3 O PACIENTE COMO TITULAR DOS DADOS DE SAÚDE
O paciente, como titular de seus dados de saúde, tem garantido o direito à proteção dessas informações sensíveis sob a LGPD. Embora os dados de saúde não sejam considerados propriedade do paciente, como destacado pela LGPD, eles são informações pessoais relacionadas ao indivíduo. O tratamento desses dados deve seguir os princípios da finalidade e da necessidade, assegurando que somente aqueles com uma justificativa legal ou contratual adequada tenham acesso a eles. O paciente tem o direito de exigir que seus dados sejam tratados de maneira transparente e conforme a lei, protegendo sua privacidade e garantindo que seus dados só sejam usados para os fins específicos aos quais foram coletados (Strack; Cunha; Ferreira, 2021).
Diante do exposto, a seguir será tratado sobre o direito à privacidade e o controle dos dados pessoais.
3.1 O DIREITO À PRIVACIDADE E O CONTROLE DOS DADOS PESSOAIS
A privacidade é um direito fundamental garantido pela CF/88, sendo reconhecida como essencial para a dignidade e a liberdade individual. Esse direito assegura que cada pessoa tenha controle sobre suas informações pessoais e sobre como elas são divulgadas ou utilizadas por terceiros. No âmbito da saúde, esse conceito ganha ainda mais relevância, pois os dados relacionados ao estado de saúde de um indivíduo são extremamente sensíveis, capazes de afetar tanto a vida pessoal quanto profissional da pessoa envolvida. Preservar a privacidade nesse contexto é proteger o cidadão de possíveis discriminações e invasões de sua esfera pessoal (Viega, 2024).
Uadi Lammêgo Bulos (2003, p. 143) define a abrangência do direito à privacidade suas facetas em fatores pertinentes à personalidade:
Trata-se de uma noção ampla, que inclui os traços característicos da personalidade, fisionomia do sujeito, ar, rosto, boca, partes do corpo, representação do aspecto visual da pessoa pela pintura, pela escultura, pelo desenho, pela fotografia, pela configuração caricata ou decorativa. Envolve, também, a imagem física, a reprodução em manequins e máscaras, por meio televisivos, radiodifusão, revistas,17 jornais, periódicos, boletins, que reproduzem, indevidamente, gestos, expressões, modos de se trajar, atitudes, traços fisionômicos, sorrisos, aura, fama etc.
Assim, a proteção da privacidade abrange traços característicos da personalidade e representação física em diferentes formas.
A proteção jurídica da privacidade ganhou uma nova dimensão com o avanço da sociedade digital e o aumento exponencial da coleta e do processamento de dados pessoais. A privacidade, antes limitada ao espaço físico, agora envolve também o ambiente digital, onde as informações pessoais são coletadas e analisadas em grande escala. A legislação precisou se adaptar a essa nova realidade, estabelecendo mecanismos de proteção de dados que garantem ao indivíduo o controle sobre suas informações pessoais e sensíveis, como é o caso da LGPD no Brasil (Melo; Arruda; Alvim, 2023).
Nesse novo cenário, a privacidade não é mais apenas um direito à proteção contra invasões físicas, mas também o direito à proteção de dados pessoais, tanto no mundo digital quanto no físico. A LGPD, inspirada no GDPR da União Europeia, estabelece os direitos dos titulares de dados, como o direito ao acesso, à correção, à exclusão e ao consentimento para o tratamento das informações. Esse arcabouço legal visa proteger o indivíduo da exposição indevida de suas informações em um contexto de constante vigilância e coleta de dados (Melo; Arruda; Alvim, 2023).
Por outro lado, a proteção jurídica da privacidade também enfrenta desafios com a crescente transparência e o compartilhamento de informações nos espaços públicos e privados. O direito ao esquecimento, por exemplo, surge como uma resposta à necessidade de limitar o tempo de exposição de informações pessoais, evitando que dados antigos continuem a afetar a vida dos indivíduos. Assim, a privacidade adquire uma nova dimensão, exigindo do direito não apenas a proteção da esfera íntima, mas também a garantia de que os dados pessoais sejam tratados de forma ética e responsável, respeitando a dignidade humana (Melo; Arruda; Alvim, 2023).
Ademais, é possível caracterizar a privacidade como um conceito elástico, flexível e fluido. Ao longo da história, desde a antiguidade até os dias atuais, as definições de público e privado passaram por transformações significativas. Esse processo expandiu os limites da privacidade, que passou a abranger novos espaços, acompanhando as mudanças nas interações humanas e na sociedade. Essa evolução reflete o comportamento contemporâneo, marcado pela liquidez e pela constante adaptação das fronteiras entre o que é considerado íntimo e o que é compartilhado no espaço público (Cancelier, 2017).
Assim, a privacidade evoluiu como um conceito complexo e multifacetado. Inicialmente, o público e o privado eram claramente delimitados por aspectos materiais e funcionais, como nas civilizações clássicas. No entanto, com o desenvolvimento socioeconômico, essas fronteiras foram se transformando, especialmente com a ascensão da classe burguesa, que passou a valorizar o isolamento e a intimidade como elementos essenciais da vida individual. Assim, a privacidade não é estática, mas se adapta às mudanças nas interações humanas, refletindo o comportamento social a cada momento histórico (Cancelier, 2017).
Com o surgimento de novas tecnologias e o crescimento exponencial da circulação de informações, a privacidade expandiu suas fronteiras e passou a englobar novos sujeitos e contextos. O direito à privacidade, antes restrito a uma esfera passiva de proteção contra invasões externas, passou a incluir também o controle sobre a divulgação de informações pessoais. Esse processo reflete a necessidade de adaptação das normas jurídicas, que precisaram acompanhar a crescente complexidade das interações entre o público e o privado, principalmente no cenário digital (Cancelier, 2017).
