A Autoridade Nacional de Proteção de Dados (ANPD) publicou recentemente o Guia Orientativo sobre “Tratamento de dados para fins acadêmicos e para realização de estudos e pesquisas”, no qual esclarece dúvidas sobre a interpretação da Lei Geral de Proteção de Dados (LGPD). Entre outros aspectos relevantes, o Guia explica como a LGPD se relaciona com a regulação e os padrões éticos das pesquisas clínicas.

A publicação do guia é oportuna, sobretudo em razão de notícias que relacionam a saúde com a proteção de dados pessoais. Os recentes casos de vazamentos de dados no âmbito do Ministério da Saúde nos alertam sobre a importância da proteção dos dados sensíveis de saúde (art. 5°, II, da LGPD). Ao mesmo tempo, iniciativas como o open health e a Estratégia de Saúde Digital evidenciam a complementaridade entre a LGPD e os requisitos estabelecidos pelas autoridades regulatórias competentes sobre o tema (por exemplo, a Anvisa, ANS, CFM).

Ainda, vale mencionar que o Ministério da Saúde figura como parte em processos administrativos sancionatórios instaurados pela Coordenação-Geral de Fiscalização (CGF) da ANPD. Entre as condutas investigadas, verificam-se irregularidades como a ausência de encarregado de dados pessoais; a ausência de comunicação de incidente de segurança; e a ausência de medidas de segurança.

A existência desses processos administrativos destaca a relevância da adoção de medidas de segurança da informação. Como resultado, o Ministério da Saúde passou a disponibilizar ao público e em seu portal o registro de incidentes com dados pessoais, com a compilação de informações sobre o período do incidente, a natureza dos dados potencialmente expostos e as medidas tomadas para fins de comunicação do incidente aos titulares de dados.

 

As pesquisas clínicas, por sua vez, são pesquisas realizadas com seres humanos – individual ou coletivamente, em sua totalidade ou em partes – e incluem o manejo de dados, informações ou materiais biológicos. Por envolverem o fluxo de informações, há uma relação complementar entre a LGPD e os padrões éticos aplicáveis. Além de atender às disposições da LGPD, pesquisadores e respectivas instituições precisam submeter seus projetos de pesquisa à apreciação de Comitês de Ética em Pesquisa (CEP) ou da Comissão Nacional de Ética em Pesquisa (Conep), que são regulamentados pelo Conselho Nacional de Saúde (CNS), por meio da Resolução CNS nº 466/2012.

Trata-se de uma relação relevante, considerando que ambas as autoridades têm o objetivo de proteger os direitos de titulares cujos dados pessoais são utilizados e manuseados para fins de pesquisas clínicas. A conformidade com a LGPD não afasta, portanto, a necessidade de respeitar as determinações de cunho ético ou de seguir os procedimentos próprios estabelecidos nas normas aplicáveis.

Em aspectos práticos, eventual dispensa do consentimento para os fins da LGPD, por exemplo, em razão de outras hipóteses legais para o tratamento de dados (arts. 7° e 11 da LGPD), não afasta a necessidade de obtenção do consentimento dos participantes da pesquisa clínica quando assim exigido do ponto de vista ético e regulatório por meio do Termo de Consentimento Livre e Esclarecido (TCLE) (item IV da Resolução CNS nº 466/2012).

Quando a pesquisa for conduzida por “órgãos de pesquisa” (cf. art. 5°, XVIII, da LGPD), o tratamento de dados pessoais sensíveis poderá ocorrer sem fornecimento de consentimento do titular e conforme a base legal específica para esses órgãos (art. 11, II, c, da LGPD). A ANPD menciona como exemplos de órgãos de pesquisa as Instituições de Ensino Superior públicas ou privadas sem fins lucrativos, centros de pesquisa nacionais e entidades públicas que realizam pesquisas, tais como o IBGE e o IPEA.

No entanto, essa hipótese legal restringe-se aos órgãos de pesquisas, cujos requisitos envolvem, principalmente, a ausência de fins lucrativos. Como consequência, mesmo que as pessoas jurídicas de direito privado com fins lucrativos estabeleçam nos seus objetos sociais a realização de pesquisa, não é aplicável a exceção prevista na LGPD (arts. 7º, IV; e 11, II, c, da LGPD).

Por outro lado, agentes de tratamento não qualificados como “órgãos de pesquisa” podem realizar estudos e pesquisas, desde que com amparo em outra base legal, como o consentimento ou cumprimento de obrigação legal ou regulatória. A ANPD menciona como exemplos desses agentes: as pessoas jurídicas de direito privado que possuem finalidade lucrativa; as entidades públicas ou privadas sem fins lucrativos que não possuam em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico tecnológico ou estatístico; ou por pessoas naturais.

Assim, deve-se considerar que a definição de órgãos de pesquisa alcança os órgãos e instituições que tenham sido constituídos para a realização de pesquisas, conforme seu ato societário.

Logo, os órgãos que possuam natureza pública ou privada sem fins lucrativos, mas que realizem atividades de pesquisa de forma eventual ou acessória, não estão contemplados pelas exceções da LGPD.

Assim, a utilização de dados pessoais para estudos e pesquisas desenvolvidos por empresas, no geral, demanda uma análise mais cuidadosa. Para tais agentes, o tratamento de dados pessoais para fins de estudos e pesquisas deverá ser realizado com amparo em outras hipóteses legais, a exemplo do consentimento dos titulares, sem prejuízo de outras hipóteses legais aplicáveis ao caso concreto.

Outro aspecto que deve ser considerado é que a definição de órgãos de pesquisa alcança somente os órgãos e as instituições que tenham sido constituídos para, entre outras atividades, a realização de pesquisa básica ou aplicada, conforme definido em seu ato de constituição.

Ou seja, os órgãos que possuam natureza pública ou privada sem fins lucrativos, mas que realizem atividades de estudos e pesquisas de forma eventual ou acessória e que não tenham sido constituídos para esta finalidade, não são contemplados pelas exceções da LGPD. Neste caso, o agente de tratamento deve fundamentar o tratamento de dados pessoais para fins de estudos e pesquisas em outra hipótese legal.

É importante destacar que, para qualquer hipótese, é recomendado que o controlador e o operador estejam sujeitos a medidas que impeçam um possível acesso indevido e possíveis vazamentos, além de um sistema de compliance adequado para o compartilhamento de dados pessoais.

Portanto, o tratamento de dados no âmbito das pesquisas clínicas deve observar tanto as disposições de proteção de dados, quanto os padrões éticos de autoridades regulatórias competentes. Em que pese a necessidade do desenvolvimento econômico e tecnológico e a inovação no setor da saúde, deve-se manter em proteção os dados pessoais, sob pena de violação à privacidade, intimidade, honra e imagem dos participantes das pesquisas.