A Autoridade Nacional de Proteção de Dados (ANPD) publicou, em 13 de dezembro de 2023, a primeira edição do Mapa de Temas Prioritários (MTP). Na sequência, a Resolução CD/ANPD 11, de 27 de dezembro de 2023, altera o Anexo I da Portaria ANPD 35, de 4 de novembro de 2022, que torna pública a Agenda Regulatória para o biênio 2023-2024.
Não se sabe ao certo por que a ANPD optou por não abordar, ainda, a saúde. Talvez por conta da própria complexidade que envolve o ecossistema cada vez mais digitalizado e integrado com atores que não possuem licenças sanitárias, mas, ainda assim, tratam dados pessoais sensíveis como os de saúde. Ou, ainda, por uma fragilizada concepção de que na saúde a “autorregulamentação” seria suficiente, por meio da formulação de regras boas práticas e de governança, conforme orientado pelo artigo 50 da LGPD.
A omissão é relevante porque a saúde não escapa às lacunas que permeiam a LGPD. Para começar, ao contrário do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (General Data Protection Regulation, ou GDPR na sigla em inglês), a LGPD não define o conceito de “dados pessoais relativos à saúde”. O conceito do GDPR, disposto no “considerando 35”, engloba também “dados pessoais que, em um primeiro momento, possam não parecer serem de saúde, mas que, dentro de determinado contexto, possam permitir inferir dados relacionados à saúde, como informações sobre a frequência de corridas realizadas por um indivíduo e seus hábitos alimentares”.
É que a saúde se tornou, em vários aspectos, um produto, havendo táticas cada vez mais agressivas e invasivas para se coletar dados pessoais sensíveis,[1] inclusive por atores que não possuem licenças sanitárias e que, portanto, não se enquadram no artigo 11, § 4º, da LGPD e não podem fundamentar o tratamento de dados pessoais sensíveis com base na “tutela da saúde” (art. 11, II, “f” da LGPD). O dispositivo, inclusive, requer a adequada interpretação atualizada ao contexto pós-pandemia, mas não é o objeto aqui.
Definir o conceito de “dado pessoal sensível de saúde” é uma atribuição que não compete, exclusivamente, à ANPD, mas, também, ao Sistema Único de Saúde (SUS) e à iniciativa privada. E não é possível interpretar os efeitos e a implementação da LGPD na saúde sem compreender minimamente o arcabouço das normas que compõem o Direito Sanitário.
O atual modelo de prestação de serviços de saúde do Brasil, corporificado no SUS, é resultado de um processo histórico de redemocratização do país, que teve como ápice de articulação do Movimento Sanitário Brasileiro a 8ª Conferência Nacional da Saúde ocorrida em 1986. O Relatório Final da 8ª Conferência, entre outras propostas, destaca logo no começo o conceito ampliado de saúde[2]. Parte das propostas foram observadas pela Subcomissão de Saúde, Seguridade e do Meio Ambiente da Assembleia Constituinte de 1988[3].
O texto final aprovado pela Constituinte manteve a essência apresentada pela subcomissão. E, assim, surgiu o ramo do Direito Sanitário brasileiro, corporificado na Constituição como sendo um “direito de todos e dever do Estado, garantido mediante políticas sociais e econômicas que visem à redução do risco de doença e de outros agravos e ao acesso universal e igualitário às ações e serviços para sua promoção, proteção e recuperação” (CF, art. 196).
Prevaleceu, também, que a assistência à saúde (médica e hospitalar) é livre à iniciativa privada, nos limites da regulação estatal, e que poderão participar de forma complementar do SUS, segundo diretrizes deste, mediante contrato de direito público ou convênio, tendo preferência as entidades filantrópicas e as sem fins lucrativos (CF, art. 199). É sempre de “relevância pública”, inclusive quando executados pela iniciativa privada, cabendo ao poder público dispor, nos termos da lei, sobre a sua regulamentação, fiscalização e controle, devendo sua execução ser feita diretamente ou através de terceiros e, também, por pessoa física ou jurídica de direito privado (CF, art. 197). Por isso, encontra-se a atuação no rol das atividades que devem ser zeladas pelo Ministério Público (CF art. 129, II). Daí por que, na saúde, é frágil argumentar que a interpretação e a aplicação da LGPD se sustentam, exclusivamente, na “autorregulamentação”.
Muitos artigos da Constituição, não só o da saúde, previam regulamentação, a ser realizada idealmente logo em seguida, no prazo de 180 dias. Em 19 de setembro de 1990, um considerável atraso, foi sancionada a Lei 8.080, que versa sobre as condições para a promoção, proteção e recuperação da saúde, a organização e o funcionamento dos serviços correspondentes, a primeira Lei Orgânica da Saúde[4].
Ela consagra e regulamenta o conceito ampliado de saúde em seu art. 3º ao estabelecer que: “os níveis de saúde expressam a organização social e econômica do País, tendo a saúde como determinantes e condicionantes, entre outros, a alimentação, a moradia, o saneamento básico, o meio ambiente, o trabalho, a renda, a educação, a atividade física, o transporte, o lazer e o acesso aos bens e serviços essenciais”. Dizem respeito também à saúde as ações que se destinam a garantir às pessoas e à coletividade condições de bem-estar físico, mental e social.
Observa-se que saúde, no Brasil, não significa “ausência de doença”, mas um conjunto de fatores determinantes e condicionantes bio-psíquicas econômicas e sociais, cabendo ao Estado conceber políticas socioeconômicas para alcançar os seguintes objetivos: redução do risco de doença e outros agravos, e acesso universal e igualitário às ações e serviços para sua promoção, proteção e recuperação. É à luz deste conceito ampliado que deve ser concebido o conceito de “dado pessoal sensível de saúde”, lembrando que, na saúde, trata-se, também, outras categorias de “dados pessoais sensíveis”, como genéticos, biométricos, origem racial ou étnica, vida sexual, dados referentes à religião, entre outros.
Nesta amplitude que se corrobora a relevância do § 1º do artigo 11 da LGPD vis a vis as técnicas de inferências cada vez mais sofisticadas para tratamento de dados pessoais que, a princípio comuns, podem revelar dados pessoais sensíveis como os tratados na área da saúde (por exemplo, um dado de geolocalização pode revelar que o titular frequenta um serviço que atende portadores de HIV/Aids). Exatamente o entendimento que fragiliza a concepção de que o rol de dados pessoais sensíveis, dispostos no inciso II do art. 5º da LGPD, seria taxativo quando, a depender do caso concreto e do nível das inferências, não é, ao menos na saúde.
Observa-se que o caminho para a interpretação da LGPD na saúde é longo e deve ser traçado à luz do Direito Sanitário, “ramo do Direito que disciplina as ações e serviços públicos e privados de interesse à saúde, formado pelo conjunto de normas jurídicas – regras e princípios – que tem como objetivos a redução de riscos de doenças e de outros agravos e o estabelecimento de condições que assegurem o acesso universal e igualitário às ações e aos serviços de promoção, proteção e recuperação da saúde”[5]. A adequada interpretação da LGPD na saúde à luz das normas sanitárias, além de fortalecer a segurança jurídica no setor como um todo, consolida a proteção de direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
[1] TEFFÉ, Chiara Spadaccini de. Dados Pessoais Sensíveis: qualificação, tratamento e boas práticas, pp. 87-89.
[2] O Relatório encontra-se disponível online em: < https://bvsms.saude.gov.br/bvs/publicacoes/8_conferencia_nacional_saude_relatorio_final.pdf > Acesso em 08 jan. 2024.
[3] Os documentos da Subcomissão de Saúde, Seguridade e do Meio Ambiente da Assembleia Constituinte de 1988 encontram-se disponíveis online em: <https://www2.camara.leg.br/atividade-legislativa/legislacao/Constituicoes_Brasileiras/constituicao-cidada/o-processo-constituinte/comissoes-e-subcomissoes/comissao7/subcomissao7b>. Acesso em 8 jan. 2024.
[4] Mutilada pelos vetos presidenciais, particularmente nos itens relativos ao financiamento e ao controle social. Resultado de negociações, uma nova Lei, a n. 8.142 de 28 de dezembro do mesmo ano, recupera alguns vetos e, hoje, o que conhecemos como a Lei Orgânica da Saúde (LOS) é formada pelo conjunto das leis 8.080 e 8.142. RONCALLI, Angelo Giuseppe. O desenvolvimento das políticas públicas de saúde no Brasil e a construção do Sistema Único de Saúde, p. 34.
[5] AITH, Fernando. Curso de direito sanitário, p. 92.
AITH, Fernando. Curso de direito sanitário. São Paulo: Quartier Latin, 2007.
TEFFÉ, Chiara Spadaccini de. Dados Pessoais Sensíveis: qualificação, tratamento e boas práticas. Idaiatuba/SP: Editora Foco, 2022.
RONCALLI, Angelo Giuseppe. O desenvolvimento das políticas públicas de saúde no Brasil e a construção do Sistema Único de Saúde. Disponível online em: <https://www.professores.uff.br/jorge/wp-content/uploads/sites/141/2017/10/desenv_pol_pub_saude_brasil.pdf>. Acesso em 08 jan. 2024.
8ª CONFERÊNCIA Nacional em Saúde, 17 a 21 de março de 1986. Relatório final. Brasília-DF: Ministério da Saúde-MS, Biblioteca Virtual em Saúde. Disponível em: <https://bvsms.saude.gov.br/bvs/publicacoes/8_conferencia_nacional_saude_relatorio_final.pdf> Acesso em 08 jan. 2024.