PARA CONSULTÓRIOS

ÁREA DA SAÚDE

NOVEMBRO 2021 Comissão Especial de Privacidade e

OABSP Proteção de Dados Pessoais
GT Privacidade na Saúde
 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

Sumário

1 | Palavra da Coordenadoria
2 | Introdução
3 | Conceitos para aplicação prática em clínicas e consultórios da área da saúde
3.1 | Como a LGPD se aplica às clínicas e os consultórios do setor da
saúde?
3.2 | Qual objetivo da LGPD?
3.3 | O que são dados pessoais e dados pessoais sensíveis?
3.4 | O que é tratamento de dados pessoais?
▪ 3.4.1 | Algumas hipóteses de tratamento em estabelecimentos de
saúde
3.5 | Quem são as partes envolvidas no tratamento de dados pessoais?
3.6 | Quando os estabelecimentos de saúde podem tratar dados pessoais?
▪ 3.6.1 | Principais bases legais para clínicas e consultórios da área
médica
3.7 | Tratamento de dados de crianças e adolescentes
3.8 | Compartilhamento de dados pessoais
4 | Conformidade LGPD das clínicas e consultórios
4.1 | Providências práticas a serem adotadas:
5 | Dicas para implementação
5.1 | Canal de comunicação entre público e estabelecimentos sobre a
LGPD
5.2 | Como elaborar inventário ou mapeamento de dados pessoais para
aplicação da LGPD nos estabelecimentos de saúde?
5.3 | Termo de Consentimento para Tratamento dos Dados
5.4 | Segurança, proteção e guarda dos dados
▪ 5.4.1 | O que são medidas técnicas?
▪ 5.4.2 | O que são medidas administrativas?
5.5 | Compartilhamento de dados com outros médicos
5.6 | Dado anonimizado
6 | Utilização ética dos dados pessoais na inteligência artificial no setor de saúde
7 | Casos práticos
8 | Descumprimento da lei
9 | Saiba mais...
10 | Considerações finais
11 | Documentos de apoio para adequação à LGPD

2 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

1 | Palavra da Coordenadoria
A Lei Geral de Proteção de Dados De forma objetiva e simplificada, a
Pessoais (LGPD), Lei nº 13.709, de 14 de Cartilha apresenta as principais
agosto de 2018, dispõe sobre o informações sobre a nova Lei Geral de
tratamento de dados pessoais, inclusive Proteção de Dados para que todos da
nos meios digitais, por pessoa natural ou área da saúde possam avaliar os riscos
por pessoa jurídica de direito público ou futuros de sua forma de atuação e
privado, com o objetivo de proteger os planejar mudanças e adequação
direitos fundamentais de liberdade e de
privacidade e o livre desenvolvimento da Destacamos que o sucesso deste projeto
personalidade da pessoa natural só foi possível graças ao apoio,
colaboração e a confiança da Dra.
Todas as áreas de uma empresa e Patricia Peck que, com o seu constante
integrantes de um consultório que tratam apoio e incentivo ao longo do
dados pessoas no exercício de suas desenvolvimento desta cartilha, vibrou
atividades profissionais devem atentar junto com a Coordenadoria pelos
para a privacidade e proteção dos dados projetos apresentados, sem hesitar em
pessoais, em conformidade com a LGPD. atender às suas demandas. Deste modo e
Na área da Saúde a LGPD apresenta com pura Justiça, a ela dirigimos o nosso
maior nível de exigência e rigor, em sentimento de gratidão!
razão do volume de dados pessoais
sensíveis processadas diariamente Agradecemos também a Dra. Rosalia
Ometto, por organizar e finalizar todo o
Esta Cartilha foi desenvolvida pelos material encaminhado pelos membros da
membros da Coordenação do eixo da Comissão
Saúde da Comissão de Privacidade e
Proteção de Dados da OAB/SP e possui Por fim, parabenizamos e agradecemos
caráter informativo, pois consolida um todo empenho, eficiência e dedicação dos
conjunto de informações que objetivam membros dessa Coordenadoria
facilitar a compreensão da Lei Geral de
Proteção de Dados (LGPD) e seus Maria Cristina Gonçalves
impactos, orientando os controladores, Coordenadora do GT de Saúde e
encarregados e operadores sobre seus Privacidade
respectivos deveres e destacando os
direitos dos titulares de dados pessoais

3 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

2 | Introdução
O setor de saúde já dispõe de uma confidencialidade dos documentos do
série de regulações e normas setoriais paciente, principalmente seu prontuário
próprias tais como da Agência Nacional médico, garantindo que eles sejam
de Saúde Suplementar (ANS), do armazenados de forma segura física, como
Conselho Federal de Medicina (CFM), digital e acessados somente pelos
da Agência Nacional de Vigilância profissionais que de fato necessitem ter
Sanitária (Anvisa), do Conselho conhecimento das informações clínicas do
Nacional de Saúde (CNS), entre outras, paciente. As clínicas e consultórios devem
envolvendo o sigilo e confidencialidade manter um sistema de segurança adequado
das informações dos pacientes e para evitar incidentes
usuários do sistema de saúde e daqui
em diante deverá se atentar para a A confidencialidade e a proteção de dados
privacidade e proteção de dados pessoais sempre estiveram presentes no
pessoais dos titulares, conforme setor de saúde, portanto, a aplicação da
regramento trazido pela Lei Geral de LGPD às operações de tratamento de
Proteção de Dados Pessoais dados nesse setor consagra e consolida
essas figuras jurídicas de forma expressa.
Nesse sentido, as clínicas e os Os mecanismos previstos na LGPD são
consultórios da área de saúde deverão capazes de garantir o emprego sustentável
adotar medidas que garantam o e útil de dados pessoais e dados pessoais
tratamento de dados pessoais de forma sensíveis, assegurando ao mesmo tempo
adequada, respeitando os princípios aos titulares o exercício de seus direitos
trazidos pela LGPD, em especial, os da
finalidade, necessidade e transparência, DADOS PESSOAIS
de forma que sejam usados somente os COMBINAM COM
dados pessoais imprescindíveis com fins Finalidade
específicos e informados ao titular, Necessidade
sempre em respeito à sua privacidade e Transparência
de acordo com as bases legais
PROFISSIONAIS DA SAÚDE
autorizadoras do tratamento. Grande Dados de saúde são
parte dos dados pessoais tratados no dados pessoais sensíveis
setor da saúde diz respeito a dados precisam de mais cuidado
pessoais sensíveis, mas há ainda os
dados pessoais dos funcionários, PALAVRAS-CHAVE
Confidencialidade
fornecedores e prestadores de serviços
Sigilo

De maneira adicional, as clínicas e os

consultórios deverão reforçar os
cuidados relacionados à manutenção da

4 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde

3.1 | Como a LGPD se aplica às 3.2 | Qual objetivo da LGPD?

clínicas e os consultórios da àrea da
saúde?

A Lei Geral de Proteção de Dados Importante frisar que o Brasil não é

(LGPD), conforme estabelece seu art. pioneiro na criação de normas de
1º, se aplica à pessoa natural ou pessoa proteção de dados
jurídica de direito público ou privado
que realize tratamento de dados Em verdade, o Brasil seguiu a tendência
pessoais, independentemente do meio, mundial ao publicar a Lei n. 13.709 em
do país de sua sede ou do país onde 14 de agosto de 2018, que entrou em
estejam localizados os dados, desde vigor 18/09/2020, com aplicação de
que: penalidades administrativas a partir de
01/08/2021.
(i) a operação de tratamento seja
realizada no território As normas de proteção de dados
nacional; espalhadas pelo mundo refletem a
preocupação em preservar o uso
(ii) a atividade de tratamento adequado dos dados pessoais,
tenha por objetivo a oferta ou garantindo, desta forma, a preservação
o fornecimento de bens ou de direitos fundamentais, como o da
serviços ou o tratamento de privacidade, da liberdade e do livre
dados de indivíduos desenvolvimento da personalidade da
localizados no território pessoa natural
nacional; ou

(iii) os dados pessoais objeto do

tratamento tenham sido QUER CONHECER TEXTOS
coletados no território DE LEI?
nacional. Procure sempre
Sites oficiais
Portal da Legislação

QUER CONHECER O TEXTO

DA LEI 13.709/18 – LGPD?
Acesse aqui

5 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde
3.3 | O que são dados
PESSOAIS PESSOAIS SENSÍVEIS

Dado pessoal é uma informação Por outro lado, o dado pessoal sensível é
relacionada a pessoa natural identificada o que diz respeito à origem racial ou
ou identificável (art. 5º., inciso I da étnica, convicção religiosa, opinião
LGPD) política, filiação a sindicato ou a
organização de caráter religioso, filosófico
ou político, dado referente à saúde ou à
• Tudo que identifica uma pessoa vida sexual, dado genético ou biométrico,
humana viva quando vinculado a uma pessoa natural
(art. 5º, inciso II da LGPD)
• De forma direta
ou
• Somadas chegam a uma pessoa • São dados pessoais que podem
humana específica ou gerar preconceitos ou
determinada discriminações, bem como,
muito importantes como a
biometria (normalmente
recolhendo digitais das pessoas)
e genéticos (cada pessoa
humana é única e diferente em
seu conteúdo genético)

Exemplos:

Identificação DIRETA
Nome, CPF, RG, CNH, CFM, CRO,
CREFIPO, COREN etc.

