Lei de Proteção aos Dados cada vez menos respeitada na área da saúde

0429 – 09/08/2025

Ref.: Cursos Profissionalizantes em Gestão da Saúde, Geografia Econômica da Saúde no Brasil e Jornada da Gestão em Saúde no Brasil

Interesse econômico prevalecendo sobre a segurança da informação, a ética e ao respeito aos profissionais assistenciais

(*) todos os gráficos e ilustrações são partes integrantes do Estudo Geografia Econômica da Saúde no Brasil e do material didático do Programa Cursos Profissionalizantes em Gestão da Saúde, dos cursos da Jornada da Gestão em Saúde e da Escepti

Os gráficos demonstram uma coisa que poucas pessoas no Brasil têm a dimensão:

· A quantidade de internações e de atendimentos externos (não internações) realizadas na saúde suplementar regulada pela ANS no Brasil;

· Na saúde privada geral os números são maiores que estes, porque a saúde suplementar não regulada pela ANS, justamente por não ser regulada, não permite calcular o volume total;

· O que ocorre no SUS, para quem não é do ramo, gera volumes ainda maiores que estes, especialmente nos atendimentos externos.

O que existe de subliminar nesta análise é que não existe outro segmento de mercado que gere tanta informação pessoal, ou privilegiada, ou sigilosa ... do que a saúde.

Pode até existir segmento de mercado que “embarque” maior volume de eventos ... bancário, por exemplo:

Mas que registra nas transações dados pessoais de maior volume e variedade nas transações: “nem pensar” ... não chega aos pés da área da saúde;

Voce tem “bilhões” de transações de PIX, em que transitam os “códigos-chave”, valor, data ... mas não dados pessoais de quem está “do lado de cá e do lado de lá” da transação, como ocorre nas transações da área da saúde.

Estamos “falando” aqui de algo próximo de 10 milhões de internações por ano:

· Lembrando ... só na saúde suplementar regulada, sem contar a não regulada, e sem contar o SUS;

· E estamos falando de algo próximo de 900 milhões de atendimentos externos de atendimentos externos por não ... quase 1 bilhão ... só na saúde suplementar regulada;

· Em 100 % desses eventos temos dados de pacientes transitando por sistemas de informação, e/ou e-mails, e/ou whatsapp, e ou outras redes sociais e aplicativos.

E, que Deus nos ajude, não estamos tendo o menor cuidado em estabelecer critérios minimamente seguros para que este trâmite de informações e, principalmente, o acesso a estas informações estejam próximos do que “reza” a LGPD !

Um absurdo o que nós estamos fazendo de ruim para nós mesmos !

E pior, como não temos tido o menor cuidado em regrar alguma coisa de forma minimamente adequada, estamos assistindo atônitos a escalada da disseminação e acesso indevido às informações dos pacientes de forma cada vez mais ilegal, antiética e imoral:

· Estamos simplesmente “banalizando” o crime, se acostumando com uma rotina de ilegalidade como sendo “coisa normal”;

· E pior ... em determinadas situações correndo o risco de sermos punidos quando nos colocamos à frente de uma situação se negando a “compactuar” com o cenário !!

Se voce tem uma doença, quem disse que voce tem uma doença, se precisa fazer um procedimento, quem disse que voce precisa realizar este procedimento ...

Se voce pensa que tem uma doença porque alguém disse, mas na verdade não tem ...

· ... quem disse que voce tem uma doença, mas na verdade voce não tem ...

· ... quem contesta o diagnóstico que lhe foi dado ...

· ... que medicamento voce usa ... para que serve o medicamento ...

· ... se abortou ! ...

· ... tudo isso está em uma “cesta de informação e desinformação” sem proteção prática;

· Tenha certeza de uma coisa: tem mais informação sua sendo compartilhada sem o seu conhecimento ... sem o seu consentimento ... do que voce pode imaginar ... acredite ... tenha certeza disso !

· Se isso já lhe prejudicou ... evidentemente .. voce não tem a menor condição de saber !!

Vale a pena ressaltar do que estamos falando ...

