Farmácia é um dos negócios que mais trata dado sensível no Brasil e quase nenhuma percebe isso. O balconista pede CPF pra aplicar o desconto do dia, o sistema guarda a receita do antibiótico controlado, o programa de fidelidade sabe que o cliente compra insulina toda quinzena. Cada um desses três pontos, sozinho, já é tratamento de dado pessoal sensível nos termos do art. 5º, II da LGPD.
Nossa leitura, depois de revisar operação de farmácia de bairro e de rede em Blumenau e região: o problema não é a farmácia tratar esse dado. É tratar sem base legal definida, sem prazo de guarda e sem saber o que fazer se o cliente pedir explicação. Vamos direto ao que cai na rotina do balcão.
CPF pro desconto: isso é cadastro ou é vigilância de compra?
Pedir CPF pra aplicar desconto de programa de fidelidade é prática legal. O problema é o que a farmácia faz com o histórico depois. Se o sistema cruza CPF com o item comprado, ele sabe que aquele CPF compra losartana, compra teste de gravidez, compra preservativo. Isso deixa de ser dado de consumo e vira dado de saúde associado a uma pessoa identificada.
Na prática, a base legal mais comum pro cadastro de desconto é a execução de contrato ou o legítimo interesse (art. 7º, V e IX). Mas o cruzamento desse cadastro com o histórico de medicamento comprado exige tratamento mais cuidadoso, porque aí entra o art. 11, que trata especificamente de dado sensível.
- Informe no cadastro, de forma simples, pra que o CPF é usado: desconto e nota fiscal, não perfil de saúde.
- Não venda nem compartilhe esse histórico de compra com terceiros (fabricante, plano de saúde, corretora) sem base legal específica pra isso.
- Defina prazo de retenção do histórico de compra. Não existe motivo pra guardar por mais de 5 anos sem justificativa fiscal ou contábil.
Receita retida: quanto tempo você pode guardar e quem pode ver
Receita de medicamento controlado (psicotrópico, antibiótico, retinoide) tem retenção obrigatória por norma sanitária da Anvisa, isso é regra de vigilância sanitária, não de LGPD. A LGPD entra no que a farmácia faz além da obrigação legal: digitalizar a receita, guardar em nuvem, dar acesso a mais funcionários do que precisa.
Falando sério: a base legal pra reter a receita é cumprimento de obrigação legal (art. 7º, II), e isso já resolve boa parte da dúvida sobre "posso guardar". A dúvida real é outra: quem no time tem acesso a esse arquivo, e por quanto tempo depois do prazo sanitário a farmácia continua com a cópia guardada "por garantia".
- Restrinja acesso ao arquivo de receitas retidas a farmacêutico responsável técnico e, no máximo, ao gerente.
- Se digitaliza a receita pra sistema em nuvem, confirme contratualmente onde o provedor guarda o dado e por quanto tempo.
- Depois do prazo sanitário de guarda, descarte. Guardar "porque nunca se sabe" é exatamente o tipo de retenção que a ANPD questiona em fiscalização.
Integração com plano farmacêutico: o convênio virou terceiro tratando dado de saúde
Farmácia que integra sistema com plano farmacêutico de empresa, convênio de sindicato ou programa de desconto de indústria farmacêutica está compartilhando dado de saúde com um terceiro. Isso precisa de contrato específico de compartilhamento de dados, não só integração técnica de API.
Nossa leitura: esse é o ponto mais ignorado da cadeia. A farmácia assume que, porque o convênio pediu a integração, a responsabilidade pelo dado é do convênio. Não é assim. A LGPD trata farmácia e operadora de convênio como controladores conjuntos quando os dois decidem juntos o que fazer com o dado do beneficiário.
Antes de ativar qualquer integração desse tipo, exija do plano farmacêutico um termo que defina quem é o encarregado (art. 41) de cada lado, quem responde em caso de incidente e por quanto tempo o dado fica retido na base compartilhada.
Fidelidade que sabe o que você toma é dado sensível, não é marketing
Programa de pontos que manda cupom de "seu remédio de pressão está acabando" parece simpático. É também prova documental de que a farmácia trata dado de saúde pra fins de marketing direcionado, o que exige consentimento específico e destacado, nos termos do art. 11, I. Consentimento genérico de "aceito receber promoções" não cobre isso.
Na prática, a farmária precisa separar duas caixinhas: uma pra desconto e cupom geral (base contratual, ok), outra pra comunicação baseada em histórico de compra de medicamento (precisa de consentimento separado, com opção clara de recusa sem perder o desconto).
Vacinação na loja: dado de saúde de novo, agora com histórico clínico
Farmácia que aplica vacina coleta, no mínimo, nome, CPF, data de nascimento e histórico vacinal, às vezes até informação de comorbidade pra triagem de contraindicação. Isso é dado de saúde tratado por profissional habilitado, o que se enquadra na hipótese do art. 11, II, "f": tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde.
Essa hipótese dispensa consentimento separado pro ato da vacinação em si. Mas não dispensa cuidado com o que acontece depois: se esse registro de vacina alimenta o mesmo banco de dados do programa de fidelidade, a farmácia está usando dado coletado sob uma base legal pra outra finalidade, que é justamente o tipo de desvio que a ANPD chama de uso incompatível com a finalidade original (art. 6º, I).
- Mantenha o registro de vacinação em sistema separado do cadastro de fidelidade, ou pelo menos com sinalização clara de finalidade distinta.
- Treine a equipe da sala de vacina pra não repassar informação de comorbidade pro balcão de venda.
- Se o titular pedir cópia ou exclusão do registro de vacina, o prazo de resposta é de 15 dias, conforme art. 19.
O que fazer nas próximas duas semanas
Não precisa reescrever o sistema todo. Precisa de três ajustes concretos, que dá pra fazer sem consultoria cara:
- Semana 1: separe, no cadastro de fidelidade, o consentimento pra desconto do consentimento pra comunicação baseada em histórico de compra. Ajuste o formulário físico e o digital.
- Semana 1: defina por escrito quem acessa o arquivo de receita retida e quanto tempo depois do prazo sanitário ela é descartada.
- Semana 2: se tem integração com plano farmacêutico, peça o termo de responsabilidade compartilhada. Se não existe, é o momento de formalizar antes que apareça um incidente.
Lembre que multa da LGPD chega a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. Pra farmácia de bairro isso pode parecer distante, mas o regime simplificado da Resolução CD/ANPD 02/2022 pra microempresa e EPP não isenta de responder ao titular em 15 dias nem de indicar encarregado. Isenta de burocracia, não de responsabilidade.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
