O aplicativo de saúde pode repassar os meus dados a anunciantes ou a outras empresas?

Por Ramon Martins Andrade, advogado (OAB/RJ 188.374)

Uma pessoa registra no celular a data da menstruação, os sintomas da semana, o remédio que tomou. Dias depois, o mesmo celular passa a exibir anúncios de teste de gravidez e de clínica de fertilidade. Ela não sabe se uma coisa causou a outra, e a desconfiança basta para querer saber o que a lei permite.

O aplicativo pode entregar o que sabe da minha saúde a outra empresa?

Para explorar comercialmente, não. Dado de saúde ligado a uma pessoa identificável é dado sensível na Lei Geral de Proteção de Dados (Lei 13.709/2018), e o art. 11, § 4º veda “a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica”. Controlador é quem decide o que fazer com o dado. Ceder o histórico de saúde dos usuários a um anunciante, que vai usá-lo por conta própria, é o que o parágrafo descreve.

As exceções estão no mesmo parágrafo e são estreitas: prestação de serviços de saúde, assistência farmacêutica e assistência à saúde, em benefício do titular, para permitir a portabilidade que ele pedir ou as transações financeiras e administrativas do próprio serviço. A plataforma que envia a receita à farmácia escolhida pelo usuário está dentro. Também fica fora da vedação a empresa que apenas hospeda ou processa o dado em nome do aplicativo, porque ela é operadora, e não outro controlador.

A pesquisa empírica indica que o envio de dados a terceiros é rotina. Grundy e colegas, em estudo publicado no BMJ em 2019, analisaram o tráfego de 24 aplicativos ligados a medicamentos e encontraram envio de dados do usuário em 19 deles; a maior parte das 55 entidades que recebiam os dados prestava serviços de coleta e análise, incluídas análise de uso e publicidade. Alfawzan e colegas, no JMIR mHealth and uHealth em 2022, examinaram os 23 aplicativos de saúde da mulher mais populares: 20 compartilhavam dados com terceiros e só 12 pediam consentimento. São amostras pequenas, de lojas estrangeiras e de anos atrás; não descrevem nenhum aplicativo em particular, mas mostram que a dúvida não é paranoia.

E se eu aceitei os termos de uso?

O consentimento não figura entre as exceções do § 4º. Penso que a ausência é deliberada e que a caixa de seleção não autoriza a cessão de dado de saúde com fim comercial. Há uma razão séria para ler de outro modo: o art. 11, I admite o tratamento de dado sensível com consentimento específico e destacado, e há quem estenda essa autorização ao compartilhamento. A questão é controvertida, e a minha posição é uma leitura, não tese pacificada.

Mesmo para quem pensa diferente, o aceite genérico não serviria. O art. 8º, § 4º declara nulas “as autorizações genéricas para o tratamento de dados pessoais”, e cabe ao controlador provar que o consentimento foi obtido como a lei exige. Cláusula que autoriza o repasse de “informações” a “parceiros” não diz quem recebe nem para quê.

Como descubro para quem o meu dado foi?

Perguntando, e para isso ninguém precisa de advogado. O art. 18, VII dá ao titular o direito à “informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados”. O pedido é gratuito, vai ao canal de privacidade do aplicativo e pode vir acompanhado da revogação do consentimento e do pedido de eliminação. Sem resposta adequada, a lei assegura a petição à ANPD.

O anúncio, sozinho, não prova o repasse: publicidade segmentada tem muitas origens. Indenização depende de violação demonstrada e de dano, e a sanção administrativa segue trilho separado, como se vê no artigo sobre a multa da ANPD e os dados de saúde.

O dado que sai do celular não volta sozinho

O repasse de dado de saúde a outra empresa, para proveito econômico, é vedado, salvo quando serve ao próprio cuidado do usuário; na minha leitura, que não é unânime, o aceite dos termos não muda isso. Para a empresa de saúde digital, a consequência é que, se a receita depende de ceder dado de saúde a quem vai explorá-lo, o problema está no modelo de negócio, e não na redação da cláusula. Se o aplicativo respondeu ao seu pedido com uma lista de destinatários que você não esperava, ou se a sua empresa precisa classificar cada terceiro que recebe dado como operador ou controlador, entre em contato com o escritório com essa resposta ou esse mapa em mãos.

Ramon Martins Andrade (OAB/RJ 188.374) é advogado formado pela UFRJ em 2011, com mestrados pela Université Sorbonne Nouvelle e pela EGN (Marinha do Brasil). Atualmente pesquisador em Direitos Humanos e Saúde pela ENSP/Fiocruz.