Prova: OAB 45Ano: 2025Banca: FGV1ª faseVer caderno oficial
Enunciado
A Farmácia Vida+, participante de um programa de descontos vinculado à operadora de planos de saúde MedSaúde S.A., compartilhou com a operadora informações detalhadas sobre as compras de seus clientes, incluindo medicamentos adquiridos, frequência das compras e histórico de uso de fármacos. Esse compartilhamento foi realizado sem o consentimento explícito dos clientes, sob a justificativa de que a MedSaúde S.A. poderia utilizar os dados para oferecer benefícios personalizados e otimizar seus serviços de saúde.
Ao tomar conhecimento da prática, Cristina, uma das clientes da farmácia, procurou você, como advogado(a) para emitir parecer sobre o caso, especialmente sobre a configuração da violação de algum direito.
Diante dessa situação e com base na Lei Geral de Proteção de Dados (LGPD), assinale a opção que apresenta, corretamente, o parecer emitido.
- A
O compartilhamento de dados foi legal, pois tanto a farmácia como a operadora de saúde são autorizadas a tratar os dados pessoais de saúde para a execução dos seus contratos.
Comentário da alternativa A, incorreta.
Comentário
A alternativa está errada.
O primeiro passo para resolver a questão é identificar a natureza das informações compartilhadas. Dados sobre medicamentos adquiridos e histórico de uso de fármacos revelam aspectos relacionados à saúde dos clientes e, portanto, constituem dados pessoais sensíveis, conforme o Art. 5º, II, da LGPD.
Essa classificação é importante porque os dados sensíveis estão submetidos a um regime próprio de tratamento. A simples existência de um contrato não autoriza, por si só, o compartilhamento dessas informações.
No regime dos dados sensíveis, o Art. 11, II, d, da LGPD permite o tratamento sem consentimento quando ele for indispensável ao exercício regular de direitos, inclusive em contrato. Isso é diferente de afirmar que qualquer tratamento necessário à execução de um contrato está automaticamente autorizado. Da mesma forma, o Art. 11, II, f, da LGPD admite o tratamento indispensável à tutela da saúde, mas exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
No caso, o enunciado não apresenta o compartilhamento do histórico farmacêutico como indispensável ao exercício regular de direitos contratuais nem como parte de um procedimento concreto de tutela da saúde. A finalidade indicada é oferecer benefícios personalizados e otimizar os serviços da operadora. Portanto, a existência dos contratos não constitui autorização genérica para o compartilhamento dos dados sensíveis.
- B
A Farmácia Vida+ violou a LGPD ao compartilhar dados pessoais sensíveis sem o consentimento dos titulares, estando sujeita a sanções e obrigada a eliminar os dados compartilhados.
Comentário da alternativa B, correta.
Comentário
A alternativa está correta.
Os dados compartilhados pela Farmácia Vida+ dizem respeito à saúde dos clientes e constituem dados pessoais sensíveis, conforme o Art. 5º, II, da LGPD.
O Art. 11, I, da LGPD permite o tratamento dessa categoria de dados mediante consentimento específico e destacado do titular para finalidades específicas. A ausência de consentimento, contudo, não torna automaticamente ilícito todo tratamento de dados sensíveis, pois o Art. 11, II, da LGPD também prevê hipóteses em que eles podem ser tratados sem consentimento.
No caso, porém, não foi apresentada nenhuma hipótese que legitime o compartilhamento realizado. Em especial, os dados não foram descritos como indispensáveis ao exercício regular de direitos em contrato, hipótese do Art. 11, II, d, da LGPD, nem como tratamento realizado para tutela da saúde nas condições estabelecidas pelo Art. 11, II, f, da LGPD. A justificativa apresentada foi apenas a oferta de benefícios personalizados e a otimização dos serviços da operadora.
A parte final da alternativa, ao afirmar que a farmácia está obrigada a eliminar os dados, exige uma precisão. O Art. 18, IV e § 3º, da LGPD assegura ao titular, mediante requerimento, o direito de obter a anonimização, o bloqueio ou a eliminação dos dados desnecessários, excessivos ou tratados em desconformidade com a lei.