Identificação que PODE CHEGAR a

uma pessoa específica Exemplos área da saúde:
Endereço, e-mail, IP (número do
computador), tatuagens, geolocalização, Informações sobre doenças, riscos de
data de nascimento etc. doenças, relatórios médicos,
prontuários, resultados de exames,
moldes odontológicos, dados
biométricos, informações genéticas etc.

6 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde
3.4 | O que são dados pessoais?

De acordo com a LGPD qualquer operação realizada com um dado pessoal é

chamada de tratamento de dados, como as que se referem a coleta, produção,
transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação,
avaliação ou controle da informação, modificação, comunicação, transferência,
difusão ou extração (art. 5º., inciso X da LGPD)

Todo tipo de estabelecimento de saúde trata dados

pessoais, em maior ou menor quantidade, e as
obrigações da LGPD se somarão às obrigações
específicas da área, tais como vigilância sanitária, dos
conselhos de especialidade, da ANS, do SUS, entre
outras.

3.4.1 | Algumas hipóteses de tratamento de dados pessoais em

estabelecimentos de saúde

• Cadastro de paciente
• Elaboração de prontuário médico, odontológico, nutricional etc.
• Armazenamento de prontuários de saúde, em papel ou em
formato digital
• Compartilhamento de informação sobre plano de saúde,
odontológicos
• Destruição de prontuários de saúde antigos
• Transmissão, de um estabelecimento de saúde para outro, de
informações sobre o estado de saúde de paciente (titular dos
dados pessoais)
• Coleta, por farmácias, da prescrição médica, odontológica,
nutricional, de consumidor (titular dos dados pessoais) para
fornecimento de medicamentos e posterior arquivamento

7 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde
3.5 | Quem são as partes envolvidas no tratamento de dados pessoais?
Exemplos de titulares de dados pessoais em clínicas,
TITULAR consultórios, hospitais:
Titular é pessoa natural (pessoa física, Pessoas que são atendidas; visitantes com dado
viva) a quem se referem os dados pessoal colhido na recepção; prestadores de
pessoais que são objetos de tratamento) serviço; funcionário do consultório e ainda
todos os sócios, pessoas naturais

CONTROLADOR
Exemplos de controladores:
Controlador é a pessoa natural ou
jurídica, de direito público ou privado, a As próprias clínicas e consultórios de qualquer
quem compete as decisões referentes ao área da saúde serão responsáveis, podem figurar
tratamento de dados pessoais. como controladores, se os dados pessoais lhes
forem entregues direta e primeiramente
Possibilidade de tratamento de dados
• Quando a clínica faz coleta dos dados na
pessoais em decorrência de legislação ou
recepção para cadastro e quando
norma específica que assim o exija. paciente passa com profissional da área
de saúde, que irá coletar mais dados para
Quem tem o contato direto e primeiro inserir no prontuário
com o titular de dados pessoais

OPERADOR Exemplos de operadores:

Operador é a pessoa natural ou jurídica, Empresa contratada para instalação de câmeras

de direito público ou privado, que realiza de segurança. O controlador é quem indica onde
o tratamento de dados pessoais em serão instaladas as câmeras, quem poderá acessar
as imagens e qual o prazo de armazenamento. A
nome do controlador
gravação e armazenamento são efetuados pela
empresa contratada, que será operadora nesse
Recebe os dados pessoais via caso, pois realiza tratamento dos dados pessoais
controlador em nome do controlador
Contador que recebe informações para realizar a
contabilidade geral, departamento pessoal

ANPD
ENCARREGADO
Autoridade Nacional de Proteção de Dados (ANPD) é
Encarregado é a pessoa indicada pelo controlador
a autoridade tem entre outras atribuições dispostas na
e operador para atuar como canal de
legislação: editar regulamentos, ouvir a sociedade em
comunicação entre: o controlador, os titulares
matérias de interesse relevante, deliberar sobre a
dos dados pessoais e a Autoridade Nacional de
aplicação da lei, fiscalizar o cumprimento da LGPD e
Proteção de Dados (ANPD)
aplicar sanções, conforme o seu art. 55-J da LGPD

8 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

Sobre O Guia Orientativo para Definições dos

Agentes de Tratamento de Dados Pessoais e
do Encarregado (ANPD) Maio/2021,

Controladoria exemplifica da seguinte forma:

“Uso de dados abertos disponibilizados por Agência

Conjunta
Reguladora disponibiliza acesso público aos dados
relativos às outorgas dos serviços regulados, incluindo
informações de pessoas naturais sócias de prestadoras.
A base de dados é armazenada pela própria Agência e
Cabe destacar ainda, que uma utilizada para subsidiar decisões administrativas.
mesma operação de tratamento de Organização da Sociedade Civil tem acesso aos dados
dados pessoais, poderá envolver disponibilizados pela Agência e efetua, com base em
solução de inteligência artificial, cruzamento com outras
uma controladoria conjunta, o que bases de dados visando à realização de ações de
se extrai do artigo 42, §1º, II, LGPD, controle social de entidades e agentes públicos.
quando mais de um controlador Sociedade Empresária também trata os dados em
estiver diretamente envolvido no questão, visando, porém, fornecer serviços de
consultoria aos agentes do setor regulado. Embora a
tratamento do qual decorram danos
mesma base de dados seja utilizada pelas três entidades
ao titular de dados pessoais, estes (Agência Reguladora, Organização da Sociedade Civil e
responderão de forma solidária Sociedade Empresária), cada uma dessas organizações é
(conjunta), à exceção das hipóteses responsável e responde pelos respectivos tratamentos
previstas no art. 43 realizados. Neste contexto, não há controladoria
conjunta pois o tratamento de dados ocorre no âmbito
das atividades e das finalidades definidas por cada
Neste sentido a controladoria organização.”
conjunta implica consequências no
que diz respeito às funções dos
agentes de tratamento e aos direitos
dos titulares, bem como a
responsabilidade dos controladores
será solidária

Dispõe sobre a controladoria conjunta o Será conferida a controladoria

artigo 26 do GDPR (lei européia de proteção
da dados pessoais), ocorre quando há uma conjunta, se demonstrado todos os
"participação conjunta" na determinação de requisitos aplicáveis:
"finalidades e meios de tratamento, mas ão
haverá controladoria conjunta se os objetivos
do tratamento forem distintos 1. Mais de um controlador possui
poder de decisão sobre o
“Quando dois ou mais responsáveis pelo tratamento tratamento de dados pessoais
determinem conjuntamente as finalidades e os meios
desse tratamento, ambos são responsáveis conjuntos
pelo tratamento. Estes determinam, por acordo
2. Há interesse mútuo de dois ou
entre si e de modo transparente as respectivas mais controladores, com base em
responsabilidades pelo cumprimento do presente finalidades próprias, sobre um
regulamento, nomeadamente no que diz respeito ao
exercício dos direitos do titular dos dados e aos mesmo tratamento, e
respetivos deveres de fornecer as informações
referidas nos artigos 13º e 14º, a menos e na medida 3. Dois ou mais controladores
em que as suas responsabilidades respectivas sejam tomam decisões comuns ou
determinadas pelo direito da União ou do Estado-
Membro a que se estejam sujeitos. O acordo pode convergentes sobre as finalidades e
designar um ponto de contacto para os titulares dos elementos essenciais do tratamento
dados.”

