fila do SUS e LGPD
Fila do SUS e LGPD
Dado de saúde é dado pessoal sensível. Isso não impede a transparência da fila, mas define o que pode aparecer, para quem e em que granularidade. O erro mais comum é publicar a lista inteira; o segundo mais comum é usar a LGPD como desculpa para não publicar nada.
O que a LGPD diz sobre dado de saúde
A Lei nº 13.709/2018 classifica dado referente à saúde como dado pessoal sensível e submete o tratamento dele a condições específicas, mais restritas do que as aplicáveis a dado pessoal comum. Ao mesmo tempo, a lei reconhece o tratamento necessário à execução de políticas públicas pela administração pública, o que sustenta a operação da fila pela secretaria de saúde.
Operar a fila e publicar a fila são tratamentos diferentes, com finalidades diferentes. A equipe de regulação precisa saber quem é o paciente e qual a condição dele. O painel público precisa apenas permitir que uma pessoa reconheça a própria espera. Confundir os dois é a origem de quase todo incidente nessa área.
Reidentificação, o risco que município pequeno subestima
Anonimizar não é apagar o nome. Em município de cinco mil habitantes, a combinação de idade, bairro, especialidade e data de solicitação pode identificar uma pessoa com precisão, mesmo sem nome nenhum na tela. Publicar procedimento muito específico é o caso mais delicado, porque a especialidade sozinha pode revelar a condição de saúde.
Medidas que reduzem o risco
- Exibir especialidade em termo genérico em vez de procedimento detalhado quando o volume da fila é pequeno.
- Evitar cruzamento de idade, bairro e data em uma mesma linha pública.
- Usar faixa em vez de valor exato quando um número puder singularizar alguém.
- Proteger a consulta individual com identificador que somente a pessoa possui.
- Publicar agregado por especialidade sem lista aberta de indivíduos.
- Registrar quem acessou a informação identificável no lado interno do sistema.
Vale registrar por escrito a decisão sobre o que será exibido e por quê. Se a escolha for questionada depois, a existência do raciocínio documentado é a diferença entre decisão fundamentada e improviso.
Desenho de consulta que atende as duas exigências
Três camadas de visibilidade
- Camada pública aberta: número de pessoas aguardando por especialidade, tempo médio e mediano de espera, data da última atualização. Sem indivíduo.
- Camada individual protegida: a pessoa consulta a própria posição, etapa e data de solicitação usando identificador próprio definido na implantação.
- Camada interna autenticada: equipe de regulação, auditoria e gestão acessam o dado identificável conforme perfil, com registro de acesso.
Com essas três camadas, o município cumpre transparência ativa no agregado, dá resposta ao cidadão no individual e mantém o dado sensível restrito a quem tem função para tratá-lo. É o desenho que o iSUS implementa, e é também o desenho que sobrevive a uma auditoria de proteção de dados.
Perguntas frequentes
Pode publicar o nome do paciente na lista de espera?
Publicar nome completo associado a procedimento de saúde expõe dado sensível e não é recomendável. Legislações estaduais de transparência que tratam do tema costumam prever identificação restrita, como iniciais somadas a outro identificador, justamente para evitar essa exposição.
O paciente precisa consentir para entrar na fila?
O tratamento de dado para execução de política pública de saúde não depende de consentimento como base única. Isso não dispensa informar a pessoa sobre o tratamento e garantir os direitos dela previstos na LGPD.
Quem é o controlador dos dados da fila?
O ente público que decide sobre o tratamento, em geral a secretaria municipal de saúde. O fornecedor do sistema atua como operador, tratando dado em nome do controlador e conforme instrução dele, o que precisa estar refletido em contrato.
Registro de acesso é obrigatório?
Manter registro de quem acessou dado sensível é medida de segurança esperada e é o que permite investigar uso indevido. Sem log de acesso, o município não tem como demonstrar que o dado foi tratado apenas por quem tinha função para isso.
Continue por aqui
Última revisão desta página: