Considerações sobre prescrição eletrônica e proteção de dados de pacientes

Por Marcos Vinicius Ottoni e Ricardo Campos

“Aquilo que não seja preciso divulgar, eu conservarei inteiramente secreto”

O setor da saúde tem sido diretamente afetado pelos processos de digitalização ocorridos ao longo das últimas décadas. Dentre as novidades introduzidas recentemente no setor, têm chamado a atenção os sistemas de prescrição eletrônica, especialmente após a pandemia de Covid-19 e a consequente necessidade de se investir em uma prestação de serviços que dispensasse, ou diminuísse, o contato físico entre as pessoas. De forma sucinta, a prescrição eletrônica (e-prescription) diz respeito ao uso de dispositivos de computação para criar, modificar, revisar ou transmitir receitas médicas. O objetivo da tecnologia é permitir que todos os atores envolvidos no ecossistema de cuidado (médicos, pacientes, enfermeiros, hospitais e farmácias) possam se beneficiar da superação do uso do papel, a partir de sistemas mais precisos, acessíveis e livres de erros.

No Brasil, a Lei nº 13.989/20, que dispôs sobre o uso da telemedicina durante a crise do coronavírus, possibilitou a utilização de receitas médicas em formato digital, que foram regulamentadas e disciplinadas pela Resolução nº 2.299/21 do Conselho Federal de Medicina. O documento estabelece os requisitos mínimos para validade da receita (identificação do médico e do paciente, data e hora e assinatura digital do médico) e possibilita o uso de plataforma específica do CFM ou, ainda, de outras plataformas, desde que observadas as regras do órgão quanto ao manuseio das informações, como a privacidade e a confidencialidade.

Além disso, o artigo 4º da Resolução determina que a emissão desses documentos deve ser feita mediante assinatura digital, com um certificado válido emitido pela Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil).

No país, funcionam hoje, além do portal desenvolvido pelo CFM, as plataformas Memed e Doutor Prescreve, bem como o site Receita Digital que, de modo geral, funcionam da mesma forma: o médico acessa o portal de preferência, emite a prescrição assinada seguindo os padrões do ICP-Brasil e, ao final, é gerado um link ou um QR Code, que deve ser enviado ao paciente por e-mail, SMS ou aplicativo de mensagens; o paciente pode encaminhá-la ou mostrá-la ao farmacêutico que, por sua vez, deve validá-la no site do Instituto Nacional de Tecnologia da Informação (ITI) e fazer a dispensação. Em alguns casos, é possível, ainda, comprar o medicamento diretamente pela plataforma, que age como intermediadora entre o paciente e as farmácias.

Apesar do uso das receitas eletrônicas não ser obrigatório no país, um levantamento feito pela Memed constatou que, apenas em 2020, foram emitidas mais de 13 milhões de receitas digitais na plataforma, sendo 4 milhões apenas na cidade de São Paulo. O rápido crescimento desses números, bem como a grande quantidade de informações sensíveis envolvidas nesses processos, traz preocupações, especialmente quanto à privacidade e à proteção dos dados dos pacientes. A Seção II da Lei Geral de Proteção de Dados é reservada especificamente para o tratamento de dados pessoais sensíveis, que incluem dados de saúde, o que demonstra a necessidade de se observar tais questões com maior atenção.

Dentre diversos outros, um tópico merecedor de atenção no caso das receitas médicas eletrônicas diz respeito ao acesso a elas. Em observação ao princípio da segurança, previsto no artigo 6º, inciso VII, da LGPD e compreendido como basilar de qualquer atividade de tratamento de dados, há que se pensar em medidas contra acessos não autorizados e situações de perda ou alteração dos dados. De início, o requisito de que o médico utilize assinatura eletrônica qualificada, como previsto no artigo 4º da Resolução 2.299 do CFM, já demonstra o reconhecimento acerca da necessidade de se impor o mais elevado nível de segurança (confiabilidade) a esse tipo de relação. Vale lembrar que a assinatura qualificada é aquela que deve ser certificada pela ICP-Brasil, infraestrutura de chaves públicas instituída pela MP nº 2002-2/2001 para garantir a autenticidade, a integridade e a validade jurídica de documentos em forma eletrônica no país. Não menos importante foi o desenvolvimento do site “Validador de Documentos Digitais em Saúde”, disponibilizado pelo ITI, vinculado à Casa Civil da Presidência da República, para garantir aos atores de saúde a possibilidade de verificação desses documentos eletrônicos.

