A LGPD e os dados pessoais

O banco de uma farmácia guarda nomes, CPFs, telefones, endereços e o histórico de compras dos clientes, além de dados de funcionários e de médicos. O suporte acessa esses dados para resolver chamados, e a LGPD, a Lei Geral de Proteção de Dados Pessoais, define o que pode ser feito com eles, quem decide e quais cuidados o acesso exige.

Os conceitos da lei

A LGPD, a Lei nº 13.709/2018, usa alguns termos próprios:

• Dado pessoal: a informação relacionada a uma pessoa natural identificada ou identificável, como o nome, o CPF, o telefone e o endereço;
• Dado pessoal sensível: o dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico, quando ligado a uma pessoa;
• Titular: a pessoa a quem os dados se referem, como o cliente da farmácia;
• Tratamento: qualquer operação com dados pessoais, como coletar, consultar, copiar, transmitir, armazenar e eliminar;
• Controlador: quem toma as decisões sobre o tratamento, como a farmácia em relação aos dados dos clientes;
• Operador: quem trata os dados em nome do controlador e segue as instruções dele;
• Encarregado: a pessoa indicada como canal de comunicação entre o controlador, os titulares e a ANPD;
• ANPD: a Agência Nacional de Proteção de Dados, chamada até 2026 de Autoridade Nacional de Proteção de Dados, que regulamenta e fiscaliza a aplicação da lei.

Quando o suporte acessa o banco da farmácia para resolver um chamado, ele trata os dados em nome da farmácia, que continua sendo a controladora. As decisões sobre os dados, como guardar, corrigir ou apagar um cadastro, pertencem a ela.

Os dados de saúde na farmácia

O histórico de compras de medicamentos pode revelar doenças e tratamentos, e a lei trata o dado referente à saúde como sensível, com regras mais rígidas para o uso. Outras informações da farmácia pedem o mesmo cuidado:

• as vendas de medicamentos controlados, que registram dados da receita, do comprador e do médico;
• o cadastro de clientes, com CPF, telefone, data de nascimento e endereço de entrega;
• os convênios com empresas, que ligam as compras a cada funcionário conveniado;
• os documentos fiscais emitidos com o CPF do consumidor.

Os princípios no trabalho do suporte

A lei lista princípios para qualquer tratamento, e três deles pesam no dia a dia do suporte:

• Finalidade: os dados acessados em um atendimento servem para resolver aquele chamado, e não para outro uso;
• Necessidade: o acesso se limita ao mínimo, como uma consulta que traz só as linhas e as colunas do problema, e não a tabela inteira de clientes;
• Segurança: as cópias, os arquivos enviados e as capturas de tela também precisam de proteção contra acesso indevido.

As cópias e os envios

Muitos vazamentos começam com uma cópia feita para ajudar. Uma base copiada para o computador do técnico, uma planilha de clientes exportada para conferir um problema e um backup enviado por e-mail ou por aplicativo de mensagens levam os dados pessoais para lugares com menos proteção, sem prazo para sair de lá. Algumas práticas reduzem esse risco:

• o diagnóstico feito no próprio servidor da loja, pela sessão de acesso remoto, sem levar o banco para fora;
• uma base de testes com dados inventados, ou com nomes, CPFs e telefones substituídos antes da cópia;
• o envio de arquivos só pelo canal oficial do atendimento, com acesso restrito;
• a eliminação das cópias temporárias ao fim do atendimento;
• os dados pessoais encobertos nas capturas de tela e nos trechos de log anexados ao chamado.

Os pedidos dos titulares

A lei garante ao titular direitos como a confirmação de que há tratamento, o acesso aos dados, a correção dos dados e a anonimização, o bloqueio ou a eliminação dos dados desnecessários ou excessivos. O pedido é dirigido ao controlador, e a farmácia decide como atender, com o suporte executando a instrução que vier dela.

A eliminação tem limites. A lei permite conservar os dados para cumprir uma obrigação legal, como a guarda dos documentos fiscais, e apagar um cliente direto no banco pode deixar vendas e documentos sem o cadastro ligado a eles. Por isso, a forma de atender ao pedido segue a decisão da farmácia e o procedimento previsto pelo sistema.

Os incidentes

Um incidente de segurança é qualquer evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade dos dados pessoais. Um backup do banco esquecido em um link público, um notebook furtado com uma cópia da base, um ransomware no servidor da loja e uma planilha de clientes enviada ao destinatário errado são exemplos.

A Resolução CD/ANPD nº 15/2024 regula a comunicação. Quando o incidente pode causar risco ou dano relevante, o controlador comunica o incidente à ANPD e aos titulares em três dias úteis, contados de quando sabe que dados pessoais foram afetados, com o prazo em dobro para os agentes de pequeno porte. A avaliação considera critérios como dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo e dados em larga escala, e uma farmácia lida com vários deles. O controlador também mantém o registro de todos os incidentes, inclusive dos não comunicados, por pelo menos cinco anos.

Com um prazo tão curto, o incidente percebido durante um atendimento chega à farmácia logo, com o registro do que foi visto, do horário e dos computadores envolvidos.