Barros e Maranhão (2022, p. 152) destacam:
Em primeiro lugar, entende-se que a constitucionalização do direito à privacidade gera a máxima proteção do ordenamento em benefício da dignidade da pessoa humana. No entanto, a Constituição Federal não prevê os limites da vida privada e da intimidade – deixando o encargo ao legislador infraconstitucional. Ocorre que os direitos fundamentais não toleram restrição, tampouco são absolutos, o que gera um impasse na descoberta do âmbito de proteção do direito à privacidade, que, possivelmente, só será conhecido na tentativa real de agressão ao direito. Momento em que haverá a subsunção do caso concreto à legislação infraconstitucional, que deverá fornecer certos limites do alcance da norma. É o entendimento de Bernardo Gonçalves, segundo o qual a privacidade é condição para o desenvolvimento da personalidade e a conduta abusiva é analisada somente à luz do caso concreto.
Atualmente, o debate sobre privacidade envolve desafios que vão além da simples dicotomia entre público e privado. A exposição deliberada de informações na internet, por exemplo, não anula a expectativa de privacidade, mas requer novas formas de proteção. Nesse sentido, a privacidade contemporânea abrange tanto o controle sobre os dados pessoais quanto a defesa de uma esfera íntima, mesmo em espaços públicos, onde as fronteiras entre o que é privado e o que é exposto continuam a se transformar rapidamente (Cancelier, 2017).
Além disso, o direito à privacidade engloba a proteção contra a coleta e o uso indiscriminado de dados sem o consentimento do titular. No contexto médico, a troca e o compartilhamento de informações entre profissionais de saúde e instituições devem seguir padrões éticos e legais rigorosos, garantindo que o paciente tenha ciência e controle sobre quem pode acessar suas informações. Qualquer falha na preservação da privacidade pode expor o paciente a riscos, incluindo o uso indevido de seus dados para fins que vão além do cuidado à saúde, como pesquisas ou atividades comerciais não autorizadas (Viega, 2024).
Com isso, em estudo de Joelsons (2021, p. 43) se extrai o seguinte:
[...] os riscos à personalidade do cidadão cresceram exponencialmente. A violação da privacidade na sociedade da informação passa a significar, por exemplo, o risco do uso indevido de dados pessoais, da classificação dos indivíduos, de imposição de comportamentos padronizados e da discriminação dos cidadãos, de forma que passou a ser debatido o direito à proteção das informações pessoais.
Diante disso, estabelece-se a interligação entre o direito à privacidade e o controle de dados pessoais a partir da noção de que o direito à proteção de dados evoluiu a partir da necessidade de proteger a privacidade em um mundo cada vez mais digitalizado. Inicialmente, o conceito de privacidade estava vinculado à ideia de resguardo contra interferências indevidas na vida pessoal, como o direito de ser deixado em paz. No entanto, com o avanço das tecnologias de comunicação e a crescente circulação de informações pessoais, tornou-se evidente a necessidade de uma abordagem mais robusta, capaz de garantir que os dados pessoais fossem utilizados de forma ética e controlada (Joelsons, 2021).
Ainda, a proteção de dados pessoais, que surgiu como uma extensão do direito à privacidade, ganhou força nas últimas décadas com a proliferação de leis específicas em várias jurisdições, incluindo a LGPD no Brasil. Essas legislações trouxeram novos paradigmas, indo além da mera proteção da intimidade, para tratar do controle sobre o fluxo de informações pessoais. A coleta, armazenamento e tratamento de dados agora são regulamentados por normas que visam garantir o respeito à autonomia individual, permitindo que cada pessoa tenha controle sobre o uso de suas informações (Roncatto, 2023).
Outrossim, evidencia-se como o Estado desempenha um papel central na proteção aos direitos da privacidade e na segurança dos dados pessoais sensíveis. No contexto jurídico, a privacidade é entendida como um direito fundamental que garante a inviolabilidade da vida privada, sendo responsabilidade do Estado assegurar que esse direito seja preservado em face de novas ameaças, especialmente no ambiente digital. A proteção dos dados pessoais sensíveis, que abrangem informações como origem racial, saúde, convicções religiosas e políticas, entre outros, é uma extensão dessa garantia, exigindo uma regulamentação robusta para prevenir abusos e violações (Oliveira; Muniz, 2020).
Essa evolução legislativa reflete um reconhecimento da importância dos dados pessoais no cenário econômico e social contemporâneo, onde a privacidade não se limita mais à proteção de informações sigilosas, mas também envolve a gestão consciente dos dados que circulam pela internet. O controle sobre esses dados, especialmente os sensíveis, como os de saúde, tornou-se um pilar fundamental para garantir que os indivíduos não sejam prejudicados por decisões automatizadas ou pela utilização inadequada de suas informações por terceiros (Roncatto, 2023).
Dessa forma, o direito à proteção de dados, embora derivado da privacidade, se consolida como uma disciplina autônoma, destinada a proteger os indivíduos de violações que podem afetar sua dignidade e personalidade. A conexão entre ambos os direitos se dá na medida em que a proteção de dados fortalece a capacidade dos indivíduos de exercerem seu direito à privacidade em um ambiente digital, garantindo que suas informações sejam tratadas com respeito e transparência (Roncatto, 2023).
A dicotomia entre o direito à privacidade e a proteção de dados, não obstante serem derivados, está presente no entendimento de que a privacidade tradicionalmente envolve a proteção contra invasões à esfera íntima, como o espaço pessoal e físico do indivíduo. Já a proteção de dados pessoais tem um foco mais específico: garantir o controle do titular sobre suas informações, especialmente no contexto digital, onde grandes quantidades de dados podem ser coletadas, armazenadas e processadas por terceiros sem o consentimento adequado (Amaral, 2021).
Por conseguinte, a autonomia dessas disciplinas é evidenciada pela crescente relevância da proteção de dados pessoais como um direito fundamental, particularmente no contexto da sociedade da informação. A privacidade, como concebida no século XX, estava ligada a espaços físicos e à preservação da intimidade. Com a revolução tecnológica e a digitalização das interações sociais e econômicas, surgiu a necessidade de proteger informações pessoais de forma mais específica, o que levou à criação de legislações como a LGPD no Brasil e o GDPR na União Europeia (Amaral, 2021).
Enquanto a privacidade se preocupa com a preservação de uma esfera individual de proteção contra interferências externas, a proteção de dados foca no tratamento das informações pessoais e no consentimento do titular. Isso inclui a coleta, armazenamento, utilização e compartilhamento de dados, que muitas vezes podem ocorrer sem que o titular esteja ciente ou tenha controle sobre o processo. Nesse sentido, a proteção de dados visa garantir a autodeterminação informacional, permitindo que o indivíduo decida como seus dados são utilizados (Amaral, 2021).
Ainda, ressalta-se o entendimento de Viega (2024, p. 63):
Identifica-se, assim, essa nova função da privacidade e a tendência de ampliação de suas funções, que, segundo o autor, caracteriza muitos dos denominados novos direitos e em muito decorre da mudança do ambiente em que circulam os dados e as informações – agora digitais. A necessidade de funcionalização da privacidade, justamente no avanço do conceito em seu reconhecimento como um direito fundamental, que leva ao desdobramento ao direito à proteção de dados pessoais, com características próprias.
A partir do trecho acima, reflete-se no entendimento de que a proteção jurídica da privacidade e dos dados pessoais, embora complementares, devem ser tratadas de forma independente, considerando abrangência de cada uma e suas especificidades. Ademais, conforme já mencionado anteriormente, a evolução tecnológica proporciona um ambiente propício a diversas formas de violação ao direito de privacidade, concomitantemente à proteção aos dados pessoais.
Assim, a proteção jurídica da privacidade e dos dados pessoais precisa ser vista como complementar, mas independente. A privacidade protege o indivíduo em um sentido amplo, enquanto a proteção de dados pessoais garante direitos específicos sobre o uso das informações no ambiente digital. Essa distinção reflete a complexidade da era moderna, em que os dados se tornaram uma das principais moedas de troca nas interações comerciais e sociais, exigindo uma abordagem legal robusta e especializada para salvaguardar os direitos dos indivíduos (Amaral, 2021).
3.2 A TITULARIDADE DOS DADOS SENSÍVEIS DE SAÚDE
A titularidade dos dados pessoais, por sua vez, não implica um direito de propriedade nos moldes tradicionais, mas sim um direito à autodeterminação informacional. Esse conceito, amplamente aceito em diversas legislações, especialmente na União Europeia, vincula a gestão dos dados pessoais ao controle de sua circulação e ao respeito pelos direitos fundamentais do titular. A lógica proprietária, que foca no controle absoluto e alienação, contradiz essa concepção, pois submeter dados pessoais a um regime de propriedade poderia acarretar a sua livre disposição no mercado, desconsiderando o caráter pessoal e inalienável desses dados (Feijó, 2019).
Além disso, a incompatibilidade reside no fato de que a lógica proprietária tende a facilitar a comercialização indiscriminada dos dados, tratando-os como um bem econômico, o que vai contra a proteção conferida aos dados pessoais pelo regime de direitos da personalidade. O tratamento de dados exige consentimento explícito e uma finalidade específica, protegendo o titular de usos abusivos ou desproporcionais. A lógica de propriedade, ao contrário, permitiria a transferência de dados sem que o titular tivesse o controle pleno sobre suas informações (Feijó, 2019).
Ainda, a complexidade do fluxo informacional na sociedade contemporânea, impulsionada pelo desenvolvimento de tecnologias de big data e inteligência artificial, reforça a inadequação do regime de propriedade para os dados pessoais. A necessidade de proteger a dignidade e os direitos fundamentais do indivíduo, em um cenário de crescente coleta e processamento de dados, impõe um regime jurídico baseado nos direitos da personalidade, que garante o controle do titular sobre suas informações, além de prever a tutela especial para dados sensíveis (Feijó, 2019).
Diante disso, Viega (2024, p. 62):
identificam uma estrutura tridimensional da privacidade, em que a expressão “controle de acesso” seria o fio condutor. Nesse sentido, os autores enxergam uma dimensão decisional da privacidade, que seria a proteção que se dá ao modo de vida do indivíduo, aí inseridas suas escolhas, suas opções de religião, convicção política, e outras. O cerne, aqui, seria o desenvolvimento da autonomia individual sem a interferência de outrem e destacam que as posturas esperadas dos demais para respeito a essa dimensão da privacidade seriam a moderação, a reserva, a indiferença e a tolerância. [...]. A dimensão espacial da privacidade, por outro lado, estaria vinculada à noção tradicional de privacidade, em relação ao lar e a espaços protegidos. Trata-se de uma dimensão que pretende a garantia de espaços físicos em que o indivíduo possa desenvolver sua personalidade sem que a sociedade observe ou se manifeste a respeito – um local destinado ao exercício da liberdade e da autorrealização. [...] Por fim, a dimensão informacional da privacidade seria aquela em que a pessoa possui controle de acesso em relação às informações acerca de si e seu grande destaque é diante da realidade de mineração de dados observada atualmente.
A partir do trecho destacado, identifica-se que a como estrutura tridimensional da privacidade, ao abordar as dimensões decisional, espacial e informacional, destaca a centralidade do controle de acesso como fio condutor para proteger a autonomia individual.
3.3 O PAPEL DO CONSENTIMENTO “INFORMADO” NO TRATAMENTO DE DADOS
A autodeterminação, no direito contemporâneo, é um conceito fundamental que reconhece a capacidade dos indivíduos de tomarem decisões sobre suas próprias vidas, baseando-se na sua vontade e autonomia. Este conceito encontra aplicação em diversas áreas, como o direito penal, civil e até mesmo em direitos de personalidade. Ele está intimamente ligado à dignidade da pessoa humana e ao livre desenvolvimento da personalidade, que são princípios norteadores em legislações modernas e na proteção de direitos fundamentais. Um exemplo claro é a autodeterminação informativa, que permite ao indivíduo controlar como seus dados pessoais são coletados e utilizados, algo que se tornou central na era digital (Mendes, 2020).
Na esfera civil, a autodeterminação é particularmente visível em discussões sobre consentimento informado e direitos de pacientes, onde a autonomia individual é respeitada em decisões sobre saúde e tratamentos médicos. O direito do paciente de recusar ou aceitar tratamentos com base em informações completas reflete o reconhecimento de sua autonomia e da importância do consentimento informado. Este conceito, embora fortalecido em diversas legislações, também enfrenta desafios, especialmente quando se discute o equilíbrio entre a autodeterminação individual e o interesse público, como em casos de saúde pública (Mendes, 2020).
Com isso, a autodeterminação enfrenta contínuos desafios e evoluções, especialmente em função dos avanços tecnológicos e da globalização. O direito à autodeterminação informativa foi reconhecido a partir da crescente preocupação com a privacidade e proteção de dados na sociedade digital. Ele reflete a necessidade de adaptação das normas jurídicas às novas realidades sociais e tecnológicas, ampliando o conceito de autodeterminação para abranger a proteção de dados pessoais e o controle sobre informações individuais (Mendes, 2020).
A capacidade e a autodeterminação são princípios essenciais à proteção dos direitos existenciais, direitos estes também chamados de direitos da personalidade. Esses direitos são caracterizados por serem inalienáveis, imprescritíveis e irrenunciáveis, destacando-se pela sua importância para a dignidade humana e para o livre desenvolvimento da personalidade. A proteção desses direitos se dá por meio de uma rede jurídica que preserva a autonomia individual e garante que as escolhas pessoais, dentro dos limites legais, sejam respeitadas (Nunes, 2022).
No âmbito dos direitos existenciais, a capacidade de autodeterminação refere-se à aptidão do indivíduo para tomar decisões sobre sua própria vida, sendo essencial para a realização da dignidade da pessoa humana. A autodeterminação se manifesta na liberdade de o indivíduo agir de acordo com sua vontade, desde que não viole os direitos de terceiros ou o interesse público. Esse princípio é especialmente relevante em áreas como o biodireito e o direito médico, onde o consentimento informado, baseado na plena autonomia do paciente, é fundamental para garantir que intervenções médicas sejam realizadas de acordo com a vontade expressa e consciente do indivíduo (Nunes, 2022).
A autodeterminação jurídica permite que o indivíduo exerça sua capacidade de tomar decisões existenciais, como o controle sobre sua própria saúde, corpo, e informações pessoais. Em casos médicos, por exemplo, a autodeterminação se materializa através do consentimento informado, que garante que o paciente tenha pleno conhecimento e compreensão dos procedimentos a que será submetido, podendo aceitá-los ou recusá-los livremente. Esse processo de consentimento, ao assegurar a transmissão clara e completa de informações, é uma forma de garantir que a pessoa possa exercer sua capacidade de autodeterminação em conformidade com seus direitos existenciais, promovendo a dignidade e a autonomia (Nunes, 2022).
A proteção dos direitos existenciais, portanto, passa pela garantia de que os indivíduos possam exercer sua capacidade de autodeterminação de maneira efetiva. A autonomia individual está intimamente ligada ao reconhecimento da dignidade humana, e o respeito a essa capacidade exige que o ordenamento jurídico preveja mecanismos que protejam a liberdade de escolha dos indivíduos em situações que envolvam seus direitos mais fundamentais. Assim, o equilíbrio entre autonomia e proteção, especialmente em áreas sensíveis como a saúde e a privacidade, é um pilar essencial do direito contemporâneo, assegurando que a autodeterminação seja uma prática efetiva e respeitada dentro da esfera jurídica (Nunes, 2022).
Dentre os elementos que caracterizam um desafio à autodeterminação está no formato em que ocorre o consentimento, em que o adjetivo "informado" carrega nuances significativas em diversos contextos jurídicos e sociais, especialmente quando aplicado à autodeterminação dos indivíduos. No campo da proteção de dados, por exemplo, o consentimento informado refere-se à necessidade de que o titular dos dados tenha pleno conhecimento de todas as implicações do tratamento de suas informações pessoais. Isso inclui saber quem acessará os dados, para quais finalidades, e os riscos associados. O consentimento, portanto, deve ser consciente e livre, sem que o titular seja induzido ou compelido a aceitá-lo sem total compreensão do que está em jogo (Janoti; Marques, 2020).
Contudo, na prática, o repasse de informações, especialmente em contratos e termos de adesão longos e complexos, como aqueles usados em plataformas digitais, muitas vezes não é feito de forma clara e acessível. Estudos mostram que a grande maioria das pessoas não lê esses termos, resultando em um consentimento mais passivo do que ativo. A ausência de clareza e simplicidade nos textos contratuais questiona a validade do consentimento "informado", uma vez que o entendimento do titular sobre o que está sendo consentido pode ser limitado (Janoti; Marques, 2020).
