LGPD para consultoras: dados de saúde do bebê

Na consultoria materno-infantil, a LGPD não é um assunto distante de grandes empresas. Toda vez que você registra o sono, as mamadas ou as medidas de um bebê, está tratando dados de saúde de uma criança, uma categoria com regras próprias na lei. Este texto explica o que isso significa na rotina da consultora, o que evitar e como responder quando a família pede acesso ou exclusão.

Dados de saúde são dados sensíveis

A Lei Geral de Proteção de Dados define como dado pessoal sensível, entre outros, o dado referente à saúde de uma pessoa natural (Lei nº 13.709/2018 (abre em nova aba), art. 5º, II). Diário do sono, registro de mamadas, anamnese, peso e comprimento do bebê costumam ser tratados como dados de saúde.

Dados sensíveis só podem ser tratados nas hipóteses do art. 11 da mesma lei. A primeira delas é o consentimento do titular ou do seu responsável legal, dado de forma específica e destacada, para finalidades específicas (Lei nº 13.709/2018, art. 11, I). Um "aceito" genérico escondido no meio de outra mensagem não atende a essa exigência.

Consentimento do responsável legal

Quando o titular é uma criança, a LGPD acrescenta duas regras. O tratamento deve ser feito no melhor interesse da criança, e o consentimento deve ser específico e em destaque, dado por pelo menos um dos pais ou pelo responsável legal (Lei nº 13.709/2018, art. 14, caput e § 1º).

A lei também pede que o controlador faça esforços razoáveis para verificar que o consentimento foi dado de fato pelo responsável pela criança (Lei nº 13.709/2018, art. 14, § 5º). A ANPD esclareceu que dados de crianças podem ser tratados com base nas hipóteses dos arts. 7º ou 11, desde que prevaleça o melhor interesse da criança (Enunciado CD/ANPD nº 1/2023 (abre em nova aba)).

• Identifique quem é o responsável legal que consente.
• Explique para que os dados serão usados, em linguagem simples.
• Guarde o registro de quando e como o consentimento foi dado.

Na Ninei, o responsável aceita o termo de consentimento de dados ao criar a senha do app, e a anamnese é registrada com o nome completo do responsável, que autoriza o tratamento dos dados. Esses pontos também devem aparecer no seu contrato de consultoria.

O que não fazer

A lei pede medidas de segurança técnicas e administrativas para proteger os dados de acessos não autorizados e de perda (Lei nº 13.709/2018, art. 46). Na prática da consultoria, os riscos maiores costumam estar em hábitos do dia a dia, e não em ataques sofisticados.

Direitos do titular: acesso, exportação, exclusão

O titular tem direito de obter do controlador, entre outras coisas, a confirmação de que há tratamento, o acesso aos dados, a correção, a portabilidade e a eliminação dos dados tratados com consentimento (Lei nº 13.709/2018, art. 18). Esses direitos são exercidos pelo titular ou por representante legalmente constituído (Lei nº 13.709/2018, art. 18, § 3º).

• Acesso: a família pode pedir uma cópia do que você registrou.
• Portabilidade: a família pode pedir a portabilidade dos dados a outro fornecedor, de acordo com a regulamentação da autoridade nacional.
• Eliminação: a família pode pedir que os dados tratados com consentimento sejam apagados, ressalvadas as hipóteses de conservação do art. 16.
• Revogação: a família pode retirar o consentimento dado.

Na Ninei, a família com acesso ao app pode baixar ou excluir os próprios dados sozinha, em Perfil, na área Meus dados. A exclusão feita ali é imediata e não pode ser desfeita. As cobranças já emitidas continuam registradas. Os detalhes estão em quando a família baixa ou exclui os dados.

Por quanto tempo guardar

A LGPD prevê o fim do tratamento quando a finalidade é alcançada ou os dados deixam de ser necessários, e a eliminação dos dados depois disso (Lei nº 13.709/2018, arts. 15 e 16). A própria lei autoriza a conservação em alguns casos, como o cumprimento de obrigação legal ou regulatória pelo controlador (Lei nº 13.709/2018, art. 16, I).

• Defina, por escrito, por quanto tempo guarda os dados depois da alta.
• Separe o que você guarda por obrigação legal do que já pode ser apagado.
• Se você é inscrita em um conselho profissional, confira também as regras de guarda do seu conselho.

O prazo certo depende da sua atividade e das obrigações que se aplicam a você. Essa definição deve ser feita com o seu advogado.

Como a Ninei trata os dados

Na Ninei, você é a controladora dos dados das famílias que atende, e a plataforma atua como operadora, tratando esses dados conforme as suas instruções. Os dados de saúde infantil ficam em um módulo separado dos dados de pagamento, e o acesso é isolado entre contas.

• Você pode exportar os seus dados e os das suas famílias em Configurações, na área Seus dados (LGPD).
• O cadastro da família registra a identificação do responsável e a declaração de consentimento.
• A página de exclusão de dados explica o caminho da família: o pedido vai primeiro a você, que é a controladora, e pode ser levado ao encarregado da plataforma.

A política completa, com as bases legais e os fornecedores envolvidos, está na política de privacidade. Para os demais temas do lado financeiro e legal, veja também quanto cobrar pela consultoria do sono.