Além disso, o Art. 52, VI, da LGPD prevê a eliminação dos dados pessoais relacionados à infração como uma das sanções administrativas aplicáveis pela autoridade nacional. Essa sanção, porém, não decorre automaticamente da simples constatação da irregularidade: o Art. 52, § 1º, da LGPD estabelece que as sanções serão aplicadas após procedimento administrativo que assegure oportunidade de ampla defesa e considere as peculiaridades do caso concreto.
Assim, a alternativa deve ser compreendida no sentido de que o tratamento irregular sujeita a farmácia às consequências previstas na LGPD e permite a eliminação dos dados pelos mecanismos legalmente estabelecidos. Não significa que toda e qualquer infração produza, de forma imediata e automática, uma sanção administrativa de eliminação.
- C
O compartilhamento de dados foi lícito, pois a operadora de saúde tem interesse legítimo na obtenção dessas informações para aprimorar os seus serviços e oferecer benefícios aos clientes.
Comentário da alternativa C, incorreta.
Comentário
A alternativa está errada.
A pegadinha está na utilização do legítimo interesse como fundamento para o tratamento de dados de saúde.
O legítimo interesse aparece no Art. 7º, IX, da LGPD como uma das bases legais para o tratamento de dados pessoais em geral. Ocorre que o histórico de medicamentos de Cristina constitui dado pessoal sensível e, para essa categoria, a lei estabelece um regime específico.
O Art. 11, I e II, da LGPD disciplina as hipóteses em que os dados pessoais sensíveis podem ser tratados, seja mediante consentimento específico e destacado, seja, independentemente de consentimento, nas situações taxativamente indicadas pelo dispositivo. O legítimo interesse não aparece entre essas hipóteses.
Portanto, ainda que a MedSaúde considere comercial ou operacionalmente vantajoso conhecer o histórico farmacêutico de seus clientes para aprimorar serviços e oferecer benefícios, esse interesse não constitui, por si só, base jurídica suficiente para o tratamento dos dados sensíveis de saúde.
- D
O compartilhamento de dados foi ilegal, mas a Farmácia Vida+ não pode ser responsabilizada, pois a operadora de planos de saúde é a responsável final pelo tratamento das informações, mas ambas são obrigadas a eliminar os dados.
Comentário da alternativa D, incorreta.
Comentário
A alternativa está errada.
A alternativa reconhece corretamente que o compartilhamento foi ilícito, mas erra ao afirmar que a Farmácia Vida+ não poderia ser responsabilizada porque a operadora seria a “responsável final” pelo tratamento.
A LGPD não estabelece uma regra segundo a qual a participação de outro agente em etapa posterior do tratamento elimina a responsabilidade daquele que praticou uma operação anterior. O próprio compartilhamento ou comunicação dos dados integra a atividade de tratamento, e foi a Farmácia Vida+ que transmitiu à operadora os dados sensíveis de seus clientes.
O Art. 42, da LGPD estabelece a obrigação de reparação para o controlador ou operador que, no exercício de atividade de tratamento de dados pessoais, causar dano em violação à legislação de proteção de dados.
Portanto, o fato de a MedSaúde posteriormente receber e utilizar as informações não torna a farmácia juridicamente irresponsável pelo compartilhamento que ela própria realizou. Não existe a transferência automática de toda a responsabilidade para um suposto “responsável final” pelo tratamento.
Dispositivos legais
Veja abaixo os dispositivos de lei cobrados na questão.
Art. 5º Para os fins desta Lei, considera-se:
[...]
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:
IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei;
§ 3º Os direitos previstos neste artigo serão exercidos mediante requerimento expresso do titular ou de representante legalmente constituído, a agente de tratamento.
Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional:
[...]
VI - eliminação dos dados pessoais a que se refere a infração;
§ 1º As sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes parâmetros e critérios:
I - a gravidade e a natureza das infrações e dos direitos pessoais afetados;
II - a boa-fé do infrator;
III - a vantagem auferida ou pretendida pelo infrator;
IV - a condição econômica do infrator;
V - a reincidência;
VI - o grau do dano;
VII - a cooperação do infrator;
VIII - a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com o disposto no inciso II do § 2º do art. 48 desta Lei;
IX - a adoção de política de boas práticas e governança;
X - a pronta adoção de medidas corretivas; e
XI - a proporcionalidade entre a gravidade da falta e a intensidade da sanção.
Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:
[...]
II - os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclusão previstos no art. 43 desta Lei.
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou