“Você recebeu uma nova mensagem” – e agora?

A partir da implantação da Lei Geral de Proteção de Dados (LGPD) no Brasil, o HCFMB apresenta a nova fase do quadro LGPDicas, com a participação do Encarregado de Dados – DPO no âmbito do HCFMB e Diretor do Departamento de Infraestrutura, Marcelo Roberto Martins.

No contexto do tratamento de dados sensíveis na área da saúde, a utilização crescente de aplicativos de comunicação instantânea (Telegram® e WhatsApp®, por exemplo) para discussões sobre casos, segundas opiniões e condutas relacionadas aos pacientes, é uma prática que traz dúvidas à luz da Lei Geral de Proteção de Dados (LGPD). Embora a LGPD não especifique como devem ser utilizadas ferramentas desta categoria, o artigo 46 da Lei reforça o dever dos agentes de tratamento em adotarem medidas de segurança, técnicas e administrativas, capazes de proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Também de acordo com o guia LGPD do CREMESP, publicado em 2023, medidas de segurança devem ser implementadas para garantir a privacidade dos pacientes. O documento faz menção aos artigos 54 e 73 do Código de Ética Médica, que tratam da revelação de informações obtidas no exercício da profissão, destacando a necessidade de autorização do paciente para o compartilhamento de seus dados.

Embora a implementação efetiva de medidas de segurança para proteção de dados possa parecer difícil em relação aos aplicativos, existem diversas boas práticas e estratégias que contribuem na minimização dos riscos de incidentes envolvendo dados pessoais. Algumas delas incluem: configurar senhas ou reconhecimento biométrico/facial para acesso ao smartphone, configuração em duas etapas, restringir o acesso do dispositivo a terceiros, configurar nos grupos de discussão para que as mensagens sejam apagadas automaticamente após a visualização, realizar a exclusão periódica das mensagens após cumprir sua finalidade, adicionar somente membros que necessitam estar presentes para a finalidade do grupo e principalmente, se possível, não utilizar dados que identifiquem o paciente e, sim, somente o caso em discussão. Portanto, na próxima vez que você receber uma nova mensagem, já se sabe o que pode ser feito para mitigar os riscos.

Mudando o assunto, como havia mencionado no último artigo, trago a participação do Departamento de Auditoria e Informações em Saúde contando sobre os desafios, estratégias adotadas e avanços realizados dentro do nosso projeto de adequação da LGPD no HCFMB. Aproveito para agradecer desde já a colaboração do Departamento, na pessoa da Diretora Patrícia Frazão.

– – – – – – – – – –

“Iniciamos o projeto adotando a figura de um multiplicador que atuou como disseminador de informação entre os membros da área. “Foram vários envios e reenvios na plataforma DPONET em busca do modelo mais seguro e adequado ao tratamento de dados realizado, o que possibilitou uma ampliação do nosso horizonte na questão do uso consciente e da proteção dos dados pessoais”, relata Fernanda Giacoia Godoy Augusto, coordenadora do Núcleo de Contrato SUS e CNES.

Com essa estratégia, Tatiane Biazon Rossi Benvenutto, do Núcleo de Gestão da Qualidade, esclarece que todos os processos da sua área foram aprovados no primeiro envio e, devido à sua vivência na padronização de procedimentos, identificou a necessidade de elaborar um Procedimento Operacional Padrão (POP) para melhor orientar os usuários na utilização da plataforma DPONET.

A partir dessas experiências, surge a ideia da realização de uma oficina para todos os Departamentos, a fim de capacitá-los na ferramenta DPONET. Este trabalho, realizado em conjunto com o Encarregado de Dados, Departamento de Gestão de Pessoas, Núcleo de Ouvidoria, Gerência de Comunicação, Imprensa e Marketing e CIMED, mostrou, dentre outros benefícios, que, mais importante do que atender às exigências da plataforma, este é um momento de tornar nosso dia a dia mais seguro e adotar barreiras de segurança para impedir incidentes envolvendo dados pessoais tratados em nosso Hospital.“

Patrícia Guarnieri Frazão – Diretora do Departamento de Auditoria e Informações em Saúde do HCFMB

Olha o trem!

A partir da implantação da Lei Geral de Proteção de Dados (LGPD) no Brasil, o HCFMB apresenta a nova fase do quadro LGPDicas, com a participação do Encarregado de Dados – DPO no âmbito do HCFMB e Diretor de Infraestrutura do Hospital, Marcelo Roberto Martins.

Ao iniciar este artigo, uma lembrança de minha infância veio à mente. Todos os dias, eu atravessava uma linha férrea para chegar à escola e havia uma sinalização em forma de “X”, que minha querida mãe sempre me fazia ler: “Pare, olhe, escute e siga”.