Outro ponto problemático está relacionado à velocidade e à quantidade de informações com as quais o indivíduo precisa lidar. Em um cenário de constante exposição a termos de uso, como ocorre no ambiente digital, a prática de exigir consentimento informado pode ser vista como um formalismo sem eficácia real. Isso levanta questões sobre se o consentimento obtido em tais condições pode ser considerado verdadeiramente "informado", uma vez que o titular não tem tempo nem recursos para avaliar criticamente cada um desses documentos (Janoti; Marques, 2020).
Assim, o consentimento informado, em muitos casos, é utilizado como uma forma de proteger legalmente as instituições, mais do que garantir a autodeterminação do indivíduo. Há uma responsabilidade das empresas e instituições em não apenas fornecer as informações, mas fazê-lo de maneira que o indivíduo possa realmente entender o que está consentindo. Sem essa transparência, o conceito de "informado" perde sua efetividade e coloca em risco os direitos existenciais do titular, especialmente em áreas que envolvem sua privacidade, saúde e dignidade (Janoti; Marques, 2020).
A relação entre a autonomia da vontade do paciente no consentimento informado e a proteção de seus dados pessoais é um tema de extrema relevância, especialmente no contexto atual da sociedade da informação. A autonomia do paciente garante que ele possa decidir sobre o tratamento que deseja ou não receber, com base em informações claras e completas fornecidas pelo profissional de saúde. Isso inclui não apenas as opções terapêuticas, mas também o respeito à privacidade dos dados relacionados à sua saúde, um direito fundamental assegurado pela CF/88 e pela LGPD. Assim, o paciente deve ser informado de como seus dados serão coletados, armazenados e utilizados, assegurando que sua privacidade e integridade sejam respeitadas (Fuller; Fujita, 2020).
Além disso, o consentimento informado vai além da simples aceitação ou recusa de um tratamento médico. Ele se conecta diretamente com a proteção dos dados sensíveis do paciente, como aqueles referentes à sua condição de saúde e tratamentos. Esses dados são considerados informações pessoais de alto nível de proteção pela LGPD, uma vez que revelam aspectos íntimos da identidade do paciente, incluindo suas preferências médicas. O manejo adequado desses dados não apenas garante o respeito à autonomia da vontade, mas também evita discriminações ou violações de direitos, reforçando a dignidade do paciente como princípio constitucional (Fuller; Fujita, 2020).
No cenário da sociedade da informação, a segurança dos dados dos pacientes torna-se ainda mais complexa. O fluxo digital de informações pode expor o paciente a riscos de vazamento ou uso indevido de seus dados de saúde. Para mitigar esses riscos, a LGPD impõe obrigações rigorosas sobre o tratamento de dados sensíveis, exigindo que os profissionais e instituições de saúde obtenham o consentimento explícito do paciente para qualquer uso de suas informações, em conformidade com o princípio da autodeterminação informativa. Isso reforça a importância de medidas de segurança robustas e práticas transparentes na gestão dos dados de saúde (Fuller; Fujita, 2020).
Com isso, a proteção dos dados pessoais do paciente fortalece a confiança na relação médico-paciente, essencial para que o consentimento informado seja plenamente exercido. Sem essa proteção, o paciente pode hesitar em compartilhar informações críticas, comprometendo a eficácia do tratamento. Portanto, a interligação entre o consentimento informado e a proteção dos dados pessoais não apenas assegura a liberdade de escolha do paciente, mas também promove uma assistência médica mais ética e segura, alinhada com os avanços legislativos e tecnológicos da era digita (Fuller; Fujita, 2020).
O conceito de pacientes hipervulneráveis está relacionado àqueles que, em função de condições de saúde particularmente graves ou debilitantes, encontram-se em uma posição de extrema fragilidade na relação médico-paciente. Esses indivíduos não apenas enfrentam desafios de saúde complexos, mas também apresentam dificuldades em exercer sua autonomia plenamente, seja por limitações físicas, cognitivas ou emocionais. A hipervulnerabilidade exige um cuidado redobrado por parte dos profissionais de saúde, de modo a garantir que suas decisões sejam tomadas com base em informações claras e completas, respeitando sempre a dignidade da pessoa humana (Strack; Cunha; Ferreira, 2021).
Na relação médico-paciente, o consentimento informado para pacientes hipervulneráveis deve ser abordado com uma atenção especial. Esses pacientes muitas vezes não possuem plena capacidade de discernimento ou enfrentam situações de desespero que podem influenciar suas escolhas. Assim, cabe ao médico fornecer todas as informações relevantes de maneira acessível e compreensível, garantindo que o paciente tenha uma compreensão adequada dos riscos e benefícios envolvidos nos tratamentos. O médico, como facilitador dessa tomada de decisão, deve atuar como guardião da autonomia do paciente, sem interferir em sua liberdade de escolha (Strack; Cunha; Ferreira, 2021).
A interpretação mais favorável à pessoa humana (pro homine) é um princípio fundamental no tratamento de pacientes hipervulneráveis. Isso significa que, em situações de dúvida ou conflito, deve prevalecer a solução que melhor protege os direitos e a dignidade do paciente. No contexto do consentimento informado, a proteção da autonomia privada do paciente hipervulnerável deve ser assegurada, mesmo que isso signifique renunciar a certas garantias, como no caso de tratamentos experimentais. O importante é que essa decisão seja fruto de uma escolha informada e consciente, ainda que tomada em uma condição de vulnerabilidade (Strack; Cunha; Ferreira, 2021).
Finalmente, a autonomia privada desses pacientes deve ser entendida como uma expressão de sua dignidade, mesmo em condições de hipervulnerabilidade. Embora sejam pessoas mais frágeis e suscetíveis a pressões externas, é essencial que suas escolhas sejam respeitadas. O consentimento informado, portanto, deve ser uma ferramenta que permita ao paciente hipervulnerável exercer sua autonomia de forma plena, com o devido suporte para que suas decisões reflitam sua vontade e não as circunstâncias adversas que o cercam (Strack; Cunha; Ferreira, 2021).
3.4 IMPLICAÇÕES PRÁTICAS NO DIREITO DO PACIENTE COM RELAÇÃO À LGPD
A implementação de leis de proteção de dados, como a LGPD no Brasil, reflete a interligação entre a proteção da privacidade e a salvaguarda dos dados sensíveis. O Estado, por meio dessas legislações, estabelece diretrizes para que organizações e entidades públicas e privadas adotem medidas técnicas e administrativas que garantam a segurança dos dados, prevenindo acessos não autorizados e vazamentos. Além disso, é o Estado que cria os mecanismos de fiscalização e penalização para casos de descumprimento, garantindo, assim, a efetividade dessas normas (Oliveira; Muniz, 2020).
Outro aspecto relevante é o papel do Estado na conscientização da população sobre os riscos relacionados ao tratamento inadequado de dados pessoais sensíveis. Além de legislar, o Estado tem a responsabilidade de educar tanto os titulares dos dados quanto as entidades responsáveis por seu tratamento, promovendo a transparência e o direito à autodeterminação informativa. Assim, o Estado atua como um intermediário entre a sociedade e as corporações, regulando e equilibrando o uso legítimo de informações sensíveis com a preservação da privacidade dos indivíduos (Oliveira; Muniz, 2020).
Assim, a LGPD reforça a conexão entre a privacidade e a proteção dos dados pessoais, especialmente no setor de saúde. A LGPD estabelece que os dados de saúde são classificados como sensíveis, exigindo tratamento diferenciado e maior rigor no cumprimento dos princípios de proteção, como o da necessidade, da transparência e da finalidade. Dessa forma, a proteção dos dados pessoais é uma extensão do direito à privacidade, garantindo que as informações relacionadas à saúde do paciente sejam utilizadas apenas dentro dos limites legais e éticos previamente estabelecidos (Viega, 2024).
Sob o enfoque das implicações práticas no direito do paciente de controle e compartilhamento de suas informações, a Resolução CFM nº 1.605/2000 fortalece a autonomia do paciente ao garantir que o acesso e a divulgação de seu prontuário médico dependam de sua autorização expressa. Isso confere ao paciente maior controle sobre como e quando suas informações de saúde podem ser compartilhadas, assegurando que terceiros, incluindo autoridades judiciais, policiais ou médicas, não possam acessar seus dados médicos completos sem seu consentimento. Essa proteção direta do sigilo médico vai ao encontro dos princípios constitucionais de inviolabilidade da intimidade e vida privada, protegendo os pacientes de eventuais constrangimentos ou exposições indevidas (Conselho Federal de Medicina, 2000).
Em termos práticos, essa resolução também tem impacto sobre o papel do médico como guardião dessas informações, colocando-o em uma posição de responsabilidade no que tange à proteção do prontuário. O paciente, ao ter o controle sobre seus dados, tem o direito de solicitar cópias e decidir sobre o compartilhamento, conforme sua vontade. No entanto, em casos de comunicações compulsórias de doenças ou situações que envolvem crimes, o médico deve atuar de forma restrita, comunicando apenas o essencial para as autoridades competentes. Assim, a resolução equilibra a necessidade de proteção da saúde pública com o direito do paciente ao sigilo e à privacidade de suas informações de saúde (Conselho Federal de Medicina, 2000).
A Resolução CFM 1.638/2002, ao definir o prontuário médico e estabelecer regras para sua elaboração e guarda, impacta diretamente o direito dos pacientes de controle e compartilhamento de suas informações de saúde. Essa resolução reforça o caráter sigiloso do prontuário, reconhecendo seu papel fundamental na continuidade do tratamento e na comunicação entre os profissionais de saúde. Ao tornar obrigatória a criação da Comissão de Revisão de Prontuários, a norma assegura que as informações sejam gerenciadas de forma adequada e supervisionada, garantindo que a qualidade e a integridade dos dados estejam sempre protegidas, o que é essencial para o paciente exercer controle sobre suas informações (Conselho Federal de Medicina, 2002).
Diante disso, a resolução delimita claramente a responsabilidade pela guarda e manutenção dos prontuários, o que fortalece o direito do paciente de acessar e compartilhar seus dados conforme necessário. Isso se alinha com a crescente demanda por transparência e acesso às informações pessoais de saúde, permitindo ao paciente maior autonomia na gestão de suas informações. A regulamentação também assegura que, em caso de necessidade de compartilhamento de dados para fins de tratamento ou pesquisa, esse processo ocorra de maneira ética e controlada, respeitando os direitos fundamentais de privacidade do paciente (Conselho Federal de Medicina, 2002).
A Resolução CFM 1.821/2007 estabelece normas técnicas para a digitalização e uso de sistemas informatizados no armazenamento e manuseio de prontuários médicos, permitindo a eliminação de documentos físicos. Do ponto de vista do direito do paciente, essa resolução assegura maior controle e acessibilidade às suas informações de saúde. Ao prever que os dados contidos nos prontuários pertencem ao paciente, a resolução estabelece que a divulgação dessas informações depende da autorização do próprio paciente ou de seu representante legal, ou ainda por exigência legal. Essa prerrogativa reforça o direito à privacidade e ao sigilo das informações de saúde (Conselho Federal de Medicina, 2007).
Além disso, a resolução traz implicações práticas importantes ao permitir o compartilhamento de informações identificadas de saúde de maneira digital, desde que os sistemas utilizados atendam a rigorosos padrões de segurança (NGS2). Isso amplia o acesso às informações de saúde pelos próprios pacientes, facilitando, por exemplo, a solicitação de cópias autenticadas de seus prontuários. No entanto, essa digitalização também traz o desafio de garantir a segurança dos dados, o que exige sistemas certificados que garantam a confidencialidade e a integridade das informações, respeitando o direito do paciente à proteção de seus dados pessoais (Conselho Federal de Medicina, 2007).
A Recomendação CFM Nº 3/14 destaca a importância do controle do paciente sobre suas informações médicas, principalmente após sua morte. O direito de decidir sobre o acesso ao prontuário médico é fundamental para garantir a privacidade e a autonomia do paciente, ao passo que a recomendação requer que os médicos informem os pacientes sobre a necessidade de manifestarem expressamente a objeção ao compartilhamento de seus dados médicos após o falecimento. Na prática, essa medida protege o sigilo médico e a privacidade, pois apenas familiares comprovadamente vinculados podem solicitar o prontuário, respeitando a ordem de vocação hereditária (Conselho Federal de Medicina, 2014).
No contexto do direito do paciente, essa recomendação reforça a relevância da transparência e do consentimento informado no controle de dados pessoais sensíveis. A medida prática envolve não apenas a proteção de dados contra acessos indevidos, mas também a necessidade de conscientização do paciente sobre como suas informações podem ser tratadas no futuro, fortalecendo o papel dos profissionais de saúde na orientação clara e no cumprimento das normas éticas e legais de proteção à privacidade (Conselho Federal de Medicina, 2014).
3.4.1 Apelação Cível nº 1025549-54.2021.8.26.0100 – Tribunal de Justiça de São Paulo
A jurisprudência em análise destaca a aplicação da responsabilidade civil objetiva no contexto de vazamento de dados sensíveis de saúde, considerando as disposições da LGPD e do CDC. Conforme consta na ementa do acórdão a seguir:
APELAÇÃO – AÇÃO DE REPARAÇÃO DE DANOS E OBRIGAÇÃO DE FAZER – VAZAMENTO DE DADOS E INFORMAÇÕES PESSOAIS DO AUTOR – RESPONSABILIDADE OBJETIVA DA RÉ SEGURADORA – CONSOANTE DIRETRIZES DA LEI GERAL DE PROTEÇÃO DE DADOS E CÓDIGO DE DEFESA DO CONSUMIDOR – DANO MORAL CONFIGURADO – VALOR MAJORADO I – Falha na prestação dos serviços executados pela seguradora ré que permitiu acesso a dados pessoais do autor a terceiros. Responsabilidade objetiva. Dever de indenizar; II – A LGPD que traz o conceito de dado sensível como aquele pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Incontroverso, que as informações vazadas dizem respeito, dentre outros, às informações de saúde, bens e beneficiários do autor, plenamente enquadráveis, portanto, dentro do conceito de dados sensíveis enunciado na norma acima referida; III – Dano moral configurado de natureza in re ipsa, cuja existência se presume a partir do mero vazamento dos dados pessoais, sendo prescindível a existência de demonstração de que do episódio resultou algum tipo de efeito deletério para o autor. Indenização cujo valor foi majorado para R$ 15.000,00 (quinze mil reais); IV – Obrigação de fazer imposta na r. sentença afastada, razão pela qual, o provimento em parte do apelo da requerida. RECURSO da parte autora, por maioria de votos, PROVIDO EM PARTE, majorando-se a indenização pelos danos morais sofridos para R$ 15.000,00 (quinze mil reais) RECURSO da parte ré, por votação unânime, PROVIDO EM PARTE (Tribunal de Justiça de São Paulo, 2023).
Neste caso, o Tribunal de Justiça de São Paulo reafirma a importância da proteção desses dados, especialmente devido ao caráter sensível das informações vazadas e o impacto que tal vazamento pode gerar para o titular dos dados. Ao reconhecer o direito do autor à reparação por danos morais, a decisão fortalece o entendimento de que empresas que coletam e armazenam dados de seus clientes possuem o dever de garantir a segurança dessas informações, evitando o acesso não autorizado por terceiros (Tribunal de Justiça de São Paulo, 2023).
No tocante à responsabilidade civil, o Tribunal adota a responsabilidade objetiva, ou seja, independe da comprovação de culpa da seguradora ré. Baseando-se no CDC e na LGPD, entende-se que a empresa responde pelos danos causados por falhas em seus serviços, considerando que o risco de sua atividade econômica impõe-lhe a obrigação de resguardar a integridade dos dados pessoais de seus clientes. A responsabilidade objetiva aplica-se quando há defeito na prestação do serviço que leva ao vazamento de dados, como ocorreu neste caso, em que um incidente de cibersegurança comprometeu a confidencialidade das informações do autor (Tribunal de Justiça de São Paulo, 2023)
O conjunto probatório utilizado para comprovar o vazamento de dados inclui a notificação feita pela própria seguradora ao autor sobre o incidente de cibersegurança em seu sistema, detalhando as informações potencialmente acessadas por terceiros. Esse reconhecimento do evento pela empresa configura evidência suficiente de que o vazamento de dados de fato ocorreu, e a ausência de provas pela ré quanto a práticas eficazes de proteção dos dados reforçou sua responsabilidade no caso (Tribunal de Justiça de São Paulo, 2023).