No entanto, acessos não autorizados podem ocorrer também no ponto da recepção da receita médica, isto é, no ponto em que supostamente o paciente estaria. A possibilidade de se enviar a prescrição por e-mail ou WhatsApp, sem nenhum meio de autenticação adicional, parece constituir uma fragilidade desses sistemas, principalmente em um cenário onde dispositivos e contas são constantemente invadidos e dados constantemente expostos. Da mesma forma, pode-se pensar na segurança do ponto do farmacêutico: hoje, ainda não é obrigatório que esse profissional possua certificação digital e, em alguns casos, também não é obrigatório o registro da dispensação dos medicamentos.

Conquanto não haja solução prevista em lei ou regulamento para os problemas apontados acima, devido sobretudo à incipiência do tema no contexto brasileiro, não é possível ignorar que, eventualmente, tais questões deverão ser debatidas. A fim de lançar luz sobre a temática e, quiçá, aventar caminhos para a sua regulamentação no Brasil, buscamos referências no direito comparado que nos permitam melhor compreender a estreita relação entre prescrições eletrônicas e proteção de dados pessoais.

Considerações finais (por ora) sobre o modelo brasileiro

Diante da necessidade de formas alternativas de prestação de cuidados em saúde, considerando-se a pandemia do coronavírus e a migração geral das relações sociais do meio analógico para o digital nos últimos anos, as prescrições eletrônicas tornaram-se imperativas. A rapidez no desenvolvimento desses sistemas, no entanto, deve ser acompanhada de uma adequada preocupação com a proteção dos dados pessoais, e sobretudo, dos dados sensíveis dos pacientes. Nesse caso, uma das principais formas de se salvaguardar os direitos dos titulares é garantir que o acesso a esses dados esteja disponível estritamente para pessoas diretamente envolvidas no processo de prescrição: o médico responsável, o farmacêutico e o paciente.

No caso brasileiro, pode-se observar que, até o momento, apesar da exigência de utilização de assinaturas eletrônicas qualificadas pelo médico prescritor, não há nenhuma verificação de segurança adicional nos outros pontos da rede, isto é, do farmacêutico e do paciente. A título exemplificativo, e em sentido contrário, o recente e-Rezept alemão conta com esquemas específicos de identificação desses dois atores; no caso do simplificado EPS inglês, apenas duas das partes possuem acesso à receita.

Ademais, no caso brasileiro, aspectos importantes sobre a forma e a duração do tratamento dos dados pessoais não ficam claros aos titulares nas plataformas de prescrição, como requerido pela LGPD. Diante da multiplicidade de portais que oferecem tais serviços, é imprescindível pensarmos acerca do estabelecimento de padrões técnicos em nível nacional, garantindo aos pacientes, titulares de dados pessoais, no mínimo o mesmo grau de segurança e proteção com o qual sempre contaram. Um sistema de prescrição eletrônica é tão urgente quanto essencial, mas é preciso cuidar para que sua implementação não implique quaisquer efeitos colaterais indesejados do ponto de vista da proteção dos dados dos pacientes.

Marcos Vinicius Ottoni é coordenador geral jurídico da Confederação Nacional de Saúde (CNSaúde). Sócio fundador do Caldeira, Lobo e Ottoni Advogados.

Ricardo Campos é docente na Goethe Universität Frankfurt am Main (Alemanha), coordenador nacional de Direito Digital da OAB Federal/ESA Nacional, diretor do Instituto Legal Grounds, sócio do Opice Blum, Bruno e Vainzof Advogados e ganhador do prêmio Werner Pünder sobre regulação de serviços digitais (Alemanha, 2021) e do European Award for Legal Theory da European Academy of Legal Theory (2022).

Fonte: Conjur