Essa memória me fez refletir sobre a maneira com que desenvolvemos as atividades que envolvem dados pessoais. “Pare” e “olhe” – dar um tempo para observar o que estamos fazendo e como estamos fazendo possibilita sermos mais assertivos e nos proporciona momentos de reflexão para entender se os meios utilizados para atingir nossos objetivos ou finalidades cumprem as legislações que somos obrigados a cumprir.

O “escute” se relaciona com a importância do envolvimento dos atores e do encarregado de dados nas atividades que tratam dados pessoais, especialmente as novas. Além de ajudar a organização a avaliar os riscos relacionados ao processamento desses dados, a Lei Geral de Proteção de Dados (LGPD) estabelece a obrigatoriedade da consulta ao Encarregado sempre que ocorrer uma mudança no tratamento de dados que possa afetar ou trazer algum impacto à privacidade dos titulares dos dados, conforme previsto no artigo 38.

Assim, é fundamental que todos estejamos atentos ao tema da proteção de dados visando uma mudança da mentalidade corporativa, a fim de estabelecer uma cultura proativa, positiva e crítica nas atividades que envolvem dados pessoais e, desta forma, “seguir” em busca da adequação e conformidade com a LGPD.

Voltando ao nosso projeto de adequação à LGPD no HCFMB, em breve, realizaremos visita aos gestores de departamentos para verificar o andamento do mapeamento de dados no DPONet, conforme planejado em nosso último encontro. Utilizaremos a listagem (planilha) das atividades que tratam dados pessoais, enviadas ao encarregado de dados, como base para verificar o andamento e o avanço desse cadastramento.

Com o objetivo de compartilhar experiências, convidei alguns colaboradores para participar de nosso próximo artigo e contar dos desafios no processo de mapeamento de suas atividades que envolvem dados pessoais. Eles não apenas lideraram as adequações em suas respectivas áreas, mas também foram os idealizadores das estratégias de treinamento realizadas no mês passado. Bem-vindos, Sheila (Núcleo de Ouvidoria), Tatiane, Fernanda e Patrícia (Departamento de Auditoria e Informações em Saúde), Daniele (Departamento de Gestão de Pessoas) e Rodrigo (CIMED), além de Maíra (GCIM), parceira no LGPDicas.

Para finalizar, trago um pensamento chinês que traduz a ideia de compartilhamento: “Se dois homens vêm andando por uma estrada, cada um com um pão, e, ao se encontrarem, trocarem os pães, cada um vai embora com um. Se dois homens vêm andando por uma estrada, cada um com uma ideia, e, ao se encontrarem, trocarem as ideias, cada um vai embora com duas”. Portanto, juntos, é possível facilitar o desenvolvimento de nossas tarefas e, quando não nos atentarmos a algum ponto importante, teremos alguém ao nosso lado para avisar: olhe o Trem!

É tempo de pensar e de realizar

A partir da implantação da Lei Geral de Proteção de Dados (LGPD) no Brasil, o HCFMB apresenta a nova fase do quadro LGPDicas, com a participação do Encarregado de Dados – DPO no âmbito do HCFMB e Diretor da Gerência de Tecnologia da Informação (CIMED), Marcelo Roberto Martins.

Recentemente, iniciamos os treinamentos com Departamentos e Unidades Externas do HCFMB para a utilização da ferramenta DPOnet e para a prática de mapeamento de atividades que lidam com dados pessoais. As oficinas estão sendo bem participativas e temos observado um melhor entendimento sobre o que é necessário para nos adequarmos à LGPD.

Atualmente, estamos trabalhando na estratégia pós-oficina, que consiste no acompanhamento do mapeamento de todas as atividades enviadas pelas áreas ao Encarregado de Dados e, em breve, pretendemos divulgar como isso será realizado.

Aproveito para esclarecer uma dúvida que surgiu quando uma atividade mapeada é aprovada na plataforma DPOnet e classificada com risco alto ou severo. Neste ponto, a atividade será acompanhada pela instrução: “Aguardando inativação do processo devido ao risco calculado ou vinculação de medidas de segurança administrativas e técnicas aplicadas para abordar o risco calculado. Clique aqui para visualizar o Registro de Melhora Contínua (RMC) de risco”. De forma resumida, um RMC descreve quais ações deverão ser tomadas ou adotadas para que a atividade mapeada seja realizada com mais segurança.

Assim sendo, temos dois caminhos: o primeiro é questionar a continuidade da atividade. Se a resposta é “Não”, na prática, deixamos de realizar essa atividade, não vamos mais continuar tratando dados pessoais e, portanto, não há necessidade do mapeamento. Já o segundo caminho é adotar medidas de segurança, tanto administrativas quanto técnicas, para minimizar os riscos de incidentes com os dados pessoais.

Para ilustrar, vamos usar o exemplo da folha de ponto. Imaginemos que essa atividade seja classificada como risco alto. É impossível inativar essa atividade, pois temos obrigações legais referentes ao controle de folha de frequência. Portanto, precisamos adotar medidas que possam eliminar ou mitigar os riscos de incidentes.

Administrativamente, podemos definir um protocolo de como a informação deve ser tramitada dentro das áreas (bem como entre diferentes setores), compondo, assim, uma política maior que podemos denominá-la de política de governança de segurança de dados e informações.

Além disso, podemos adotar medidas técnicas, como a utilização de envelopes para tramitar a folha e a inclusão do nome do gestor do departamento já impresso na folha de freqüência, a fim de evitar a necessidade de um carimbo que, muitas vezes, traz dados adicionais e que, para essa atividade, não são necessários. É importante lembrar que um dos princípios da LGPD é o da necessidade, ou seja, devemos utilizar apenas os dados necessários para cumprimento da atividade mapeada.

Por fim, como diz o ditado: “se tem um limão, faça uma limonada”. Não estamos falando apenas de um exercício obrigatório de mapeamento das atividades que tratam dados pessoais, mas sim de poder discutir essas atividades em uma perspectiva de eficiência e segurança, envolvendo os atores em discussões voltadas para melhorias e mudanças que tragam avanços e eficácia a nossos processos e atividades. Ou seja, é tempo de pensar e realizar.

Fique atento!

Toda vez que for cadastrado um processo no DPOnet, é necessário, ao final, enviá-lo para revisão. Caso contrário, ficará constando como pendente.

Marcelo Roberto Martins – Encarregado de Dados (DPO) do HCFMB

A partir da implantação da Lei Geral de Proteção de Dados (LGPD) no Brasil, o HCFMB apresenta a nova fase do quadro LGPDicas, com a participação do Encarregado de Dados – DPO no âmbito do HCFMB e Diretor da Gerência de Tecnologia da Informação (CIMED), Marcelo Roberto Martins.

Sabemos que a Lei Geral de Proteção de Dados (LGPD) é uma legislação que traz mudanças significativas em relação ao tratamento de dados pessoais, estabelecendo regras para garantir a privacidade e os direitos dos titulares dessas informações. Assim, a implementação da LGPD requer uma mudança cultural nas organizações, com a adoção de novas práticas e processos para garantir a conformidade.

Para tanto, é fundamental realizar algumas atividades, como o mapeamento dos dados pessoais coletados, armazenados e processados pela organização. Com isso, é possível estabelecer um plano de ação para adequação à LGPD e lidar com incidentes de violação de dados pessoais, incluindo procedimentos para identificação, notificação e correção desses incidentes.

Nesta direção, é importante destacar os esforços de alguns setores do HCFMB que iniciaram a elaboração do mapeamento de seus processos que tratam dados pessoais, como também da Comissão de Avaliação de Documentos e Acesso (CADA) do HCFMB, que contribuiu em relação à gestão de documentos; das campanhas de divulgação apoiadas pela Imprensa, do suporte dos Núcleos de Gestão da Qualidade e Padronização, Auditoria e Segurança Interna (CIMED) e por fim, chamo atenção à implantação do projeto “Lean nas Emergências”, que entendo como uma oportunidade a mais no sentido de contribuir para a adequação à LGPD.

Embora a metodologia Lean e a LGPD possuem abordagens diferentes, é possível afirmar que uma pode influenciar positivamente na outra. A metodologia Lean é voltada para a eliminação de desperdícios e melhoria contínua de processos, o que pode ajudar a se adequar à LGPD ao eliminar processos desnecessários que possam expor dados pessoais sem autorização.

Por outro lado, a LGPD pode incentivar a adoção de práticas de segurança da informação e privacidade de dados, que também são fundamentais para a redução de desperdícios e para a melhoria da eficiência dos processos. Além disso, a LGPD também pode ser vista como uma oportunidade para avaliar processos do ponto de vista da privacidade dos dados, identificando e eliminando potenciais riscos de violação. Assim, a LGPD e a metodologia Lean podem se complementar e oferecer uma contribuição considerável para a melhoria contínua da gestão de dados e de processos organizacionais.

Termino fazendo uma referência ao primeiro artigo da série LGPDicas, de nosso Superintendente, “LGPD – Todo mundo ajuda”, e peço permissão para acrescentar: “LGPD e Lean – todos ajudam”.

Fique atento!

A troca de informações pessoais por meio de aplicativos, principalmente do WhatsApp, pode contribuir para incidentes envolvendo dados pessoais. Dúvidas sobre o assunto? Escreva para LGPD_encarregado.hcfmb@unesp.br.

Marcelo Roberto Martins – Encarregado de Dados (DPO) do HCFMB