Por que o tema importa para farmácias
Farmácias e drogarias coletam dados pessoais em cadastros de clientes, programas de fidelidade, descontos e vendas de medicamentos controlados. O histórico de compras de medicamentos, por si só, pode revelar a condição de saúde de uma pessoa. Por isso, o setor está entre os que mais exigem atenção à Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
Dados de saúde são dados sensíveis
A LGPD classifica como dado pessoal sensível, entre outros, o dado referente à saúde ou à vida sexual, quando vinculado a uma pessoa natural (art. 5º, II). O tratamento desses dados somente pode ocorrer nas hipóteses do artigo 11: quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas, ou, sem consentimento, nas hipóteses em que for indispensável para, por exemplo, o cumprimento de obrigação legal ou regulatória pelo controlador, o exercício regular de direitos, a proteção da vida ou a tutela da saúde, esta exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. A aplicação dessas hipóteses ao comércio farmacêutico, em cada operação, como os programas de fidelidade, exige análise específica.
Na prática, informar o cliente sobre quais dados são coletados, para qual finalidade, quem terá acesso e por quanto tempo serão guardados é requisito básico de conformidade, e não mera formalidade.
Sanções previstas
O artigo 52 da LGPD prevê sanções administrativas aplicáveis pela Autoridade Nacional de Proteção de Dados (ANPD), entre elas a advertência, a multa simples de até 2% do faturamento da pessoa jurídica no último exercício, limitada a R$ 50 milhões por infração, a multa diária, a publicização da infração, o bloqueio ou a eliminação dos dados e, em hipóteses mais graves, a suspensão parcial do funcionamento do banco de dados ou da atividade de tratamento. As sanções são aplicadas de forma gradativa, isolada ou cumulativa, conforme as peculiaridades do caso, considerando, entre outros critérios, a gravidade da infração, a boa-fé, a vantagem auferida, a condição econômica do infrator, a reincidência, o dano, a cooperação e a adoção de mecanismos e políticas internas de boas práticas (art. 52, § 1º).
Além das sanções administrativas, o titular que sofrer dano pode buscar indenização na via judicial, e um incidente de segurança pode ter consequências reputacionais relevantes para o negócio.
Medidas práticas de adequação
O primeiro passo é mapear os dados: identificar o que é coletado, onde fica armazenado, quem tem acesso e com quem é compartilhado. Em seguida, define-se a base legal de cada tratamento, já que cadastro, fidelidade, entrega em domicílio e dispensação têm fundamentos distintos. A política de privacidade e os avisos ao cliente devem ser atualizados em linguagem clara, e os contratos com fornecedores que tratam dados em nome da farmácia, como sistemas, plataformas de fidelidade e entregadores, precisam ser revistos. Completam o conjunto o treinamento da equipe para o atendimento no balcão e para as solicitações de titulares, as medidas de segurança da informação e um plano de resposta a incidentes, que inclua a eventual comunicação à ANPD e aos titulares.
Quando buscar orientação jurídica
A adequação à LGPD é um processo contínuo e depende da realidade de cada estabelecimento. Um diagnóstico inicial, com análise dos fluxos de dados e dos contratos, costuma ser o primeiro passo.