9 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde

3.6 | quando os estabelecimentos de saúde podem realizar o tratamento de

dados pessoais?
A LGPD trouxe hipóteses em que os dados pessoais e os dados pessoais
sensíveis podem ser utilizados, conforme tabelas abaixo:
PESSOAIS (LGPD, art. 7º) PESSOAIS SENSÍVEIS (LGPD, art. 11)
• I - mediante o fornecimento de consentimento
pelo titular • I - quando o titular ou seu responsável legal
consentir, de forma específica e destacada,
• II - sem fornecimento de consentimento do para finalidades específicas
titular, nas hipóteses necessárias para
• II - sem fornecimento de consentimento do
• cumprimento de obrigação legal ou
titular, nas hipóteses em que for indispensável
regulatória pelo controlador
para:
• pela administração pública, para o tratamento
e uso compartilhado de dados necessários à • cumprimento de obrigação legal ou
execução de políticas públicas previstas regulatória pelo controlador
em leis e regulamentos ou respaldadas • tratamento compartilhado de dados
em contratos, convênios ou instrumentos necessários à execução, pela administração
congêneres, observadas as disposições do pública, de políticas públicas previstas
Capítulo IV da LGPD em leis ou regulamentos
• realização de estudos por órgão de
pesquisa, garantida, sempre que possível, a • realização de estudos por órgão de
anonimização dos dados pessoais pesquisa, garantida, sempre que possível,
a anonimização dos dados pessoais
• para a execução de contrato ou de sensíveis
procedimentos preliminares relacionados a
contrato do qual seja parte o titular, a pedido • exercício regular de direitos, inclusive
do titular dos dados pessoais, quando em contrato e em processo judicial,
necessário administrativo e arbitral, este último nos
• exercício regular de direitos em termos da Lei nº 9.307, de 23 de setembro
processo judicial, administrativo ou arbitral, de 1996 (Lei de Arbitragem)
esse último nos termos da Lei nº 9.307, de • proteção da vida ou da incolumidade
23 de setembro de 1996 (Lei de Arbitragem) física do titular ou de terceiro
• proteção da vida ou da incolumidade física • tutela da saúde, exclusivamente, em
do titular ou de terceiro procedimento realizado por profissionais
• tutela da saúde, exclusivamente, em de saúde, serviços de saúde ou
procedimento realizado por profissionais de autoridade sanitária
saúde, serviços de saúde ou autoridade
sanitária • garantia da prevenção à fraude e à
segurança do titular, nos processos de
• quando necessário para atender aos identificação e autenticação de cadastro
interesses legítimos do controlador ou em sistemas eletrônicos, resguardados os
de terceiros, exceto no caso de prevalecerem direitos mencionados no art. 9º da LGPD e
direitos e liberdades fundamentais do titular exceto no caso de prevalecerem direitos e
que exijam a proteção dos dados pessoais, ou liberdades fundamentais do titular que
• proteção do crédito, inclusive quanto ao exijam a proteção dos dados pessoais
disposto na legislação pertinente

10 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde

3.6.1 | Principais bases legais para as atividades de clínicas e consultórios

da área da saúde

TUTELA DA SAÚDE EXECUÇÃO DE CONTRATO

aplicada exclusivamente a procedimento possibilidade de tratamento de dados

realizado por profissionais de saúde, pessoais em virtude de um contrato.
serviços de saúde ou autoridade
sanitária Exemplo: Contrato de trabalho com
auxiliar de enfermagem

CONSENTIMENTO TITULAR

no contexto dos consultórios médicos e

de toda área da saúde, o consentimento
será uma base de dados secundária, ou
seja, apenas deve ser utilizado quando
não for possível fundamentar em outra
CUMPRIMENTO DE OBRIGAÇÃO base legal.
LEGAL OU REGULATÓRIA
O consentimento deve ser uma
possibilidade de tratamento de dados manifestação livre, informada,
em decorrência de legislação ou norma inequívoca do titular para o uso de seus
específica. dados pessoais para uma determinada
finalidade.
Exemplo: Os prontuários médicos que Esse consentimento da LGPD se soma
devem ser armazenados por 20 anos ao consentimento ético e de
após sua última atualização, conforme consumidor para tratamentos de saúde
dispõe a Resolução CFM n. 1.821/2007
Exemplo: Paciente conseguiu obter o
resultado esperado em uma cirurgia e o
médico deseja publicar uma imagem em
suas redes sociais, neste caso deve-se
obter o consentimento do paciente para
utilização da imagem

11 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde

É permitido o tratamento de dados pessoais, também, para:

a PROTEÇÃO DA VIDA ou da incolumidade física do titular ou de terceiro

acontece, por exemplo, quando uma pessoa inconsciente dá entrada em um hospital

que nunca esteve. Nesse caso, o hospital precisará acessar seus documentos
pessoais, dados de convênio médico e de todo o histórico médico desse paciente
que um outro hospital haja vista o interesse público envolvido neste tipo de
tratamento

É permitido o tratamento de dados pessoais, também, para: a

realização de ESTUDOS POR ÓRGÃO DE PESQUISA

essa base legal é apenas para finalidade de pesquisa científicas,

tecnológicas, históricas etc., a empresa tem que estar
enquadrada em seu contrato social como órgão de pesquisa

Para legitimar o tratamento de dados pessoais com esta base

legal para realização de estudos são necessários ainda alguns
cuidados:

• que a finalidade deste tratamento seja a realização de

pesquisa científica, histórica, estatística ou tecnológica,
por meio de órgão de pesquisa devidamente registrado,
ou seja, não é para qualquer pesquisa
• por meio de órgão de pesquisa, também definido no art.
5º, XVIII “órgão de pesquisa é um órgão ou entidade da
administração pública direta ou indireta ou pessoa jurídica
de direito privado sem fins lucrativos legalmente
constituída sob as leis brasileiras, com sede e foro no
País, que inclua em sua missão institucional ou em seu
objetivo social ou estatutário a pesquisa básica ou aplicada
de caráter histórico, científico, tecnológico ou
estatístico”, ou seja, órgão, entidade ou pessoa jurídica
cuja atividade é a pesquisa
• sempre que possível anonimizando os dados pessoais;
• todos os demais aspectos ligados aos princípios legais
serão respeitados

12 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde
3.7 | Tratamento de dados pessoais de crianças e adolescentes
• CRIANÇA – 0 a 12 anos incompletos O tratamento de dados pessoais de crianças
(ECA) e de adolescentes deverá ser realizado em
• ADOLESCENTE – 12 a 18 anos seu melhor interesse, nos termos do artigo
incompletos (ECA) 14 da LGPD e também do ECA.
• MENOR DE IDADE – 0 a 18 anos (CC) Isso se deve porque a criança e o
adolescente deve ter uma proteção especial,
• MENORES ABSOLUTAMENTE
pela sua própria falta de compreensão dos
INCAPAZES (CC, depende de pais ou
fatos e falta de maturidade necessárias para
responsáveis) – 0 a 16 anos incompletos
exercer plenamente seus direitos de titular
• MENORES RELATIVAMENTE de dados pessoais, em especial com relação
INCAPAZES – (CC, tem alguma a dados pessoais de saúde.
autonomia, mas os pais e responsáveis
ainda respondem civilmente pelos seus Para crianças, deve ser realizado sempre
atos) 16 a 18 anos incompletos com o consentimento específico e em
destaque dado por pelo menos um dos
• MAIORIDADE CIVIL– acima de 18 anos pais ou pelo responsável legal.

A questão em discussão entre os doutrinadores, sobretudo, é a questão da análise

do consentimento específico de um dos pais ou representante legal em relação ao
adolescente. A LGPD não exige, mas o ECA do grau de compreensão e o CC
determina a responsabilidade de pais e responsáveis legais até atingir a maioridade
civil, pelos atos dos menores.
Quanto mais próximo da maioridade REFERÊNCIAS LEGAIS
civil, considera-se que o adoslescente LGPD (Lei Geral de Proteção de Dados)
tenha mais autonomia para decisão Art. 14, § 1º e 3º consentimento específico e
quanto ao consentimento específico destacado para tratamento de crianças
e destacado de tratamento de seus
de dados pessoais, sem a necessidade ECA (Estatuto da Criança e do Adolescente)
representatividade um dos pais ou Art. 100, IV – interesse superior da criança e do
adolescente
responsável legal, uma vez que não é
Art. 100, XI – obrigatoriedade da informação
obrigatório pela LGPD.
CC (Código Civil)
Entretanto, CC, os adolescentes Art. 3º - menores absolutamente incapazes
entre 12 e 16 anos, integram o rol Art. 4º, I – menores relativamente incapazes
dos absolutamente incapazes para os Art. 180 – menor relativamente capaz obriga-se
atos da vida civil e serão quando se declara dolosamente maior
considerados nulos, se realizados Art. 932, I e II – responsabilidade objetiva pais e
sem a representatividade dos pais ou responsáveis legais
responsáveis legais.

13 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde

A lei prevê exceção à regra acima quando a coleta

for necessária para contatar os pais ou o
responsável legal, utilizados uma única vez e sem
armazenamento, ou para sua proteção (art. 14, § 3º
LGPD)

Em nenhum caso os dados pessoais de criança ou

adolescente poderão ser repassados a terceiro sem
o consentimento de pelo menos um dos pais ou
pelo responsável legal

BOA PRÁTICAS | ADOLESCENTES e DADOS DE SAÚDE

• Os dados pessoais sensíveis mais delicados são os

relacionados à adolescentes. A regra da LGPD deixou muitas
questões em aberto e com alguns pontos de dúvida quando
analisado o contexto legal geral. Assim, alguns pontos
podem ajudar o profissional nessa decisão no caso específico

• Atender o melhor interesse de saúde da(o) adolescente

• Menores de 16 anos são absolutamente incapazes na vida

civil de praticar atos, a melhor conduta, se possível, pegar
consentimento específico e destacado de um dos pais ou
responsável

• No conflito entre os interesses de saúde da(o) adolescente e

adultos, prevalecer os interesses de saúde da(o) adolescente,
em especial o relativamente incapaz (entre 16 e 18 anos)

• Pela ética médica e das outras áreas de saúde, o foco da

atenção médica é sempre a(o) paciente e sua saúde

14 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

3 | Conceitos para aplicação prática em clínicas

e consultórios da área da saúde
3.8 | Compartilhamento de dados pessoais tratados

O compartilhamento de dados pessoais Em outras situações, não há necessidade

pode ocorrer de diversas maneiras, de consentimento, como no caso de
como divulgação de dados, transferência prestar informações aos planos de saúde
internacional de dados, comunicação a sobre consultas ou procedimentos
terceiros ou tratamento de dados em realizados pelos pacientes conveniados,
bases compartilhadas pois visa atender norma regulamentadora
Para a regularidade do Exemplos área da saúde:
compartilhamento, é importante
observar sempre a finalidade, os Compartilhamento de dados pessoais e
princípios da LGPD e as hipóteses de dados pessoais sensíveis com a ANS e/ou
tratamento destes dados com o SUS para fins de prestação de
serviços de saúde e de cobrança, por
Os titulares devem ter ciência de que exemplo
seus dados são compartilhados e para
quais finalidades específicas, o que pode
ser feito através da Política de • O titular de dados pessoais tem
Privacidade que estar ciente por onde seus
dados pessoais percorrem nos
No âmbito das clínicas e consultórios processos da prestação de
médicos o compartilhamento pode serviços de saúde
ocorrer por diversas finalidades
• O foco na informação e
Em determinados casos faz-se necessária à transparência ganham relevância,
coleta do consentimento ao titular uma camada que se soma às do
Código de Defesa do Consumidor
Exemplo: Consultório faz parceria com um
salão de beleza, compartilhando dados (CDC, arts. 6º, III e 31)
pessoais não sensíveis e mínimos necessários
de seus pacientes, desde que não tenha • Os Códigos de Ética profissionais
participação societária no salão, com o estabelecem como regra letra
intuito de melhorar a autoestima de LEGÍVEL para preenchimento dos
paciente, mas apenas para quem desejem
prontuários
receber oferta de combos e participar de
sorteios de dia de beleza, bem como
informações sobre produtos que lhe possam
ser úteis. Necessário coletar o
consentimento dessa(e) paciente

15 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

4 | Conformidade com a LGPD das clínicas e

consultórios
A LGPD impõe aos consultórios e clínicas uma mudança de postura por parte dos
seus profissionais, intensificando o aculturamento que privilegie a proteção de
dados pessoais, disseminando o conhecimento uniforme de todos os
procedimentos estabelecidos para manutenção do programa de privacidade a ser
obtido por meio de gestão de boas práticas relativas ao tema

Todos os profissionais, colaboradores e parceiros das clínicas e consultórios, sem

exceção, devem estar engajados para cumprimento do programa de proteção de
dados pessoais estabelecido, com o objetivo de se evitar quaisquer tratamentos
de dados pessoais, especialmente sensíveis, fora do escopo da finalidade e
necessidade desses tratamentos, evitando-se riscos aos titulares de dados
pessoais, condenações judiciais e sanções administrativas impostas pela autoridade
nacional (ANPD) por descumprimento de normas previstas na lei
PROVIDÊNCIAS A SEREM ADOTADAS
1. Nomear Encarregado de proteção de 5. Atualizar instrumentos contratuais que
dados, também denominado de DPO (Data envolvam dados pessoais e
Protection Officer) compartilhamentos

2. Disponibilizar canal de comunicação 6. Realizar treinamentos e conscientização

para com os titulares dos colaboradores e parceiros sobre
proteção de dados pessoais, que contemplem
3. Mapear e registrar as operações de questões do espaço físico e acesso restrito ao
tratamento de dados, identificando, mínimo de colaboradores possível
minimamente:
7. Elaborar ou atualizar os termos de
(i) quais dados pessoais tratados em cada consentimento
operação
8. Elaborar relatórios de Impacto e
(ii) necessidade de cada dado proteção de dados pessoais, quando for o
caso
(iii) onde os dados pessoais estão
armazenados, seja em uma plataforma 9. Analisar sistema de segurança da
específica ou em uma pasta ou planilha informação

(iv) quem tem acesso 10. Eliminar documentos com dados

pessoais sem previsão legal para tratar
(v) bases legais correspondentes
11. Eliminar documentos após o prazo de
(vi) compartilhamento com quem retenção expirar
4. Elaborar ou atualizar normas e políticas 12. Dar atenção à segurança do espaço
internas para o tratamento dos dados físico do consultório, tais como alarme, travas
pessoais, limitando o acesso aos dados nas janelas, portas e armários trancados e
pessoais tratados por meio de perfis e senhas com acesso restrito ao mínimo possível

16 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

4 | Conformidade com a LGPD das clínicas e

consultórios
Sugestão de documentos para se buscar a conformidade com a LGPD
DOCUMENTOS PRINCIPAIS REFERÊNCIAS LGPD
Política de Proteção de Dados Pessoais Art. 46 - §§ 1º e 2º
Política de Privacidade Art. 9º - incisos I – II – III ou V
Política de Privacidade para Colaboradores e Alta Gestão Art. 9º
Política para exercício de direitos pelo titular (incluindo formulário) Arts. 8º § 5º, 9º § 2º, 17, 18,
19, 20, 21 e 22
Política de Retenção de Dados (Tabela de temporalidade) Arts. 6º - incisos II – III e IV, 9
– inciso II e 40.
Formulário de Consentimento de titular Arts. 7º - inciso I, §§ 4º e 5º,
8º §§ 1º ao 6º e 11 – inciso I
Formulário de Consentimento dos pais ou responsáveis Art. 14 §§ 1º ao 3º
Nomeação do Encarregado (DPO) Art. 41
Registro (inventário de todas as atividades de processamento) Art. 37
Notificação de violação de dados pessoais (controlador para ANPD - Art. 48
quando aplicável)
Notificação de violação de dados pessoais (controlador para titular - Art. 48
quando aplicável)
Procedimento de resposta e notificação de violação de dados Art. 50 alínea g
pessoais
Registro de violação de dados pessoais Arts. 31 e 42

DOCUMENTO ESSENCIAL – a depender da realidade da REFERÊNCIAS LGPD

clínica, consultório, laboratório, hospital etc.
Relatório de Impacto Arts. 10 § 3º e 38

DOCUMENTOS – BOAS PRÁTICAS REFERÊNCIAS LGPD

Contrato de processamento de dados pessoais do fornecedor Artigos 39 e 7º - inciso III
Cláusulas em contratos com operadores e com terceiros, incluindo Artigos 33, 34, 35, 39, 44 e 50
transferências internacionais, se houver
Atas de reuniões de aprovação de políticas e reuniões de comitês de
privacidade, de preferência digital e assinaturas eletrônicas
Registro de treinamento dos colaboradores e da alta gestão, de
preferência com certificados de participação
Treinamento sobre questão de segurança e restrição de acesso aos
espaços físicos, com limitação de acesso ao mínimo possível.