Em relação à quantificação da indenização, o Tribunal, embora reconheça o caráter lesivo do vazamento, considerou adequado majorar o valor inicialmente arbitrado para R$ 15.000,00. Esse montante foi fixado com base no entendimento de que a compensação deve refletir o sofrimento experimentado pelo autor, sem, contudo, acarretar enriquecimento indevido. A indenização também visa desestimular a reincidência de tais práticas por parte da seguradora, demonstrando o compromisso do judiciário em proteger o titular dos dados e garantir uma resposta proporcional ao dano sofrido (Tribunal de Justiça de São Paulo, 2023).
3.4.2 Apelação Cível nº 1023648-76.2023.8.26.0554 – Tribunal de Justiça de São Paulo
A presente jurisprudência analisa um caso de apelação envolvendo a Bradesco Saúde S/A e uma segurada que alegou ter sofrido vazamento de dados sigilosos, resultando em fraude através do golpe do boleto falso. O processo foi julgado pela 17ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo, que negou provimento ao recurso interposto pela Bradesco Saúde. A decisão abordou a responsabilidade da instituição financeira no contexto de proteção dos dados pessoais dos consumidores, embasando-se no CDC e na LGPD (Tribunal de Justiça de São Paulo, 2024).
Como extraído do acórdão a seguir ementado:
APELAÇÃO. AÇÃO DE INDENIZAÇÃO POR DANOS MATERIAIS E MORAIS. PLANO DE SAÚDE. GOLPE DO BOLETO FALSO. VAZAMENTO DE DADOS. RELAÇÃO DE CONSUMO. 1. Pretensão recursal. Insurgência da companhia securitária contra sentença que a condenou ao pagamento de danos materiais e morais. 2. Responsabilidade pela proteção de dados. Golpista que entrou em contato com a autora (após ela ter negociado boleto atrasado com a ré), estando ciente dos seus dados e da inadimplência referida. Companhia securitária que não demonstrou a proteção adequada dos dados da autora, eis que: a) houve falha no sistema de segurança ("vazamento de dados") permitindo que o fraudador tivesse acesso aos dados sigilosos da autora; b) descumpriu o dever de guarda dos dados da consumidora, conforme art. 42. da LGPD. Incidência da Súmula 479 do C. STJ que materializa fortuito interno. 3. Elementos de identidade entre o boleto verdadeiro e o falso incluem CNPJ de ambas as partes, número da apólice, número da fatura, número da carteira e proposta, valor exato do documento, dados do pagador, endereço e número da chave do pagamento. Falsário que sabia do inadimplemento da autora no mês de março de 2023 junto à seguradora. 4. Nexo causal. Configuração. A negligência da apelante em proteger dados pessoais foi causa direta do prejuízo material e moral sofrido pela recorrida. Envio de boleto falso contendo informações precisas do contrato e da pendência de pagamento do mês de março de 2023 demonstrou falha de segurança. 5. Dano moral. Caracterização. Negativa de cobertura do plano de saúde gerou abalo psicológico e emocional significativo à recorrida. Fraude e consequente perda temporária da cobertura do plano de saúde enfrentada pela autora justificam indenização. 6. Quantificação. Valor de R$ 5.000,00 compatível com a gravidade do dano e respeitando os princípios da razoabilidade e proporcionalidade. A quantia atende aos critérios legais e não configura enriquecimento sem causa. Majoração da verba honorária (CPC/15, art. 85, § 11º). 7. Recurso não provido (Tribunal de Justiça de São Paulo, 2024).
O acórdão ressaltou que o vazamento dos dados da autora, pela Bradesco Saúde, configurou uma falha na proteção de informações sensíveis, o que permitiu que terceiros se apropriassem dos dados para emitir um boleto fraudulento. Esse evento evidenciou o descumprimento das obrigações de segurança e guarda de dados estabelecidas pela LGPD. A responsabilidade da seguradora foi fundamentada no fato de que o acesso não autorizado às informações do contrato, como número de apólice e detalhes financeiros, foi determinante para que a fraude ocorresse, violando o dever de proteção dos dados da autora (Tribunal de Justiça de São Paulo, 2024).
Conforme entendimento consolidado na jurisprudência, o Tribunal entendeu que a responsabilidade civil da seguradora pelo vazamento de dados é objetiva, especialmente em casos envolvendo a prestação de serviços de saúde. O Tribunal aplicou a teoria do fortuito interno, que atribui à instituição a responsabilidade pelos riscos inerentes à sua atividade econômica. Portanto, o Tribunal afastou a tese de exclusão de culpa defendida pela seguradora, considerando que a negligência em adotar medidas de segurança configurou a violação dos direitos do consumidor (Tribunal de Justiça de São Paulo, 2024).
O conjunto probatório que sustentou a decisão incluiu a comparação entre o boleto original e o boleto fraudulento. Ambos os documentos apresentavam informações exatas e detalhadas do contrato da autora, o que indicou vazamento dos dados pela seguradora. O conhecimento do golpista sobre o inadimplemento da autora reforçou a conclusão de que houve acesso não autorizado às informações confidenciais, violando o direito de proteção dos dados. Esse vazamento demonstrou a falha no sistema de segurança da Bradesco Saúde, que permitiu a obtenção indevida dos dados e possibilitou o golpe (Tribunal de Justiça de São Paulo, 2024).
O valor de R$ 5.000,00 foi arbitrado a título de danos morais pela falha no serviço da seguradora, que gerou abalo psicológico e emocional à autora devido à interrupção temporária do seu plano de saúde. Na quantificação, o Tribunal observou os princípios da razoabilidade e proporcionalidade, considerando a gravidade do dano, o poder econômico da seguradora e a vulnerabilidade da consumidora. A indenização foi mantida com o objetivo de compensar o sofrimento da autora e cumprir a função punitiva e pedagógica da sanção, sem caracterizar enriquecimento sem causa (Tribunal de Justiça de São Paulo, 2024).