Este PRI é aplicável em qualquer caso de incidentes envolvendo Dados Pessoais e
deve ser seguido em conjunto com outras políticas do LABORATÓRIO PAULO RAGONE por
todas as áreas, colaboradores e prestadores de serviços que possam ter acesso às
informações, arquivos e dados sob a responsabilidade da entidade.

A entrada em vigor do PRI do LABORATÓRIO PAULO RAGONE ocorrerá na data de
sua publicação, permanecendo em vigor por tempo indeterminado. Este plano pode ser
revisado e alterado conforme necessário, sempre que houver identificação de tal
necessidade.

TERMOS E DEFINIÇÕES
 Agentes de Tratamento: Representa a união do controlador, responsável pelas
decisões sobre o tratamento de dados, e do operador, que realiza efetivamente o
tratamento. Importante notar que servidores ou equipes de trabalho não são
considerados controladores ou operadores, uma vez que atuam sob a direção do
agente de tratamento.
 Anonimização: Refere-se à aplicação de meios técnicos que, de maneira razoável e
disponível, tornam um dado incapaz de ser associado, direta ou indiretamente, a um
indivíduo. Esse processo contribui para a privacidade e segurança dos dados.
 Ataque: Trata-se de um evento onde vulnerabilidades são exploradas. Pode ocorrer
quando um atacante busca realizar ações maliciosas, como invadir sistemas, acessar
informações confidenciais ou tornar um serviço inacessível. A prevenção e detecção
de ataques são essenciais para a segurança da informação.
 Autoridade Nacional de Proteção de Dados – ANPD: Órgão da administração pública
nacional encarregado de fiscalizar e garantir o cumprimento da Lei Geral de Proteção
de Dados em todo o território nacional. Sua atuação é fundamental para assegurar a
conformidade das organizações com as normas de proteção de dados.
 Controlador: Refere-se a pessoa física ou jurídica, de direito público ou privado, que
toma decisões relacionadas ao tratamento de dados pessoais. É o responsável pela
definição dos propósitos e meios do tratamento, assumindo a liderança nas práticas
de privacidade.
 Dados Pessoais: Englobam qualquer informação relacionada a um indivíduo que
possa ser utilizada para identificá-lo, direta ou indiretamente. Inclui dados como
nome, endereço, telefone, entre outros, sendo essencial seu tratamento com
respeito à privacidade.

 Dados Pessoais Sensíveis: Consistem em informações que abordam a origem racial
ou étnica, convicção religiosa, prática ou orientação sexual, dados médicos ou de
saúde, informações genéticas ou biométricas, crenças políticas ou filosóficas, filiação
política ou sindical, número do seguro social, número da carteirinha do plano de
saúde e dados bancários. Esses dados demandam cuidados especiais devido à sua
natureza mais sensível.
 Encarregado ou Data Protection Officer (DPO): Pessoa física designada pelo
controlador para garantir a conformidade com a legislação de proteção de dados.
Atua como canal de comunicação entre o controlador, os titulares dos dados e a
Autoridade Nacional de Proteção de Dados (ANPD).
 GT LGPD LABORATÓRIO PAULO RAGONE: Grupo de Trabalho estabelecido pela
Portaria P nº 55/2020 com o propósito de implementar as disposições da Lei Geral
de Proteção de Dados. Contribui para a aplicação efetiva dos princípios e normas da
LGPD no contexto específico do LABORATÓRIO PAULO RAGONE.
 Incidente: Refere-se a qualquer ato, suspeita, ameaça ou circunstância que
comprometa a confidencialidade, integridade ou disponibilidade de informações em
posse do LABORATÓRIO PAULO RAGONE ou que ela venha a ter acesso. A
identificação e resposta rápida a incidentes são cruciais para a segurança da
informação.
 IP (Protocolo da Internet): Número utilizado para identificar dispositivos de
tecnologia da informação em uma rede ou Internet. Essa identificação é
fundamental para o roteamento eficiente de dados, sendo parte integrante da
comunicação na internet.
 LGPD: Sigla que identifica a Lei Geral de Proteção de Dados, Lei nº 13.709/2018, que
estabelece regras e princípios para o tratamento de dados pessoais no Brasil. Sua
implementação é crucial para garantir a proteção da privacidade e segurança dos
dados.
 Log: Processo de registro de eventos relevantes em um sistema computacional. A
análise de logs é uma prática essencial para a detecção de atividades suspeitas e
manutenção da integridade dos sistemas.
 Operador: Pessoa física ou jurídica, de direito público ou privado, que realiza o
tratamento de dados em nome do controlador. Essa distinção é importante para

definir as responsabilidades e obrigações de cada parte envolvida no tratamento de
dados.
 Sistemas: Compreendem hardware, software, rede de dados, armazenador de
mídias e outros componentes utilizados pelo LABORATÓRIO PAULO RAGONE para
apoiar suas atividades. O controle e proteção desses sistemas são cruciais para a
segurança da informação.
 Tratamento: Refere-se a qualquer operação ou conjunto de operações efetuadas
sobre os dados, incluindo coleta, gravação, organização, estruturação, alteração,
uso, acesso, divulgação, cópia, transferência, armazenamento, exclusão,
combinação, restrição, adaptação, recuperação, consulta, destruição ou
anonimização. O tratamento adequado assegura a conformidade com a legislação de
proteção de dados.
 Vazamento de Dados: Consiste em qualquer quebra de sigilo ou disseminação de
dados que pode resultar, criminosamente ou não, na perda, alteração,
compartilhamento, acesso, transmissão, armazenamento ou processamento não
autorizado de dados. A prevenção e resposta eficaz a vazamentos são essenciais
para proteger a privacidade dos indivíduos e a integridade dos dados.
 Violação de Privacidade: Refere-se a qualquer violação à legislação aplicável ou
conduta e evento que resulte na destruição acidental ou ilícita dos dados, bem como
na sua perda, roubo, alteração, divulgação ou acesso não autorizado, danos ou
desvio de finalidade em seu tratamento. A prevenção e gestão de violações são
fundamentais para a preservação da confiança e integridade dos dados pessoais.
 Vírus: Programa ou parte de um programa de computador, geralmente malicioso,
que se propaga inserindo cópias de si mesmo e se tornando parte de outros
programas e arquivos. A detecção e proteção contra vírus são essenciais para a
segurança dos sistemas de informação.

ATORES E RESPONSABILIDADES
Cada departamento dentro da estrutura organizacional do LABORATÓRIO PAULO
RAGONE assume responsabilidades específicas ao lidar com a ocorrência ou mesmo a
suspeita de um incidente, sendo imperativo comunicar imediatamente a incidência ao Time

de Resposta do LABORATÓRIO PAULO RAGONE. As funções designadas para este propósito
são as seguintes:
 Notificador: Esta entidade pode ser uma pessoa ou um sistema de monitoramento
encarregado de comunicar a detecção do incidente.
 Acionador(es): Responsável por receber as notificações e conduzir o tratamento
inicial, realizando a triagem do incidente.
 Time de Resposta a Incidentes (TRI): Este grupo é composto por colaboradores do
LABORATÓRIO PAULO RAGONE que possuem habilidades, acesso, responsabilidades,
treinamento e conhecimentos necessários para responder a uma variedade de
incidentes. O TRI é designado de acordo com as características específicas de cada
incidente e inclui o Encarregado de Dados (DPO) e servidores de outras áreas com
especialização no tema ou cujos processos tenham sido impactados pelo incidente.
 Responsável por Sistema: Indivíduo capacitado a propor soluções de resposta, além
de autorizar ou vetar procedimentos de emergência relacionados ao sistema
afetado.
 Responsável por Processo ou Negócio: Gerente ou chefe de setor identificado na
estrutura organizacional, com a capacidade de sugerir soluções de resposta a serem
avaliadas pelo TRI.
 GT LGPD LABORATÓRIO PAULO RAGONE: Esta é a principal instância decisória no
que diz respeito ao tratamento de Dados Pessoais no LABORATÓRIO PAULO
RAGONE. O GT LGPD responde diretamente ao Presidente e desempenha um papel
fundamental na definição das estratégias e ações relacionadas à proteção de dados.