Boas práticas específicas para telemedicina, nos termos das

resoluções do Conselho Federal de Medicina
Adoção de prontuários eletrônicos, com acesso restrito, assinaturas
eletrônicas em prontuários e receituários, nos termos das resoluções
do Conselho Federal de Medicina

17 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

5 | Dicas para implementação em

estabelecimentos de saúde
5.1 | Canal de comunicação com o público, facilitado para tratar da LGPD

Para a implementação (implantação) da LGPD nos estabelecimentos de saúde é

de fundamental importância estabelecer um canal de comunicação com os
titulares de dados pessoais, que viabilize o exercício dos seus direitos e a
garantia da transparência, de forma a facilitar a experiência do usuário, de fácil
acesso e compreensão dos procedimentos que o titular deve adotar. Tal canal
deve possibilitar que os titulares de dados pessoais solicitem informações
sobre a proteção de dados pessoais, sobre as medidas de privacidade adotadas
pela sua empresa e sobre o “ciclo de vida” dos dados pessoais por ela tratados

• Confirmação da existência de tratamento

• Acesso aos dados
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados
desnecessários, excessivos ou tratados em desconformidade
com o disposto nesta lei
• Portabilidade dos dados a outro fornecedor de serviço ou
produto, mediante requisição expressa, de acordo com a
regulamentação da autoridade nacional, observados os
segredos comercial e industrial
• Eliminação dos dados pessoais tratados com o consentimento
do titular, exceto nas hipóteses previstas no art. 16 da LGPD
• Informação das entidades públicas e privadas com as quais o
controlador realizou uso compartilhado de dados
• Informação sobre a possibilidade de não fornecer
consentimento e sobre as consequências da negativa
• Revogação do consentimento, nos termos do § 5º do art. 8º
da LGPD
• Revisão de decisões automatizadas

18 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

5 | Dicas para implementação em

estabelecimentos de saúde
5.2 | Como elaborar inventário ou mapeamento de dados pessoais
para aplicação da LGPD nos estabelecimentos de saúde

A implementação da LGPD nos • o tratamento de dados pessoais,

estabelecimentos de saúde demanda a inclui:
elaboração de um documento que
elucide, minimamente: • todas as operações feitas em
suporte digital
(i) o que o estabelecimento faz com exemplos: nuvem, mídias, pen
os dados pessoais (desde a coleta drive, CDs, disquetes etc.
até a destruição/eliminação)
(ii) quais dados pessoais são • e também o tratamento feito em
tratados pela empresa suporte físico
exemplos: papel, RX, material
(iii) quais as operações de genético, moldes de gesso de
tratamento a que esses dados arcada dentária, lâminas de
são submetidos (os dados são laboratório etc
armazenados, são processados,
são transmitidos?) e
(iv) quais as medidas de segurança
que protegem tais dados pessoais

INVENTÁRIO
• Descrição básica
• "Fotografia" do processo MAPEAMENTO
de tratamento dos dados
pessoais • Descrição completa
• Detalhamento do processo de
tratamento dos dados pessoais

19 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

5 | Dicas para implementação em

estabelecimentos de saúde
5.3 | Termo de Consentimento para Tratamento dos Dados Pessoais

A clínica, consultório laboratório, hospital ou Certo é que

plataforma de seja destina à consultas virtuais,
prestação de serviço
deve elaborar Termo de Consentimento para
de saúde com
Tratamento dos Dados Pessoais, que deverá ter o
aceite de cada paciente/titular de dados pessoais padrões digitais
deverá seguir os
Quaisquer meios vituais, digitais, devem seguir as padrões
legislações específicas da internet, como o Marco normativos e
Civil da Internet (Lei 12.965/14) e as éticos usuais do
recomendações de cada conselho de classe, tais atendimento
como o Conselho de Medicina, Conselho de presencial, com o
Nutrição, Conselho de Psicologia custeio da empresa e
com formas de
Essas resoluções dos conselhos devem ir se remuneração
adaptando às novas formas tecnológicas e possíveis ao seu
realidades cotidianas, tais como ocorrido durante tempo
a pandemia da Covid-19

Dados do profissional | Dados do paciente

O que deve ter Dados da pessoa que marcou a consulta (responsável)
no Termo de Definições da teleconsulta e suas limitações
Consentimento? SEMPRE ter acesso às informações antes de dar consentimento

ANTES DO ACESSO NO CONSULTÓRIO VIRTUAL

Política sobre o prontuário do paciente

Informações sobre o pagamento

Se Crianças e Além do geral acima

Adolescentes? Não esquecer do Termo de Consentimento Específico

DESTACADO

Linguagem CLARA E ACESSÍVEL

Com a autorização do responsável

ANTES DA COLETA DAS INFORMAÇÕES

20 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

Sobre •
TODOS TEM EM COMUM
Tem que ser em linguagem clara

Termos de •
•
De acordo com o nível de compreensão
Do paciente e dos acompanhantes
• Tem que ser livre e esclarecido
Consentimento • Tem que explicar o que ocorrerá
• Tem que ser destacado
• Tem que ser consciente
Existe só um tipo de • Tem que ser facilitado
termo de • Facilitada a experiência do usuário
consentimento?

• Existem vários tipos de consentimento

• CONSENTIR é ACEITAR
• Na área de saúde tem vários tipos
conhecidos:
o Termo de consentimento para um
tratamento médico, odontológico,
radiológico
o Termo de consentimento de
transfusão de sangue
o Termo de consentimento de
intervenção cirúrgica
o Termo de consentimento de uso de
imagem, de voz
o Termo de consentimento de
tratamento de dados pessoais (pode
ser revogado a qualquer tempo)
o Etc.

21 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

5 | Dicas para implementação em

estabelecimentos de saúde
5.4 | Segurança, proteção e guarda dos dados
A preocupação com a guarda dos dados pessoais é fundamental, especialmente
porque a LGPD dispõe sobre proteção tanto de dados pessoais digitais quanto físicos

Vale dizer, dados pessoais não são apenas os que estão no

computador. Os dados pessoais físicos também devem ser tratados

Assim, independe da forma em que se coleta dado pessoal, se está numa planilha
excel, sistema operacional específico ou uma ficha impressa, é necessário observar
os requisitos de segurança para mitigação (diminuição) de riscos de incidentes

Existem médicos e profissionais da Para proteger os dados pessoais físicos,

saúde em geral que ainda fazem o os documentos devem ser armazenados
prontuário em papel. Não há em local seguro e restrito, utilizando-se
problema, mas é preciso ter cuidado arquivo ou portas de entrada com
ao trabalhar com prontuário em chave e os colaboradores que tenham
papel que está sujeito às regras da acesso ter termos de sigilo ou
LGPD. É possível vazar ao se deixar
cláusulas de sigilo nos contratos de
um prontuário físico em arquivo sem
tranca e sendo manuseado por trabalho, realizar treinamentos para
colaborador ou parceiro que não é comunicação mais discreta e que se
da área da saúde, isso é considerado restrinja ao paciente e que não seja
um incidente de vazamento de dados escutada na recepção por outros
pessoais pacientes
Em relação dados pessoais digitais é importante
Também se revela importante que o servidor, computadores e dispositivos
não permitir o uso de pen- móveis como tablets, ipad, smartphones,
drives, HD externos ou tenham antivírus, não utilize softwares e sistema
outros dispositivos operacional piratas, sejam sempre atualizados,
desconhecidos que possam restringindo o acesso com senhas que possuam
os requisitos mínimos de segurança, ou seja,
ocasionar invasões na contenham letras maiúsculas e minúsculas,
rede, com possibilidade números e caracteres especiais, bem como
maior de incidentes de tenham implementado ou implementem gestão
vazamentos de dados pessoais de uso do Wi-Fi e Política Interna de Segurança
da Informação
Os dispositivos que pertençam aos profissionais da saúde e contenham
dados pessoais devem ser armazenados em local seguro e
restrito, nunca deve ser compartilhado, devendo ser eliminado de
forma segura, quando for substituído, observando-se, naturalmente, a
temporalidade dos documentos

22 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

Sobre As clínicas e consultórios devem

se preocupar, ainda, com os
circuitos internos de câmeras de
Câmeras de segurança, exigir a preservação
de direitos de terceiros,
prestador de serviços contra
Segurança incidentes de vazamento de
dados pessoais ou invasões

O QUE SE DEVE SABER????:

• quem tem acesso às imagens
• se são acessadas pelo celular
• se são gravadas
• quanto tempo ficam gravadas
• softwares e sistemas de proteção
utilizados,
• adotando todo cuidado para que
as imagens não vazem

As medidas de segurança previstas

na LGPD são técnicas e
administrativas aptas a proteger
os dados pessoais de acessos não
autorizados e de situações
acidentais ou ilícitas de destruição,
perda, alteração, comunicação ou
qualquer forma de tratamento
inadequado ou ilícito

23 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

5 | Dicas para implementação em

estabelecimentos de saúde
5.4.1 | O que são medidas 5.4.2 | O que são medidas
técnicas? administrativas?