Aquele volume de internação do gráfico anterior, que só cresce ano após ano, que já é um elevadíssimo volume só de registro de internações, gera quase 10 vezes mais registros relacionados a estas internações nas contas hospitalares na saúde suplementar:

· O gráfico demonstra apenas os registros nas contas ... nos prontuários dos pacientes são gerados mais de 100 vezes de registros em média ... só quem é do ramo entende e sabe do que estamos frisando nesta afirmação;

· O registro da internação na conta já informa quem é o paciente, de quem ele é cliente, qual a doença que originou sua internação, qual o procedimento principal a que foi submetido, sexo, idade ...

· Os itens das contas informam detalhadamente, qual o médico e alguns dos profissionais assistenciais que realizaram os procedimentos, quais os medicamentos e materiais foram utilizados, se usou equipamentos, se “ficou no oxigênio” e muito ... muito ... muito mais.

Pela necessidade, ou as vezes pelo pretexto, de aferir se a conta é fidedigna ao evento de internação para que a fonte pagadora (operadora de planos de saúde, ou empresa contratante, ou pessoa física, ou SUS) tenha alguma segurança de que não está pagando por algo que não foi feito, ou que não deveria ter sido feito segundo melhores práticas da medicina, registramos nela detalhadamente “tim-tim por tim-tim” tudo que possa justificar a cobrança de alguma coisa referente a internação:

· A base desta prática é legítima, como podemos ver;

· Mas a forma como o acesso a estas informações se consolidou, o aparato de acesso a estas informações e, principalmente, o “uso colateral” destas informações para outras coisas que não tem nada a ver com o propósito de aferir a compatibilidade do custo apresentado com a necessidade de realizar o procedimento ... isso ... foi se deteriorando, até chegarmos no ponto absolutamente inaceitável que estamos agora.

Quando a gente se protege ... quando utilizamos senhas e dupla e tripla verificação no uso da nossa conta corrente bancária por exemplo ... já estamos propensos a sermos vítimas de fraudes ... e somos fraudados ... somos roubados !

· Quando não nos protegemos, quem está com intenção de fraudar tem muito mais liberdade para fazê-lo, não é verdade;

· O que está acontecendo na saúde é simplesmente isso: estamos usando aplicativo de banco em um celular que não tem tela de bloqueio nem senha no aplicativo, se é que me entende !

· “Prato cheio” para quem deseja explorar esta vulnerabilidade.

E, infelizmente, com tendência mais do que “liquida e certa” de piorar, especialmente utilizando IA, se é que me entende também !

Nos atendimentos externos também são geradas informações, muitas vezes até mais delicadas sobre o paciente do que as que tramitam em contas de internações:

· Estamos falando de bilhões de informações ... bilhões mesmo, sem qualquer exagero ... que têm valor assistencial para diagnóstico, definição de conduta, procedimentos de baixa e média complexidades;

· Informações que, usadas de forma adequada no ciclo assistencial do paciente, tem um valor requerido para a assertividade dos tratamentos ... para a resolutividade dos procedimentos;

· Informações que, usadas em conjunto com as das informações, de forma adequada definem a epidemiologia da população, e permite o planejamento adequado da saúde, maximizando a utilização dos recursos para melhorar o acesso à saúde e a qualidade de vida das pessoas ...

· ... e, é claro, ajudam a planejar melhor as condutas do ciclo de tratamento da doença do paciente.

Mas informações que, usadas de forma inadequada, podem destruir a vida das pessoas:

· Prejudicá-las socialmente expondo dados que devem ficar no foro íntimo do profissional da saúde e do paciente;

· Prejudicá-las profissionalmente ... quantas pessoas não perderam oportunidades profissionais porque informações sobre doenças pré-existentes vazaram ?

· E pior ... quando são prejudicadas porque informações “fora de contexto” vazaram, e foram julgadas por pessoas que não têm discernimento de avaliação !

Os atendimentos externos são cada vez mais frequentes, crescendo proporcionalmente muito mais do que as internações, e estão cada vez mais desprotegidos:

· Eventos que ocorrem em instituições de grandíssimo, grande, médio, pequeno e irrisório portes, sem que alguma ação governamental de proteção aos dados que geram efetivamente exista;

· Algum questionamento em relação ao tema em grandes instituições, insignificante diga-se de passagem, e absolutamente nenhuma ação real de compliance em relação às demais que representam quase 100 % do cenário público e privado;

· Tudo é proibido ... nada é cumprido ... e fica tudo por isso mesmo !

O descalabro é conhecido por todos, e banalizou:

· O auditor de contas da fonte pagadora tendo acesso aos prontuários deveria ser o único ator que poderia acessar dados de atendimentos além dos médicos e profissionais de saúde que realizam os procedimentos, e o próprio paciente;

· E neste âmbito até que existe “algum esboço de controle de acesso” ... completamente ineficiente, mas não dá para dizer que não existe.

Na prática, uma infinidade de outros profissionais ... e de amadores ... acessam dados de pacientes e não tomam o menor cuidado em dar a devida proteção que estes dados requerem !

Por mais incrível que possa parecer, criamos um cenário em que a maioria das pessoas que mais constantemente acessam o prontuário dos pacientes não se configuram por ser o paciente, o médico e o médico auditor ... “seria cômico se não fosse trágico”.

Poderia “editar uma enciclopédia” com eventos que ilustram graves violações da proteção de dados que presenciei ao longo dos anos, e que vão se avolumando em amplitude conforme o tempo vai passando ... acho que ilustrar com apenas alguns dará a dimensão do problema para o leitor que não tem “muita intimidade” com o que estamos tratando aqui.

Recebi de uma pessoa com quem tinha conexão no LinkedIn (não tenho mais) um contato pelo Whatsapp para avaliar porque uma paciente estava demorando para ser atendida no hospital:

· Entendia que se tratava de uma paciente da saúde suplementar e pedi para passar o caso para que eu pudesse averiguar, se existia algum problema de autorização, ou outra trava administrativa;

· Esperava receber o nome do paciente, operadora, plano e alguma informação sobre o pedido de internação / cirurgia;

· Não era caso da saúde suplementar, e sim do SUS !

· Ele enviou cópia do documento de identidade, uma infinidade de relatórios médicos, inclusive resultados de exames, escancarando CRMs, CIDs, contestações técnicas e administrativas ... por mais que a gente ache que já viu de tudo nesta vida, fiquei perplexo !

· Como ele conseguiu todas aquelas informações ? ... não sendo nem mesmo médico ... não tendo nenhuma participação no processo de tratamento da pessoa ... dizendo que estava querendo ajudar uma pessoa que necessitava do acesso e não estava tendo ... este cenário de absoluta falta de controle explica !!

Da área de credenciamento de uma operadora, foi disparado um pedido de avaliação para segunda opinião para realização de um procedimento de um paciente por parte de uma enfermeira auditora:

· Disparado por e-mail para uma lista de pessoas, sem identificar inclusive as pessoas (tudo em cópia oculta);

· Com o caso completo do paciente ... dados de prontuário, relatório médico formalizando o pedido de procedimento ... tudo, tudo, tudo ... para uma lista de pessoas que jamais deveria ter acesso a este tipo de informação, e que não tem ligação alguma com o caso.

Teria, como comentei, uma lista de milhares de casos para relatar ... atuando na área pública e privada, tanto em fontes pagadoras como em serviços de saúde, em áreas que lidam com a contratualização entre as instituições, a gente vê coisas que “até Deus duvida”:

· Se não fica muito claro nestes 2 exemplos, não é somente o paciente o prejudicado nos eventos;

· Os médicos que produzem os relatórios ...

· ... e todos os profissionais de saúde que registram informações nos prontuários dos pacientes ...

· ... estão tendo suas condutas “covardemente” julgadas por terceiros, com “trechos de documentação” colocados completamente “fora de contexto” com o objetivo único de contestar a organização do sistema de financiamento, ou de forma ainda mais do que absurda, de burlar regras de regulação ou para “furar fila” ou para “postergar ou negar” o acesso, em nome da redução da sinistralidade.

Para onde estamos caminhando ?

Daqui a pouco vamos achar normal que se criem grupos de whatsapp para registrar o prontuário dos pacientes, que são mais práticos para se proliferar as informações indiscriminadamente do que sistemas de prontuário eletrônico !

E vamos lembrar que temos hoje centenas de empresas cujo modelo de negócios é questionar condutas médicas, com o pano de fundo de reduzir o desperdício ou adequar o melhor tipo de desfecho para o paciente, mas que são remuneradas por um “fee for service” do valor da redução das contas ... o discurso da atuação com foco assistencial completamente diferente do modelo de sustentação da empresa que se baseia na contestação da conduta, na glosa, no conflito, simplesmente para reduzir o valor da conta.

É o interesse da redução da sinistralidade para a fonte pagadora se impondo cada vez mais à ética e a moral, porque é possível medir a redução da sinistralidade e pagar por quem a operacionaliza, mas por enquanto não temos nenhum mecanismo real nos sistemas de financiamento que premia a qualidade, a ética e a moralidade.

Repetindo o escrito em vários textos: é urgente, não somente o desenho de uma LGPD específica para a área da saúde mas, principalmente, que existam controles efetivos sobre o cumprimento das leis de proteção de dados, punindo exemplarmente “a indústria” que se desenvolveu em função da não existência disso.

É mais que urgente !

Consultoria  e  Coaching de Carreira  para gestores na área da saúde privada e pública  www.escepti.com.br

Cursos Profissionalizantes em Gestão da Saúde  para gestores da saúde privada e pública     www.cpgs.net.br

Jornada da Gestão em Saúde de cursos abertos e “in company”  www.jgs.net.br

Lista de milhares de profissionais certificados   www.escepti.com.br/certificados

Conteúdo especializado para gestores da área da saúde privada e pública  www.noticia.net.br

Geografia Econômica da Saúde no Brasil, e seminários temáticos  www.gesb.net.br

Modelos para gestão em saúde (livros gratuitos para download)  www.escepti.com.br

Contato  contato@escepti.com.br

Sobre o autor Enio Jorge Salu

CEO da Escepti Consultoria e Treinamento

Histórico Acadêmico

· Formado em Tecnologia da Informação pela UNESP – Universidade do Estado de São Paulo

· Pós-graduação em Administração de Serviços de Saúde pela USP – Universidade de São Paulo

· Especializações em Administração Hospitalar, Epidemiologia Hospitalar e Economia e Custos em Saúde pela FGV – Fundação Getúlio Vargas

· Professor em Turmas de Pós-graduação na Faculdade Albert Einstein, Fundação Getúlio Vargas, FIA/USP, FUNDACE-FUNPEC/USP, Centro Universitário São Camilo, SENAC, CEEN/PUC-GO e Impacta

· Coordenador Adjunto do Curso de Pós-graduação em Administração Hospitalar da Fundação Unimed

Histórico Profissional

· Pesquisador Associado e Membro do Comitê Assessor do GVSaúde – Centro de Estudos em Planejamento e Gestão de Saúde da EAESP da Fundação Getúlio Vargas

· Membro Efetivo da Federação Brasileira de Administradores Hospitalares

· CIO do Hospital Sírio Libanês, Diretor Comercial e de Saúde Suplementar do InCor/Fundação Zerbini, e Superintendente da Furukawa

· Diretor no Conselho de Administração da ASSESPRO-SP – Associação das Empresas Brasileiras de Tecnologia da Informação

· Membro do Comitê Assessor do CATI (Congresso Anual de Tecnologia da Informação) do Centro de Tecnologia de Informação Aplicada da Fundação Getúlio Vargas

· Associado NCMA – National Contract Management Association

· Associado SBIS – Sociedade Brasileira de Informática em Saúde

· Autor de 12 livros pela Editora Manole, Editora Atheneu / FGV e Edições Próprias

· Gerente de mais de 200 projetos em operadoras de planos de saúde, hospitais, clínicas, centros de diagnósticos, secretarias de saúde e empresas fornecedoras de produtos e serviços para a área da saúde e outros segmentos de mercado