MACRO ETAPAS DO PROCESSO
Este Plano de Resposta a Incidentes segue uma estrutura organizada, abordando as
seguintes macroetapas:
Identificação:
A detecção eficaz de qualquer Incidente de Segurança é crucial para a
implementação bem-sucedida do Plano de Respostas. Medidas essenciais, como
ferramentas de monitoramento, registros de eventos, mensagens de erro em firewalls,
entre outras, devem estar disponíveis. Além disso, é vital sensibilizar e capacitar

proativamente servidores, funcionários e colaboradores para identificar e relatar possíveis
vazamentos de dados.
Preparação:
A resposta a um incidente requer decisões rápidas e execução ágil. Dada a margem
estreita para erros, a prática regular de procedimentos de emergência e a medição dos
tempos de resposta são cruciais. Essa abordagem permite desenvolver uma metodologia
que promove agilidade e precisão, minimizando o impacto da falta de recursos e os danos
potenciais causados pelo comprometimento de sistemas e processos.
Contenção:
Após a identificação de um incidente, é imperativo contê-lo e, se necessário, isolá-lo
para evitar impactos adicionais em outros sistemas e processos. Esta etapa inclui medidas
de contenção de curto prazo, backup do sistema, contenção a longo prazo, entre outras.
Durante essa fase, a documentação e registro do incidente devem ocorrer
simultaneamente, evitando a destruição ou perda de evidências.
Erradicação:
Após a contenção da ameaça, a próxima etapa envolve a remoção da ameaça e a
restauração dos sistemas/processos afetados ao estado original anterior ao incidente.
Recuperação:
Nesta etapa, os sistemas/processos afetados passam por testes e validações antes
de retornar ao ambiente de produção ou ao fluxo normal, assegurando que nenhuma
ameaça persista.
Preceitos assimilados (Lições aprendidas):
Esta etapa visa atualizar o Plano de Respostas a Incidentes com as ações realizadas,
contribuindo para o aprendizado da equipe e facilitando futuras intervenções em
incidentes.
Documentação do Incidente:
O incidente deve ser documentado de forma abrangente, incluindo todas as ações
implementadas nas etapas anteriores e as lições aprendidas.

Comunicações:
A ocorrência de incidentes de segurança com potencial risco ou dano significativo
aos titulares deve ser comunicada à Autoridade Nacional de Proteção de Dados (ANPD) e ao
titular afetado. Dependendo da situação, as informações à ANPD podem ser fornecidas por
meio de solicitações, comunicações ou auditorias, com o objetivo principal de demonstrar a
conformidade (ou intenção de conformidade) da Entidade com as exigências da lei.

DESCRIÇÃO DO PROCESSO
Início/Detecção
1. A notificação de um novo incidente ocorre quando uma pessoa, interna ou externa ao
LABORATÓRIO PAULO RAGONE, comunica a ocorrência ou quando um alarme da
monitoração é acionado. A comunicação inicial do incidente pode se originar de diversas
fontes, como e-mails, telefonemas e sistemas internos (incluindo notificações feitas pelo
Encarregado no caso de notificação pelo titular dos dados pessoais). É imperativo
registrar todas essas comunicações diretamente por meio do Notificador.
Triagem
2. A notificação é recebida pelo Acionador, que desempenha o papel de Encarregado de
Dados do LABORATÓRIO PAULO RAGONE. Nessa fase, o Acionador realiza uma avaliação
preliminar do incidente e determina se é necessário formar um Time de Resposta a
Incidentes (TRI) para conduzir a avaliação. Notificações sem relevância ou claramente
improcedentes são descartadas. Se a formação do TRI não for necessária, o Acionador
assume as fases subsequentes descritas no fluxo do processo que, de outra forma,
seriam de responsabilidade do TRI.
3. Durante a avaliação preliminar, busca-se obter informações sobre os sistemas/processos
supostamente impactados, avalia-se a criticidade, identificam-se os danos aparentes e
avalia-se o risco de a situação se agravar sem uma resposta imediata.
4. Com base na avaliação preliminar, incidentes que não envolvem sistemas online e que
não apresentam riscos significativos pela falta de ação imediata podem ser
encaminhados para os trâmites regulares dos setores pertinentes da Autarquia.
Avaliação

Nesta etapa, inicia-se uma avaliação mais aprofundada do incidente pelo DPO/TRI,
classificando-o e determinando sua criticidade.
A criticidade do incidente pode ser categorizada de acordo com as seguintes
classificações: