Sua farmácia coleta dado de saúde o dia todo. Tem base legal?

Toda farmácia que pede CPF no caixa, guarda receita de controlado, oferece vacinação ou tem programa de fidelidade processa dado de saúde. Não eventualmente. No atendimento do dia a dia. E dado de saúde é dado pessoal sensível sob a LGPD: exige base legal específica definida no art. 11, proíbe o uso de legítimo interesse e exige consentimento destacado quando não há outro fundamento legal disponível.

A Resolução CD/ANPD 02/2022 simplificou algumas obrigações documentais para micro e pequenas empresas. Não simplificou a obrigação de ter base legal. Farmácia enquadrada como EPP ainda precisa saber por que guarda o que guarda, com quem compartilha e por quanto tempo. Sem essa clareza, qualquer dado de saúde que vazar ou for usado fora da finalidade original é passivo imediato.

O cadastro do desconto é dado de saúde, sim

Quando a atendente pede CPF, nome e telefone pra liberar desconto no caixa, o dado em si é pessoal comum. O problema começa quando esse cadastro está vinculado ao histórico de compras. Se o sistema registra que aquele CPF comprou insulina, antidepressivo ou anticoncepcional nos últimos seis meses, o cadastro simples virou perfil de saúde. E perfil de saúde é dado sensível.

Nossa leitura: a maioria dos sistemas de PDV de farmácia faz esse vínculo automaticamente. O dono não pediu, o sistema fez. Mas o responsável pelo tratamento é a farmácia, não o fornecedor de software. A base legal pra esse histórico precisa ser consentimento específico e destacado (art. 11, I da LGPD), não um "aceito os termos" enterrado no verso do cartão de fidelidade.

O que precisa constar no momento do cadastro: finalidade exata do uso, quem terá acesso, por quanto tempo o histórico fica armazenado. Coletar CPF pra desconto e usar o histórico pra enviar oferta de medicamento controlado depois é desvio de finalidade, proibido pelo art. 6º, I da LGPD.

Receita na gaveta: quanto tempo fica e com qual base legal?

Farmácia guarda receita de medicamento controlado porque a ANVISA manda. A Portaria SVS/MS 344/98 exige retenção da segunda via de receita de substâncias sujeitas a controle especial por até cinco anos. Essa retenção tem base legal clara no art. 11, II, "a" da LGPD: cumprimento de obrigação legal pelo controlador. Aqui, ninguém precisa pedir consentimento do paciente.

O ponto que quase ninguém toca: a receita médica é dado sensível de saúde porque revela diagnóstico implícito. Quem tem receita de metilfenidato tem TDAH ou narcolepsia. Quem tem antirretroviral tem HIV. Essa informação fica numa gaveta ou num servidor da farmácia por anos. A obrigação de reter não dispensa a obrigação de proteger.

Na prática: receita digitalizada precisa de controle de acesso. Quem na farmácia pode abrir o arquivo? Tem log de consulta? O servidor é local ou em nuvem? Se for nuvem, o contrato com o fornecedor tem cláusula de proteção de dados? Essas perguntas definem se a farmácia tem medidas técnicas e administrativas razoáveis ou não, e isso importa quando a ANPD investiga.

Plano farmacêutico: compartilhamento de dado sensível com terceiro toda hora

Quando o cliente usa benefício de plano de saúde direto no balcão, o sistema da farmácia faz uma consulta em tempo real na operadora ou na gestora de benefício farmacêutico. Nessa troca, passa CPF do segurado, código do medicamento e às vezes o CID. Tudo isso é dado de saúde.

A farmácia é controladora ou operadora nessa relação? Depende de como foi estruturada. Se a farmácia credenciada simplesmente recebe o dado da operadora e executa a dispensação, ela pode ser operadora. Se ela decide o quê e como tratar, é controladora. Na prática, farmácia independente credenciada tende a ser controladora da relação com o cliente e operadora na relação com o plano. Essa definição não pode ficar vaga, porque quem responde à ANPD depende disso.

O contrato de credenciamento com o plano farmacêutico precisa ter cláusula de proteção de dados real: finalidade do compartilhamento, prazo de retenção pela operadora, vedação de uso pra outros fins. Contrato assinado antes de setembro/2020 sem revisão desses termos é contrato com lacuna legal aberta.

Vacinação na loja: o serviço com maior exposição à LGPD

Vacina em farmácia é conveniente e rentável. É também o serviço com maior exposição à LGPD. No momento da vacinação, a farmácia coleta nome, CPF, data de nascimento, histórico vacinal prévio, eventual condição de saúde que justifica prioridade, além do dado da vacina aplicada com lote e data. Tudo de uma vez, num único atendimento.

A base legal pra esse tratamento é tutela da saúde (art. 11, II, "f" da LGPD), e o registro precisa ir ao RNDS (Rede Nacional de Dados em Saúde) por exigência do Ministério da Saúde. Esse repasse tem base legal própria. O problema não é o repasse obrigatório. O problema é o que a farmácia faz com os dados que ficam na ponta dela depois do registro.

Falando sério: ficha de vacinação em papel na prancheta, com dados de todos os vacinados do dia visíveis a qualquer pessoa no balcão, é uma violação de privacidade esperando acontecer. A ficha precisa ser tratada com o mesmo cuidado de um prontuário: acesso restrito, descarte seguro e prazo de guarda definido.

Programa de fidelidade que vira banco de dados clínico

Programa de fidelidade de farmácia tende a ser desenvolvido por terceiro: empresa de CRM, plataforma de marketing, agência digital. Quando esse terceiro acessa o histórico de compras vinculado ao CPF, ele acessa dado de saúde. Não importa se o contrato chama de "histórico de preferência de produto". Insulina é insulina. Antidepressivo é antidepressivo.

Nossa leitura: o contrato com a empresa de CRM precisa proibir expressamente que os dados sejam usados pra qualquer finalidade além do programa da farmácia. Sem segmentação pra venda de base, sem modelo preditivo de saúde, sem cruzamento com outras bases da plataforma. Isso precisa estar escrito porque o operador responde solidariamente pelo dano causado quando descumpre as instruções do controlador (art. 42 da LGPD).

Pontos que o programa de fidelidade de farmácia precisa cobrir:

• Consentimento específico e destacado: o aceite pro programa de fidelidade deve ser separado do cadastro geral e mencionar explicitamente o rastreamento de histórico de compras de medicamentos
• Direito de exclusão sem penalidade: cliente pode pedir pra sair do programa sem perder o atendimento normal (art. 18, IV da LGPD)
• Prazo de retenção definido: quanto tempo o histórico fica armazenado após o cliente parar de usar o programa, com previsão de exclusão
• Resposta a titular em 15 dias: cliente pode solicitar cópia do próprio histórico de compras a qualquer momento (art. 19), e a farmácia precisa ter processo pra atender
• Contrato com fornecedor de CRM: cláusula de proteção de dados, vedação expressa de compartilhamento com terceiros e log de acesso auditável

O que fazer nas próximas duas semanas

Não precisa resolver tudo de uma vez. Mas tem ações sem desculpa de adiamento:

• Mapear cada ponto em que a farmácia coleta dado do cliente: caixa, prescrição, vacinação, programa de fidelidade e integração com plano farmacêutico
• Identificar quais desses dados são sensíveis: qualquer dado que revele, direta ou indiretamente, condição de saúde, mesmo que por implicação do produto comprado
• Revisar o termo de cadastro do programa de desconto ou fidelidade: está claro que o histórico de compras é armazenado? Está destacado que pode envolver dado de saúde?
• Checar os contratos com fornecedor de PDV, empresa de CRM e operadora de plano farmacêutico: existe cláusula de proteção de dados em cada um?
• Definir quem na farmácia recebe requisição de titular e saber que o prazo de resposta é de 15 dias (art. 19 da LGPD)
• Verificar onde ficam as receitas digitalizadas, quem tem acesso e se há log de consulta

Farmácia que ainda não tem nenhuma dessas respostas escritas opera com passivo jurídico acumulando. A ANPD já instaurou processos sancionatórios em setores de saúde e varejo. Multa administrativa pode chegar a 2% do faturamento bruto no Brasil no último exercício, limitada a R$ 50 milhões por infração. Pra uma rede com bom volume regional, isso não cabe numa planilha de risco baixo.