LEIA MAIS: Blog Solere: A LGPD e o tratamento de dados sensíveis

De acordo com a Prefeitura, no dia 11.07.2020, a Secretaria de Saúde do Município abriu um processo administrativo para apurar e punir os responsáveis pela divulgação dos dados sigilosos. A denúncia do vazamento surgiu após um paciente relatar que recebeu uma ligação de uma amiga questionando sobre o seu estado de saúde após identificar seu nome na lista. A paciente, por sua vez, relatou ter se sentido constrangida com a divulgação da informação.

O Secretário de Saúde do Munício também se manifestou alertando que a divulgação de dados de saúde sem o consentimento dos pacientes e do município é ilegal, bem como o seu compartilhamento. Além disso, se desculpou pelo ocorrido, prometendo “punição exemplar” aos responsáveis pelo vazamento. As listas com tais informações ficariam sob a responsabilidade dos profissionais de saúde encarregados do encaminhamento dos pacientes aos hospitais. 

LEIA MAIS: Blog Solere: A LGPD e a responsabilidade dos agentes com os dados pessoais

O Ministério da Saúde orienta que a divulgação ou compartilhamento de dados pessoais de pacientes, desrespeitando o sigilo das informações, é passível de ação penal. No entanto, de acordo com a emissora RCP que noticiou o vazamento, até a publicação da reportagem em 12.07.2020, não havia obtido qualquer retorno da Polícia Civil sobre a instauração de procedimento de apuração do incidente.

A Lei Geral de Proteção de Dados Pessoais considera os dados referentes à saúde como dados pessoais sensíveis, aos quais deve ser aplicado um tratamento diferenciado. De acordo com o artigo 11 da LGPD, os dados pessoais sensíveis somente podem ser tratados com o consentimento específico do titular ou, sem consentimento, nas situações em que forem considerados como indispensáveis. 

LEIA MAIS: Blog Solere: Vazamento de dados de site de curso preparatório para a OAB

Fonte: G1

Este clipping de notícias é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

A Cingapura é o país que tem o maior número de casos de coronavírus no sudeste da Ásia, mas o investimento pesado em equipamentos, instalações e profissionais impediu que os seus serviços de saúde ficassem sobrecarregados. Segundo o relatório, os investimentos recentes em inteligência artificial, bem como em serviços digitais, como o aplicativo TraceTogether, auxiliaram o combate ao vírus.

Além disso, o país também se saiu bem, devido a uma população disciplinada e ordeira, segundo o relatório. “Isso, em combinação com as severas penalidades impostas por violar os mandatos de quarentena e de distanciamento social, ajudou a reduzir o risco geral de disseminação de infecções”.

No Brasil, uma plataforma colaborativa de geolocalização busca estimar a incidência de Covid-19 no país. A plataforma mapeia o risco de infecção em diferentes partes do país a partir de dados que possibilitam identificar a probabilidade de contaminação na sua rua ou bairro.

O projeto se chama “Juntos contra o Covid” e foi criado em março por pesquisadores da Universidade Federal do Paraná. A ferramenta é gratuita e o mapa é elaborado a partir de formulários respondidos anonimamente na internet, com perguntas simples sobre o estado de saúde, contato com outras pessoas infectadas e viagens recentes ao exterior. A partir das respostas, um algoritmo validado pelo Ministério da Saúde e pela Fundação Oswaldo Cruz calcula o risco de infecção.

De acordo com os seus criadores, apesar de não ser baseada em dados dos órgãos públicos, a plataforma colaborativa mostra dados parecidas com as informações oficiais. Inicialmente, o aplicativo foi testado em Curitiba e expandiu-se com informações de todo o Brasil, com o auxílio da Amazon e de outras empresas de tecnologia.

Fonte: The Straits Times e Estado de Minas

Este clipping de notícias é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Antes da coleta

– Reflita sobre os diferentes tipos de dados que deverão ser coletados antes de configurar um aplicativo e documente a reflexão.

– Se dados específicos não são necessários para uma determinada categoria de pessoas não faça essa coleta.

– Processe e armazene os dados de maneira a reduzir sua precisão, como pseudonimização. Por exemplo, armazene apenas o ano de nascimento ao invés da data de nascimento completa, caso o aplicativo só precise do ano.

