ANPD divulga nota técnica sobre tratamento de dados pessoais no setor farmacêutico

A Autoridade Nacional de Proteção de Dados (ANPD) divulgou, no dia 12 de maio de 2023, a Nota Técnica nº 4/2022, que apresenta uma análise sobre o uso de dados no setor farmacêutico.

Desde 2020, a Coordenação-Geral de Tecnologia e Pesquisa da ANPD (CGTP) busca compreender e analisar o tratamento de dados pessoais nesse setor e, para a elaboração do estudo, a ANPD analisou investigações realizadas anteriormente pelo Ministério Público e políticas de privacidade de empresas do setor, além de se reunir com entidades representativas para discussões.

Em suma, as conclusões do estudo conduzido pela ANPD incluem:

• Há baixa maturidade no setor farmacêutico referente à proteção dos dados pessoais, de acordo com as regras estabelecidas pela LGPD;
• Há um problema geral de ausência de transparência quanto ao tratamento de dados realizado pelo setor, incluindo quanto ao compartilhamento de dados;
• Como consequência da ausência de transparência, restou clara a dificuldade de os titulares se oporem ao tratamento de seus dados pessoais, em grande parte sensíveis;
• A análise dos programas de fidelização exige estudo com maior aprofundamento – não restaram claras as funções de cada agente de tratamento no âmbito destes programas e suas formas de compartilhamento dos dados;
• Há uma oportunidade, por parte da ANPD, de realização de ações educativas, incluindo eventual elaboração de material educativo para o setor;
• Há oportunidade de aprimoramento do diálogo com a Senacon para discussão acerca dos descontos condicionados ao consentimento com o tratamento de dados pessoais.

Por fim, a nota técnica foi encaminhada à Coordenação-Geral de Fiscalização da ANPD, para que sejam tomadas eventuais medidas cabíveis. A ANPD disponibilizou um Sumário Executivo com suas principais conclusões.

Práticas analisadas

Especificamente, a nota técnica analisa algumas práticas realizadas pelo setor farmacêutico  que envolvem fluxos de dados pessoais, tais como o Programa de Benefícios em Medicamentos (PBM), convênios, programas de fidelização, compartilhamento de dados para fins de marketing e serviços de entrega, entre outros. Pontos de destaque em relação a essas práticas e fluxos de dados incluem:

Programa de Benefícios em Medicamentos (PBMs)

Trata-se do programa por meio do qual clientes podem comprar medicamentos com desconto na farmácia, mediante autorização do laboratório ou da indústria. Conforme mencionado na Nota Técnica:

• Em regra, o PBM requer realização de cadastro prévio com os dados do titular (CPF, nome e assinatura);
• O controlador dos dados no âmbito do PBM é a indústria e não o varejo (farmácias). Isso porque as farmácias apenas fazem uma requisição de informações para verificar a elegibilidade do indivíduo a receber o benefício.

Convênios

São parcerias estabelecidas por empresas junto às farmácias, com o objetivo de fornecer benefícios para seus colaboradores. Conforme mencionado na Nota Técnica sobre o fluxo de dados:

• A farmácia é operadora dos dados pessoais, uma vez que sua função se limita a conferir os dados do titular para checar se ele é beneficiário do convênio;
• É comum que a farmácia transmita ao empregador os dados referentes ao titular do benefício (nome e valor da compra).

Programas de fidelização

São os diferentes programas que podem se destinar a realização de ofertas exclusivas, publicidade, e programas pontuação. A Nota Técnica pontua que cabe maior aprofundamento sobre as práticas realizadas em cada programa, visto que o diálogo direto com as farmácias, responsáveis pelos programas, não foi o foco do estudo e das reuniões realizadas pela CGTP. Contudo, a Nota Técnica já adianta as seguintes considerações:

• Preocupação quanto ao compartilhamento de dados com empresas terceiras;
• Possível prejuízo ao direito à informação relacionado ao condicionamento do acesso ao valor do produto com desconto à participação no programa de fidelização;
• Desafios para atender aos requisitos do consentimento, conforme previsto na LGPD.

Tratamento de dados biométricos

No que se refere aos dados biométricos, a análise da ANPD foca no seu uso para fins de autenticação da identidade de indivíduos e esclarece que:

• É possível realizar outras formas de verificação de identidade, “menos gravosas em relação à utilização de dados tão sensíveis quanto as biometrias digitais ou até mesmo faciais”;
• É necessário verificar se as medidas de segurança são suficientes, tais como criptografia e não compartilhamento com terceiros, para proteger esses dados sensíveis;
• A aplicação dessa tecnologia requer uma contextualização de seu uso para adequação à LGPD.

Próximos passos

O Conselho Diretor da ANPD determinou, em 3 de maio de 2023, a adoção das seguintes medidas, conforme disposto no referido Sumário Executivo:

• Instauração de procedimento fiscalizatório pela Coordenação-Geral de Fiscalização;
• Análise dos limites do consentimento como hipótese legal na concessão de descontos pelo setor, especialmente em programas de fidelização, em cooperação com a Senacon;
• Verificação de que possíveis medidas orientativas setoriais venham a ser elaboradas pela Coordenação-Geral de Normatização.

Para mais informações sobre temas relacionados à proteção de dados e segurança, conheça a prática de Proteção de Dados e Cybersecurity do Mattos Filho.