São medidas voltadas à infraestrutura de São medidas voltadas mais à gestão e

rede de Tecnologia da Informação estrutura documental

Tais como: Tais como:

• Firewall • Políticas de privacidade

• Antivírus • Códigos de conduta

• DLP (Data Loss Prevention) • Políticas de cookies

• Uso de senhas fortes • Treinamento

• Acesso à informação • Acordo de confidencialidade

para colaboradores e terceiros
• Atualização de softwares
que tratam dados pessoais
• Uso de correio eletrônico (e-mail)
• Foco cultura de proteção de
• Etc
dados

DESTAQUE

No tratamento de dados pessoais

sensíveis, as medidas de segurança
deverão ter um cuidado especial,
prevendo salvaguardas e mecanismos
de mitigação (diminuição) de riscos

24 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

5 | Dicas para implementação em

estabelecimentos de saúde
5.5 | Compartilhamento de dados com outros médicos e profissionais de saúde

Quando o profissional de saúde se depara com um

caso raro e deseja ouvir outras opiniões ou
apresentar o caso em grupo de estudos ou em
congresso da especialidade, o compartilhamento
da informação somente será possível sem a
identificação do paciente. Caso contrário,
sugere-se a coleta de consentimento do paciente
para autorizar o compartilhamento de forma
específica

No que se refere a troca de informações pessoais

entre médicos/profissionais de saúde e seus
pacientes por meio de canais de comunicação como
WhatsApp, Telegram, e-mail e outras plataformas
eletrônicas, importante se atentar ao fato de que
informações podem ser transmitidas apenas
para o próprio titular ou a quem o mesmo tiver
autorizado formalmente (Exemplo: termo de
autorização para terceiro) ou legalmente (Exemplo:
pais de um menor, tutor de um incapaz, etc.)

Ademais, deve SEMPRE ser preservada a

intimidade e a privacidade do titular de dados
pessoais, não sendo recomendável a utilização
de plataforma pública para troca de informações
pessoais ao paciente, sendo necessário, ainda, que
os canais eletrônicos utilizados para estas
comunicações possuam requisitos de segurança e
preferencialmente criptografia de ponta a ponta

Sugere-se, ainda, que após finalizar o contato, não

havendo necessidade de armazenamento, as
mensagens sejam imediatamente excluídas,
minimizando os riscos de incidentes de vazamento
de dados

A LGPD proíbe a comunicação ou o uso

compartilhado entre controladores de dados
pessoais sensíveis referentes à saúde com objetivo
de obter vantagem econômica

25 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

5 | Dicas para implementação em

estabelecimentos de saúde

5.6 | Dado anonimizado

Dado anonimizado é dado relativo a titular
que não possa ser identificado, IMPORTANTE
Danos anonimizados não são
considerando a utilização de meios técnicos
objeto de aplicação da LGPD,
razoáveis e disponíveis na ocasião de seu uma vez que não são relacionados ao
tratamento. Pseudoanonimizado pode ser seu titular. Exemplo: Dados
revertido, dificulta a vinculação direta, mas é estatísticos em pesquisas de saúde
publica
possível ser revertido em dado pessoal
comum.
CPF Nome Idade Sexo Mês CID
123.456.7890 João da Silva 45 M Outubro 123
ANONIMIZAR
DADOS SEM

098.765.4321 Antônio Pedro 56 M Outubro 123

999.888.7776 Maria Jose 45 F Outubro 454
888.777.6665 Luisa Pedroso 56 F Outubro 454
777.999.8887 Martha da Silva 48 F Outubro 454
124.324.4443 Silvio Silas 48 M Outubro 454

CPF Nome Idade Sexo Mês CID

ANONIMIZADOS
DADOS PSEUDO

123.***.**90 J*** d* S**** 45 M Outubro 123

098.***.**21 A****** P**** 56 M Outubro 123
999.***.**76 M**** J*** 45 F Outubro 454
888.***.**65 L**** P****** 56 F Outubro 454
777.***.**87 M***** d* S**** 48 F Outubro 454
124.***.**43 S***** S**** 48 M Outubro 454

CPF Nome Idade Sexo Mês CID

ANONIMIZADOS

45 ‘ Outubro 123
56 M Outubro 123
DADOS

45 F Outubro 454
56 F Outubro 454
48 F Outubro 454
48 M Outubro 454

Observe que os campos que identificam a pessoa natural (CPF, Nome)

passaram por um processo que dificulta a sua identificação. Os demais dados
tratados (Idade, sexo, mês e CID) podem ser utilizados de forma estatística
Exemplo: 4 pessoas abaixo de 50 anos, 2 pessoas acima de 50 anos, 3
homens e 3 mulheres, 2 CID 123 e 4 CID 454. Neste formato não se
identifica diretamente (CPF) ou indiretamente (característica única)

26 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

6 | Utilização ética dos dados pessoais na

inteligência artificial no setor de saúde

A Inteligência Artificial utiliza bancos de dados

para que sua programação algorítmica possa
atingir resultados

Imprescindível que toda a utilização de bancos de dados de

exames, prontuários e demais documentos contendo dados
pessoais - físicos que serão digitalizados; ou que tenham seus
dados inseridos em sistemas, bem como dados digitalizados
diretamente -, sejam devidamente protegidos, vez que se
tratam de dados sensíveis

Importa frisar, ainda, que tais dados pessoais quando

utilizados por Inteligência Artificial sejam devidamente
tratados e armazenados, evitando que sejam transferidos,
manipulados ou que sejam passíveis de incidentes (sendo
assim viável a anonimização) de dados, e, portanto, sejam
utilizados de forma indevida, como, por exemplo, para
averiguação de possíveis, mas não comprováveis pré-
existências médicas ou outros fatores que impliquem em
majoração de planos de saúde, diagnósticos errados,
tratamentos que não beneficiem os pacientes, ou, ainda,
informações que em mão erradas possam causar danos
diretos aos pacientes ou colocar sua vida, sua dignidade e
personalidade expostos

Desse modo, a correta adequação, boas

práticas de compliance, treinamento e
tratamento dos dados para inserção em
bancos de dados pessoais para Inteligência
Artificial devem estar conforme os ditames
da Lei Geral de Proteção de Dados, do
sigilo, da ética e dos princípios que a
privacidade defende para que a Inteligência
Artificial possa ser útil e eficiente como
ferramenta de auxílio às instituições
médicas e aos profissionais da medicina

27 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

7 | Casos práticos

Situações constatadas no cotidiano e a sugestão ofertada

1. CLÍNICAS E CONSULTÓRIOS

Prontuário médico/profissionais da saúde armazenado em armário na recepção,

com guarda feita pela recepcionista; profissional da saúde deixar documentos em
cima da mesa da recepção; recepcionista manusear prontuário para verificar qual
o procedimento que será realizado pelo profissional

ORIENTAÇÃO - não deixar prontuários ou outros documentos de pacientes

expostos no balcão; não permitir acesso pela recepcionista aos prontuários;
buscar um software para armazenar os dados pessoais com segmentação e
senhas de acesso individualizadas. Atenção à segurança física do consultório.

2. CASO DA FARMÁCIA EM MATO GROSSO

A rede Raia/Drogasil, foi multada pelo Procon no importe de R$572.680,71 por

realizar coleta de dados pessoais sensíveis (digital) sem esclarecer de forma clara a
sua finalidade

Comprovado pela fiscalização que estavam realizando o pedido de consentimento

dos consumidores para tratamento, uso e compartilhamento dos dados pessoais,
sem que os mesmos tivessem total conhecimento sobre o que estavam autorizando

Não ficou demonstrado o principal objetivo da coleta e tão pouco a

forma clara e adequada do tratamento dos dados pessoais
(fonte: http://www.procon.mt.gov.br/-
/17501890-procon-estadual-multa-rede-de-
farmacias-por-infracao-a-lei-de-protecao-de-
dados-pessoais?inheritRedirect=true )

Cumpre destacar que, no Estado de SP existe a Lei 17.301 de 01 de dezembro de

2020, que proíbe farmácias e drogarias de exigir CPF do consumidor, sugerimos a
leitura da lei:

“Proíbe farmácias e drogarias de exigir o CPF do consumidor, no ato da compra, sem

informar de forma adequada e clara sobre a concessão de descontos, no Estado, e dá
outras providências”

28 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

7 | Casos práticos

Situações constatadas no cotidiano e a sugestão ofertada

3. COMPUTADOR CORPORATIVO

Que não faz impressão e o colaborador envia arquivo para outro computador
para imprimir e o descarte realizado de forma incorreta

ORIENTAÇÃO - Neste caso ideal É elaborar uma política de descarte para

esses documentos que são impressos. Orientar e treinar sempre os
colaboradores da importância do sigilo e descarte. Importante observar também, a
política de privacidade da empresa, pois, se o dispositivo não imprime, talvez tenha
também algum motivo para isso. Há julgados de demissões por justa causa de
colaboradores que descumpriram as regras de uso e sigilo da empresa. Deste
modo importante desenvolver sempre a cultura da proteção de dados pessoais e
conscientização de todos os colaboradores da instituição

4. CULTURA DA MESA LIMPA OU TELA LIMPA

Quando utilizar computador corporativo é necessário que tenha senha de uso

pessoal

ATENÇÃO!! Nunca deixar a senha em um post-it colado no computador.

Sendo assim, quando for sair da frente do computador, seja para tomar café ou
almoçar, o computador deve ser desligado, nunca deixar a tela aberta com os
dados pessoais dos clientes, nem tão pouco papéis sobre a mesa, principalmente
contendo informações de pacientes com grande quantidade de dados de saúde.
Isso é a cultura da tela limpa e mesa limpa

5. TELEFONE CORPORATIVO DO PROFISSIONAL DA SAÚDE

É de suma importância ter o telefone pessoal separado do corporativo,

necessitando de uma política de uso, definir o tipo de informações que podem ser
recebidas; quais informações serão passadas para o prontuário do paciente, em
quanto tempo serão passadas essas informações para o prontuário; quando serão
descartadas, apagadas do dispositivo, para garantir, assim, a segurança dos dados
pessoais tratados

29 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

7 | Casos práticos

Situações constatadas no cotidiano e a sugestão ofertada

6. DEVE A EMPRESA REALIZAR TESTES DE SEGURANÇA DA

INFORMAÇÃO.

SUGESTÃO - Realizar testes, enviando e-mail para verificar se o colaborador

está atento às regras de segurança e clica ou não no link enviado. Se houver
cliques indevidos, submeter o colaborador a novo treinamento

• Esses são apenas alguns exemplos para que todos possamos refletir sobre os
incidentes que porventura possam ocorrer e que medidas devem ser seguidas
em conformidade com a política de privacidade criada pela instituição
• Prevenir sempre é o melhor caminho
• Investir na cultura de privacidade de dados pessoais
• Investir nos colaboradores
• Investir na adequação por profissionais especialistas

30 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

8 | Descumprimento da Lei

Havendo descumprimento da LGPD, os agentes Destacamos: As sanções

de tratamento (controlador e operador) de previstas na LGPD são
dados pessoais ficam sujeitos às seguintes administrativas, portanto,
sanções administrativas aplicáveis pela existe a possibilidade de
autoridade nacional (ANPD), previstas em seu responsabilização por danos
art. 52 na esfera judicial

Penalidades Advertência, com indicação de prazo para adoção de medidas corretiva;

Multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de

direito privado, grupo ou conglomerado no Brasil no seu último exercício,
excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de
reais) por infração
Multa diária, observado o limite total a que se refere o item acima

Publicização da infração após devidamente apurada e confirmada a sua ocorrência

Bloqueio dos dados pessoais a que se refere a infração até a sua regularização

Eliminação dos dados pessoais a que se refere a infração

Suspensão parcial do funcionamento do banco de dados pessoais a que se refere a

infração pelo período máximo de 6 (seis) meses, prorrogável por igual período,
até a regularização da atividade de tratamento pelo controlador
Suspensão do exercício da atividade de tratamento dos dados pessoais a que se
refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual
período

Proibição parcial ou total do exercício de atividades relacionadas a tratamento de

dados

As multas aplicadas pela ANPD serão destinadas ao Fundo de Defesa de

Direitos Difusos que tem por finalidade a reparação dos danos causados ao
meio ambiente, ao consumidor, a bens e direitos de valor artístico, estético,
histórico, turístico, paisagístico, por infração à ordem econômica e a outros
interesses difusos e coletivos
Deve-se ainda observar que o tratamento indevido e sua publicização poderá
acarretar prejuízo direto à imagem da organização e sua decorrente perda de
clientes e negócios, talvez em valor superior às multas estabelecidas

31 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

8 | Descumprimento da Lei
Fornecer cópia de documentos,
físicos ou digitais, dados e
A ANPD publicou em 28.10.2021, sua informações relevantes para a
primeira Resolução CD/ANPD nº 1, avaliação das atividades de
sobre o regulamento do processo de tratamento de dados pessoais, no
fiscalização e processo administrativo prazo, local, formato e demais
condições estabelecidas pela
sancionador. ANPD (art. 5º, I)
Permitir o acesso às instalações,
equipamentos, aplicativos,
facilidades, sistemas, ferramentas
Agente regulados, agentes de e recursos tecnológicos,
tratamento e demais documentos, dados e
integrantes ou interessados no informações de natureza técnica,
tratamento de dados pessoais operacional e outras relevantes
(art. 4º, I) para a avaliação das atividades de
tratamento de dados pessoais,
Autuado, agente regulado que, em seu poder ou em poder de
com indícios suficientes terceiros (art. 5, II)
infração, tem instaurado Deveres Possibilitar que a ANPD tenha
processo administrativo agentes
sancionador, por meio de auto conhecimento dos sistemas de
de infração (art, 4º, II) regulados informação utilizados para
tratamento de dados e
Denúncia, comunicação à informações, bem como de sua
ANPD por qualquer pessoa, rastreabilidade, atualização e
natural ou jurídica, de suposta substituição, disponibilizando os
infração cometida contra dados e as informações oriundos
LGPD, que não seja uma destes instrumentos (art. 5º, III)
petição de titular (art, 4º, III) Submeter-se a auditorias
Obstrução à atividade de
Definições realizadas ou determinadas pela
fiscalização, por ação ou principais ANPD (art. 5º, IV)
omissão, direta ou indireta, da Manter os documentos físicos ou
fiscalização, que impeça, digitais, os dados e as
dificulte ou embarace a informações durante os prazos
atividade de fiscalização pela estabelecidos na legislação e em
ANPD, com entrave à situação regulamentação específica, bem
dos agentes, a recusa no Destacamos: como durante todo o prazo de
atendimento, e o não envio ou Quanto mais boas tramitação de processos
envio intempestivo de práticas forem administrativos nos quais sejam
adotadas, melhor necessários (art. 5º, V)
quaisquer dados e informações será a análise dos
pertinentes à obrigação do processos da Disponibilizar sempre que
agente regulado (art. 4º, IV) ANPD requisitado, representante apto a
oferecer suporte à atuação da
Petição titular, comunicação ANPD, com conhecimento e
feita à ANPD pelo titular de autonomia para prestar dados,
dados pessoais de uma informações e outros aspectos
solicitação apresentada ao relativos a seu objeto (art. 5º, VI)
controlador e não solucionada
no prazo estabelecido em
regulamentação, nos termos
do inciso V do art. 55-J da
LGPD (art, 4º, V)
Requerimento conjunto de
tipos de comunicação,
compreendendo a petição de
titular e a denúnci(art. 4º, VI)

32 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

8 | Descumprimento da Lei

Resolução CD/ANPD nº 1 Fiscalização, que é objeto da

Processo de fiscalização atuação responsiva, são
atividades de monitoramento,
Processo administrativo sancionador orientação, atuação preventiva
e atividade represiva, conforme
os procedimentos do
Regulamento
Aplicação de sanções por meio
de processo administrativo Meios de atuação, de ofício, em
sancionador. Compõe a decorrência de programas
atividade repressiva da ANPD. periódicos de fiscalização, de
Poderá ser instaurado de forma coordenada com órgãos
ofício. Em decorrência de e entidade públicos, ou em
processo de monitoramento, cooperação com autoridades de
de requerimento, após efetuar proteção de dados pessoais de
análise de admissibilidade. outros países
Procedimento preparatório Fiscalização promoverá o
poderá tramitar em sigilo e conhecimento das normas e
efetuar averiguações políticas públicas sobre
preliminares. Quando há proteção de dados pessoais e
indícios suficientes para medidas de segurança, de forma
instauração imediata do Processo a disseminar boas práticas
processo administrativo Fiscalização Medidas de orientação, o
sancionador. Poderá realizar conhecimento elaboração e
diligências. Conclusão pelo disponibilização de guias de
arquivamento ou pela boas práticas, de ferramentas
instauração de processo de autoavaliação de
administrativo sancionador conformidade e de riscos,
Termo de ajuste de conduta modelos de documentos para
(TAC) a o interessado poderá serem utilizados, sugestção de
apresentar proposta de Processo realização de treinamentos e
celebraçao de TAC. Processo Administrativo cursos, reconhecimento e
sancionatório será suspenso Sancionador divulgação das regras de boas
após a assinatura do termo, e práticas e de governança,
arquivado cumprimento recomendação de utilização de
integral, terá regulamentação padrões tecnicos e
própria implementação de programa de
governança em privacidade
Fases de Instauração e de Fique atento
instrução a lavratura do auto Medidas preventivas divulgação
Prazos dias úteis
de infração, defesa do de informações, aviso,
Atos
autuado, pedido de produção administrativos
solicitação de regularização ou
de prova pericial, alegações de preferência informe e plano de
finais, relatório da instrução por meio confirmidade.
Fase de decisão 1ª instância, eletrônico
motivada, fatos e fundamentos
jurídicos e sanção
Fase de recurso ao Conselho
Diretor da ANPD, pode ter
efeito suspensivo. Juízo de
reconsideração, relatoria e
julgamento do recurso.
Do cumprimento da decisão e
da inscrição na Dívida Ativa e
da Revisão, se houver fatos
novos

33 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

9 | Saiba mais...

A QUEM NÃO SE APLICA A LGPD? A LGPD não se aplica para fins

exclusivamente jornalísticos e artísticos; de segurança pública; de defesa
nacional; de segurança do Estado; de investigação e repressão de infrações
penais; particulares (ou seja, a lei só se aplica para pessoa física ou jurídica que
gerencie bases com fins ditos econômicos). E não se aplica aos dados que se
encontram fora do Brasil e que não sejam objeto de transferência internacional

PRINCÍPIOS DA LGPD Conforme art. 6º as atividades de tratamento de

dados pessoais deverão observar a boa-fé e os seguintes princípios: I –
finalidade; II – adequação: III – necessidade; IV - livre acesso; V - qualidade dos
dados; VI – transparência; VII – segurança; VIII – prevenção; IX - não
discriminação e X - responsabilização e prestação de contas

Princípios Finalidade é a realização do tratamento para propósitos legítimos, específicos,

explícitos e informados ao titular, sem possibilidade de tratamento posterior de
da LGPD forma incompatível com essas finalidades
Adequação é a compatibilidade do tratamento com as finalidades informadas ao
titular, de acordo com o contexto do tratamento
Necessidade é a limitação do tratamento ao mínimo necessário para a realização
de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não
excessivos em relação às finalidades do tratamento de dados

Livre acesso é a garantia, aos titulares, de consulta facilitada e gratuita sobre a

forma e a duração do tratamento, bem como sobre a integralidade de seus dados
pessoais
Qualidade dos dados é a garantia, aos titulares, de exatidão, clareza, relevância e
atualização dos dados, de acordo com a necessidade e para o cumprimento da
finalidade de seu tratamento
Transparência é a garantia, aos titulares, de informações claras, precisas e
facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de
tratamento, observados os segredos comercial e industrial
Segurança é a utilização de medidas técnicas e administrativas aptas a proteger os
dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de
destruição, perda, alteração, comunicação ou difusão.
Prevenção é a adoção de medidas para prevenir a ocorrência de danos em virtude
do tratamento de dados pessoais
Não discriminação impossibilidade de realização do tratamento para fins
discriminatórios ilícitos ou abusivos
Responsabilização e prestação de contas é a demonstração, pelo agente, da adoção
de medidas eficazes e capazes de comprovar a observância e o cumprimento das
normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas

34 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

10 | Considerações finais

A finalidade da Lei não é proibir a

utilização dos dados pessoais, mas sim
trazer regras de acesso e cuidados nos
procedimentos de manipulação e guarda,
respeitando os direitos dos titulares de,
saber porque são coletados, de que
forma são utilizados e como serão
descartados os seus dados, seguindo o
princípio da boa-fé e da transparência na
relação interpessoal
O propósito desta cartilha é trazer
informações a respeito das
determinações da Lei Geral de Proteção
de Dados, com situações práticas e
relevantes para o processo e governança
em proteção de dados pessoais, seguindo
os princípios e as bases legais,
principalmente relacionadas aos dados
pessoais sensíveis e de saúde que são os
mais utilizados em consultórios de
profissionais de saúde
Deste modo, seguir as orientações,
buscando sempre atender os princípios,
direitos e garantias fundamentais dos
titulares de dados pessoais, trará
segurança na relação entre
controladores, operadores e titulares de
dados pessoais, onde a compreensão, a
conscientização na proteção dos dados
pessoais deve ser observada e tratada
com zelo por todos os envolvidos na
relação
Mitigar riscos e evitar demanda judiciais
só depende de cada um, pois as
regras foram estabelecidas pela lei e
devem ser seguidas. Esperamos que
aproveitem ao máximo as informações
que foram trazidas e as utilizem com zelo
A prevenção e boas condutas são um
ótimo investimento com retorno pela
redução de custos com eventuais
penalidades

35 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

11 | Documentos de apoio para adequação a

LGPD
Publicações da ANPD.
• Segurança da Informação para Agentes de
Tratamento de Pequeno Porte (Guia
Orientativo) – (checklist medidas de
segurança)
• Definições sobre Agentes de Tratamento de
Dados Pessoais e do Encarregado (Guia
Orientativo)
• Como Proteger seus Dados Pessoais (Guia do Consumidor)
• Vazamento de Dados (Fascículo Cert.br)
• Proteção de Dados (Fascículo Cert.br)

Cartilhas da Comissão de Privacidade e Proteção de Dados

Pessoais da OAB/SP
• Incidentes de Segurança– Coord Educação (Cartilha)
• Boas Práticas de Proteção de Dados na Advocacia – Coord
Educação (Cartilha)

Cartilhas de setores da saúde

• ANS – LGDP Informações básicas para entender
(Cartilha)
• Proteção de Dados para Prestadores Privados em
Saúde (Código de Boas Práticas)

Sugestões Bibliográficas.
• Proteção de Dados Pessoais - Comentários à Lei
13709/2018 – Ed Saraiva Jur – Patricia Peck Pinheiro
• Direito Digital – Patrícia Peck Pinheiro – Ed Saraiva
Jur
• Lei Geral de Proteção de Dados Pessoais e suas
repercussões no Direito Brasileiro – Ed RT –
Coords. Gustavo Tepedino, Ana Frazão e Milena
Donato Oliva
• Proteção de Dados na Saúde: Manual
prático da LGPD para médicos e gestores
• por Amanda Cunha e Mello Smith Martins
e André Gebara Königsberger
• LGPD - Lei Geral De Proteção De
Dados Pessoais Manual De
Implementação – Ed RT – Coord
Viviane Nóbrega Maldonado

36 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde

 LGPD PARA CONSULTÓRIOS | ÁREA DA SAÚDE | OABSP

LGPD PARA CONSULTÓRIOS

ÁREA DA SAÚDE

Coordenadora do grupo:
Maria Cristina Gonçalves

Colaboradores da Cartilha:
Caren Viani, Fabiana dos Santos Medeiros, Greycielle Amaral, Isabella Rainho, Marcelo Fonseca Santos,
Marcus Vinícius Ramos, Maria Cristina Fleming, Maria Cristina Gonçalves, Nilton Nascimento Ramos,
Priscilla Tricate, Rosália Toledo Veiga Ometto, Valéria de Almeida Franco e Victor Machado.

Revisão de texto:
Greycielle Amaral

Edição e Arte:
Rosália Toledo Veiga Ometto

Realização:
Coordenação da Saúde da Comissão Especial de
Privacidade e Proteção de Dados da OAB/SP.

Diretoria Executiva Comissão Especial de

Privacidade e Proteção de Dados da
OAB/SP:
Patrícia Peck Pinheiro – Presidente
Marcelo Lapolla – Vice-Presidente
Marcelo Crespo – 1º Secretário
Gabriela De Ávila Machado – 2ª Secretária

© OAB/SP Licença Creative-Commons. Atribuição não comercial. Dezembro 2021

É possível compartilhar, copiar e redistribuir a presente cartilha em qualquer formato, dando o crédito
apropriado e, inclusive, indicando se foram feitas mudanças no conteúdo original, sendo vedado seu
uso para fins comerciais.

37 | Comissão Privacidade e Proteção de Dados Pessoais | GT Privacidade na Saúde