Veja também: Blog Solere: A LGPD e o princípio do livre acesso na coleta de dados

– Em caso de coleta de dados sensíveis, por exemplo aqueles relativos à saúde ou a condenações criminais, certifique-se de coletar apenas o mínimo necessário.

Devido a maior proteção da Lei aos dados sensíveis e, consequentemente, a maior regulamentação, o melhor é, sempre que possível, não coletar esse tipo de dados.

– Minimize a quantidade de dados coletados que são registrados e não armazene dados sensíveis ou críticos (por exemplo dados relativos à saúde, senhas, etc.)

Veja também: Blog Solere: O que a LGPD prevê sobre reconhecimento facial?

– Certas funcionalidades, apesar de não essenciais ao bom funcionamento do aplicativo, permitem que o usuário tenha uma experiência melhor. Nesse caso, o usuário final deve poder escolher poder usar ou não esse recurso. Se optar por usar, os dados coletados para a operação devem ser conservados pelo mínimo necessário para aquele fim. E, não é possível usar esses dados para fins diversos.

– Associe os períodos de conservação de dados a categoria na qual se enquadra o dado, a finalidade do tratamento e das obrigações legais.

Após a coleta

– Use um sistema de limpeza automática ao final do prazo de conservação dos dados. Também é possível configurar revisões manuais dos dados armazenados de maneira periódica.

– Para garantir a eliminação completa, apague fisicamente todos os dados que não são mais necessários usando ferramentas especializadas ou destruindo a mídia física.

Veja também: Blog Solere: A LGPD e o princípio da limitação da conservação de dados

– Se os dados ainda são úteis, é possível reduzir a sua sensibilidade realizando a pseudonimização ou a anonimização deles. Lembrando que mesmo realizando a pseudonimização os dados pessoais continuarão sujeito a proteção da LGPD.

– Registre os procedimentos de exclusão automática de dados. Esses registros podem ser usados, eventualmente, como prova da exclusão.

Em conclusão, este texto procura tratar sobre quais os princípios que norteiam a coleta de dados de usuários de acordo com as novas regras da LGPD. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

O usuário do aplicativo móvel pode verificar sua própria temperatura, saturação de oxigênio e pulso. Essas informações são disponibilizadas às autoridades locais que, assim, tomam medidas com aqueles que são suspeitos de estarem infectados.

Além disso, o aplicativo (em parceria com empresas de telecomunicações e cartão de crédito) possui outras ferramentas como o rastreamento das pessoas através da verificação do GPS de seus telefones e o acesso às informações de cartão de crédito para verificar onde estiveram nas suas últimas compras. No entanto, a ferramenta mais importante do aplicativo é o monitoramento dos movimentos das pessoas através da utilização do sistema CCTV¹. Com o cruzamento e revisão de todos esses dados, foi possível verificar onde cada pessoa estava durante os últimos dias e saber se houve ou não contato com o vírus.

A Coreia do Sul, ainda em fevereiro, tomou rapidamente medidas para limitar a propagação do vírus. Com a utilização do aplicativo, o governo sul-coreano, até o dia 10 de fevereiro, realizou cerca de 3 mil testes por dia. E, no dia 14 de maio, o vírus matou um pouco mais de 250 pessoas no país (número muito abaixo se comparado a países como EUA e Itália). Conseguindo, assim, conter a propagação do vírus de forma eficaz.

No documentário, a Dra. Alice Tan, especialista em Medicina Interna, comentou que a eficiência das autoridades coreanas não foi devida a dedicação dos profissionais de saúde ou a qualidade dos cuidados médicos serem superiores a outros países. Ela acredita que a eficiência veio da rapidez dos diagnósticos aliada a tomada de medidas de isolamento e tratamento precoce.  

O jornalista Krishnan Guru-Murthy, do canal Channel 4, relatou as táticas agressivas utilizadas pelos sul-coreanos para o combate ao COVID-19 e afirmou que a maneira de sondar a vida privada dos pacientes foi extraordinária. Após essa análise, percebe-se que a privacidade dos cidadãos coreanos saiu pela janela. No entanto, no próprio documentário quando perguntaram a um coreano como ele se sentia em relação à medidas extremas de utilização de dados pessoais por autoridades, ele respondeu “Os coreanos priorizam sua segurança mais do que sua privacidade.”

Fontes: Channel 4 (1), Channel 4 (2), Radio Times e Revista Monet

Este clipping de notícias é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Ocorre que certas atividades essenciais só podem funcionar com a presença física de seus empregados em seus ambientes convencionais de trabalho, tornando-os, portanto, mais expostos ao vírus.

Estudos do Laboratório do Futuro da Coppe/UFRJ e LABORE, divulgados pelo jornal O Globo no último dia 05 de abril, analisaram a exposição ao coronavírus de diversas profissões e concluíram que dezoito milhões de trabalhadores possuem risco “significativo” de contaminação pelo Covid-19 em razão das funções que exercem.  

Frente a essa realidade, empresas responsáveis buscam soluções para melhor proteger seus prestadores de serviços (empregados ou não) e conter a disseminação do vírus. 

Apresentaremos a seguir a principais soluções que estão sendo apresentadas para estas empresas no mercado, bem como nossas orientações para o tratamento de dados pessoais nesse cenário.

1 – AS SOLUÇÕES PARA CONTER A EXPANSÃO DO COVID-19

Até o momento, a melhor solução na contenção da pandemia tem sido o confinamento, isto é, a permanência em casa,  a adoção do Home Office com a comunicação com as equipes sendo realizada principalmente por meio de vídeo conferência.

Com relação ao pessoal que, pela natureza de sua função, deve se deslocar por locais expostos ao vírus (ex.: hospital; supermercado; transporte público; aeroporto), as empresas buscam soluções para limitar o contato com pessoas de risco.

Trata-se (i) de identificar os prestadores com maior risco de contágio através de questionários e sistemas de identificação de sintomas e (ii) de limitar os riscos de contaminação através de maior controle dos agrupamentos.

Algumas plataformas estão sendo propostas no mercado, tal como o aplicativo TraceTogether, utilizado pelas Autoridades Públicas de Singapura.

TraceTogether  busca rastrear o vírus da seguinte forma:

(i)               as pessoas que aceitam o uso da TraceTogether, escolhem opt-in no seu smartphone;

(ii)              todos os smartphones usando o aplicativo TraceTogeteher em opt in, se registram entre si quando se cruazam por alguns centímetros, por alguns minutos, nos últimos 21 dias. Os dispositivos se registram entre si usando a tecnologia bluetooth, sendo que as informações são conservadas nos smartphones por apenas 21 dias;

(iii)            quando uma pessoa que usou o TraceTogether é testada positiva ao vírus, todas as pessoas que ele cruzou nos últimos 21 (vinte um) dias, e que usaram tambem o app TraceTogether, recebem um aviso informando que tiveram contato com uma pessoa positiva, e são convidadas a fazer um teste.

A privacidade e a proteção dos dados são preservadas na medida em que os dados são (i) criptografados; (ii) a tecnologia Bluetooth não localiza as pessoas e (iii) a identidade da pessoa contaminada pelo vírus não é informada.

Além dessa tecnologia que serve para apoiar as Autoridades Públicas, outras soluções são oferecidas para as empresas. No Brasil, por exemplo, a empresa carioca CYBERLABS oferece gestão de risco de contaminação por meio de dois produtos com propósito de conter a expansão do vírus:

1. MONITORAMENTO NA HORA DA CHEGADA DO EMPREGADO (produto KEY), através de reconhecimento facial por QR Code, câmera CCTV ou  tablet, uma empresa pode monitorar a entrada, a saída e a circulação das pessoas sem contato físico. O sistema pode incluir a solicitação de informações adicionais tais como preenchimento de um formulário de autoavaliação sintomática para Covid-19 ou medição de temperatura.

O questionário é utilizado apenas para o cálculo do scoring e os dados recolhidos são destruídos assim que o resultado é obtido.

2. ACOMPANHAMENTO DOS AGRUPAMENTOS (PRODUTO INSIGHT): por câmeras CCTV espalhadas pelos locais físicos da empresa, o número de pessoas em ambientes controlados pode ser calculado. Decisões de organização e controle de fluxo podem então ser tomadas.  

Cruzando as informações provenientes dos dois produtos com outras informações, como zonas de riscos (casos diagnosticados COVID-19 pelas sec. de saúde, índice de Isolamento social, dados sociodemográficos entre outros), o grau de risco de contaminação de uma unidade ou de uma pessoa será determinada por meio de um scoring que é informado à empresa.

As imagens recolhidas pelo produto INSIGHT NOW da CYBERLABS são anonimizadas. Isso significa que a gravação das pessoas é destruída e substituída por meras informações sobre a sua concentração e movimentação. 

A CYBERLABS funciona em SAAS (“software as a service”), sendo os dados recolhidos transferidos em cloud da Google ou Amazon, nos Estados Unidos. Todavia, nenhum dado pessoal é transferido, visto que esses dados são anonimizados antes da transferência. (CYBERLABS: Site: cyberlabs.ai ; Referências: Valor Econômico de 30.03.20)

2 – DOS RESQUISITOS DE PROTEÇÃO DA PRIVACIDADE E DADOS PESSOAIS DE ACORDO COM A RGPD (EUROPA) E LGPD (BRASIL).

Trata-se aqui de questão de saúde, sendo que os dados pessoais de saúde são considerados, tanto pelo RGPD quanto pela LGPD, como dados pessoais sensíveis e que só podem ser recolhidos e tratados em condições especiais.

Primeiramente, para recolher dados pessoais de saúde, é necessário obter o consentimento inequívoco do titular destes dados. Neste sentido, quando do uso de um aplicativo como TraceTogether, cada pessoa deve aderir expressamente ao contact tracing, através do opt in do aplicativo. Da mesma forma, o sistema KEY da CYBERLABS não obriga a responder ao questionário sem consentimento prévio.

Vale notar que  o consentimento do titular poderá ser dispensado por obrigação legal ou regulatória. 

Neste sentido a Lei Federal nº13.979 de 06.02.2020 “dispõe sobre as medidas para enfrentamento da emergência de saúde pública de importância internacional decorrente do coronavírus responsável pelo surto de 2019”. Esta lei outorga ao Governo poderes para limitar o direito de ir e vir das pessoas e poderes para obrigar a realização de exames médicos; testes; vacinas e tratamentos médicos específicos; estudos e investigação epidemiológicos; bem como para a requisição de bens ou serviços de pessoas naturais ou jurídicas.

Os artigos 5º e 6º da Lei 13.979/20 dispõe ainda que toda pessoa deve colaborar com as autoridades e comunicar imediatamente (i) possíveis contatos com agentes infecciosos do coronavírus e (ii) a circulação em áreas consideradas como regiões de contaminação pelo coronavírus.

Essa Lei 13.979/20 poderia, em certos casos, legitimar o tratamento de dados pessoais de saúde sem o consentimento do titular dos dados pessoais em questão. Para tanto, a empresa deverá seguir um protocolo particular, sendo que apenas o médico poderá recolher e tratar as informações de saúde e comunicá-las às Autoridades Públicas, sem informação direta à empresa.

É importante esclarecer ainda que os empregados são pessoalmente responsáveis pelo seu comportamento para a preservação da saúde pública. Se eles apresentarem sintomas claros da doença ou se tiverem parentes próximos infectados ou com sintoma, eles deverão pedir auxílio médico. Em caso de omissão, sabendo da sua condição clínica positiva para coronavírus, ele pode ser demitido por justa causa e ainda responder por crime contra a saúde pública (art. 3º, parágrafo 4º da Lei 13.979/20).

Segundo, correlato ao consentimento inequívoco, os titulares de dados devem ser claramente informados sobre o tratamento que será realizado com seus dados. Trata-se do Princípio da transparência.

Terceiro, devem ser recolhidos e tratados apenas os dados necessários, sendo que, na medida do possível, os dados devem ser anonimizados (tornados de tal forma que seja impossível identificar uma pessoa física).

Quarto, os dados devem ser protegidos por um sistema de segurança, tanto informático (ex. criptografia; protocolo TLS; uso de cloud computing seguro e localizados em país adequado) quanto organizacional (o menor número  de operadores possível; com formação específica; usando senha de acesso alterada regularmente);

Quinto, os dados recolhidos devem ser destruídos após um prazo de conservação determinado adequadamente.

Sexto, deve ser implantado um canal de comunicação de fácil acesso para que os usuários possam obter todas as informações desejadas sobre o tratamento de seus dados. 

CONCLUSÃO

Caso estejam interessados em implantar soluções para sua empresa, tais como aquelas apresentadas pela CYBERLABS, podem entrar em contato conosco, que encaminharemos aos fundadores da empresa:

SOLERE DPC

Certificado DPO pela Bureau Veritas France

021 981016151

011 994256137

contato@bsaa.com.br

bertrand.solere@bsaa.com.br