Toda perícia pode movimentar uma cadeia de dados sensíveis: a empresa envia informações à seguradora, que pode trocar dados com a operadora de saúde, enquanto documentos e dados de saúde podem ser acessados pelo prestador de perícia.
Um problema em qualquer etapa pode comprometer a segurança de toda a cadeia.
Por isso, o compartilhamento de dados sensíveis na LGPD exige finalidade definida, hipótese legal adequada, minimização dos dados, responsabilidades claras e medidas de segurança proporcionais aos riscos.
O que são dados sensíveis na LGPD?
O art. 5º, II, da Lei Geral de Proteção de Dados Pessoais (LGPD) considera sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde ou vida sexual, além de dados genéticos e biométricos.
No ambiente corporativo, essas informações podem circular em regulação de sinistros, perícias médicas e técnicas, auditorias, assistência técnica e processos judiciais ou administrativos.
O art. 11 da LGPD estabelece hipóteses específicas para o tratamento de dados sensíveis, como cumprimento de obrigação legal ou regulatória, tutela da saúde, exercício regular de direitos e consentimento específico, quando aplicável.
Quem compartilha dados sensíveis e qual base legal pode ser aplicada?
O compartilhamento de dados sensíveis pode ocorrer entre empresas, seguradoras, operadoras de saúde e prestadores de perícia, mas a hipótese legal não é definida apenas pela existência de um contrato.
É necessário considerar a finalidade do tratamento, os dados envolvidos e as circunstâncias da operação, verificando qual hipótese do art. 11 da LGPD pode ser aplicada.
Qual é a diferença entre controlador e operador na LGPD?
O controlador toma as principais decisões sobre o tratamento, enquanto o operador trata os dados em nome do controlador. Essa classificação deve considerar as funções efetivamente exercidas.
Contratos e instrumentos específicos devem definir finalidade, acesso, confidencialidade, segurança, retenção, descarte e resposta a incidentes. A definição clara de papéis ajuda a organizar responsabilidades em toda a cadeia.
Como reduzir os riscos do compartilhamento?
O princípio da necessidade exige que sejam tratados apenas os dados necessários à finalidade definida. Antes de enviar documentos para seguradoras, operadoras ou empresas de perícia, é importante avaliar quais informações realmente precisam ser acessadas.
Controles de acesso por finalidade, confidencialidade, medidas de segurança, retenção e descarte seguro reduzem a exposição dos titulares.
Também é recomendável avaliar terceiros antes do compartilhamento, verificando políticas de proteção de dados, controles de segurança, responsabilidades contratuais, procedimentos para incidentes e treinamento das equipes.
RIPD: quando ele pode ser recomendado?
O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) documenta tratamentos que podem gerar riscos relevantes aos direitos e liberdades dos titulares e registra medidas de mitigação.
O tratamento de dados sensíveis não torna o RIPD obrigatório em todas as situações. A necessidade depende das características, do contexto e dos riscos da operação, considerando as orientações aplicáveis da Agência Nacional de Proteção de Dados (ANPD).
Perguntas frequentes sobre dados sensíveis na LGPD
1. Dados de saúde são considerados dados sensíveis?
Sim. A LGPD classifica dados referentes à saúde como dados pessoais sensíveis.
2. É permitido compartilhar dados sensíveis entre empresas?
Sim, desde que exista hipótese legal aplicável, finalidade legítima e observância dos princípios e requisitos da LGPD.
3. Um contrato autoriza automaticamente o compartilhamento de dados sensíveis?
Não. O tratamento deve estar enquadrado em uma das hipóteses específicas do art. 11.
4. O que verificar antes de compartilhar dados sensíveis com um terceiro?
É recomendável verificar finalidade, hipótese legal, necessidade dos dados, responsabilidades, controles de acesso, segurança, retenção, descarte e procedimentos para incidentes.
5. Todo tratamento de dados sensíveis exige RIPD?
Não. A necessidade depende das características e dos riscos da operação.
6. Como reduzir riscos no compartilhamento de dados de saúde?
Com a minimização dos dados, controle de acesso, medidas de segurança, definição de responsabilidades, contratos adequados, retenção e descarte seguro.
Principais pontos sobre dados sensíveis na LGPD
- Dados de saúde são dados sensíveis e exigem análise do art. 11 da LGPD.
- Contratos não autorizam automaticamente o compartilhamento.
- Controlador e operador devem ter papéis e responsabilidades definidos.
- O compartilhamento deve se limitar aos dados necessários.
- Segurança, controle de acesso e avaliação de terceiros reduzem riscos.
- O RIPD pode ser relevante em tratamentos de maior risco.
Como a ExperMed contribui para a proteção de dados?
Na realização de perícias médicas e técnicas, assistência técnica judicial, perícia administrativa, regulação de sinistros e análises de despesas médicas e hospitalares, a ExperMed pode lidar com informações pessoais e dados de saúde.
A Política Corporativa de Privacidade e Governança de Dados Pessoais, a formalização das relações com parceiros e prestadores, o controle de acesso conforme a finalidade e a atuação do Encarregado de Dados integram a estrutura de governança aplicável à proteção dessas informações.
Sua empresa sabe qual hipótese legal ampara cada dado sensível que compartilha?
Conte com a ExperMed para soluções especializadas em perícias médicas e técnicas, assistência técnica judicial, perícia administrativa e processos que envolvem informações técnicas e protegidas.
