Aplicação da LGPD no setor de seguros
Como o seu próprio nome leva a crer, a Lei Geral de Proteção de Dados (Lei 13.709/2018) incide de forma transversal [1]. Significa dizer que o segurador, na posição de um "agente de tratamento de dados", terá de: 1) apoiar-se em uma base legal para tratamento de dados pessoais; 2) respeitar os princípios e direitos do titular de dados; 3) cumprir com as suas obrigações; e 4) sujeitar-se à responsabilização, caso provoque danos injustos [2].
Além desses itens, que poderiam ser decompostos em vários subitens, existem outros pontos importantes relacionados à aplicação da LGPD no setor de seguros, como o período de tratamento dos dados pelo segurador, as sanções administrativas na prática, a possibilidade de condução de auditorias pela Autoridade Nacional de Proteção de Dados (ANPD) e/ou pela Superintendência de Seguros Privados (Susep), bem como os contornos do relatório de impacto de proteção de dados exigível do segurador.
Tendo em vista o espaço limitado desta coluna, porém, optou-se por tirar da sombra apenas um entre os aspectos mais tormentosos da matéria sob exame: as bases legais de tratamento de dados pelos seguradores, em especial nos períodos de subscrição e regulação de sinistro nos seguros de vida. É o que segue.
No caso de dados pessoais (não sensíveis) [3], a legitimidade do tratamento pelo segurador poderá ter como alicerce um dos seguintes três requisitos: 1) a necessidade para a "execução de contrato ou de procedimentos preliminares" relacionados ao contrato, desde que a pedido do titular dos dados (artigo 7º, inciso V); 2) os "interesses legítimos" do controlador ou de terceiros (artigo 7º, inciso IX); e 3) o consentimento dado pelo titular (artigo 7º, inciso I) [4]. Note-se que, em relação aos dados pessoais não sensíveis, o legislador brasileiro de nenhuma forma hierarquizou as bases legais de tratamento, sendo todas elas dispostas em diferentes incisos (I a X) do artigo 7º da LGPD.
Já a legitimidade para o tratamento dos dados sensíveis (que, na definição legal disposta no artigo 5º, inc. II, abrange qualquer "dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural") deve ser extraída do artigo 11 da LGPD.
Uma sucinta comparação entre os dispositivos em causa demonstra que o artigo 11 não possui regramentos correspondentes à "necessidade" para o programa contratual (artigo 7º, inciso V) e atendimento aos "interesses legítimos" do segurador (artigo 7º, inciso IX) como fatores permissivos ao tratamento de dados [5]. Nesse sentido, embora o tratamento de dados sensíveis, nomeadamente os de saúde, seja essencial para a "execução do contrato" de seguro de vida, a LGPD não permite o uso da mencionada base legal de tratamento de dados pelo segurador.
Com efeito, é preciso extrair do artigo 11 da lei a base legal para o tratamento de dados de saúde pelo segurador. Eis, no que aqui interessa, os seus termos: "O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses: I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas; II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para: a) cumprimento de obrigação legal ou regulatória pelo controlador; (...) d) exercício regular de direitos; e) proteção da vida ou da incolumidade física do titular ou de terceiro; f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos (...)". Os dados sensíveis referentes à saúde possuem um regramento ainda mais rigoroso, sendo expressamente vedado o uso compartilhado desses dados com o objetivo de obter vantagens econômicas, salvo algumas exceções (artigo 11, §4º e § 5º) [6].
O consentimento específico e em destaque (artigo 11, inciso I), para "finalidades específicas", permite o tratamento de dados de saúde do (candidato a) segurado. Diante da atual dinâmica de contratação dos seguros coletivos (segurador — estipulante — segurados), porém, a recolha de consentimento afigurar-se-ia medida desafiadora para os seguradores, que, muitas vezes, praticamente não têm contato direto com os segurados. Portanto, é preciso investigar se o consentimento seria essencial ou se o segurador poderia se valer de outra base legal disposta no artigo 11 da LPGD.
Nesse particular, convém advertir que, embora a LGPD tenha se inspirado no General Data Protection Regulation (Regulamento Europeu 2016/679, ou GDPR), inclusive no que se refere às bases legais para o tratamento de dados, a interpretação dos seus conceitos dependerá das balizas que a ANPD, o Poder Judiciário e a doutrina brasileira irão fornecer ao longo dos próximos meses e anos. Por ora, impõe-se reconhecer que há mais dúvidas do que certezas sobre qual a amplitude que será dada a conceitos indeterminados presentes na lei, como é o caso da "tutela da saúde" e do "exercício regular de direitos", dispostos no artigo 11, inciso II, alíneas "d" e "f".
Em recente Código de Boas Práticas, feito pela Confederação Nacional de Saúde, com a coordenação científica dos professores Laura Schertel Mendes e Danilo Doneda, pode-se colher, no capítulo dedicado ao compartilhamento de dados entre estabelecimentos de saúde e operadoras de planos de saúde, as seguintes recomendações: "BOAS PRÁTICAS. Operadores de serviços de saúde: - Buscar o consentimento dos pacientes para requerer o compartilhamento de dados de saúde (quando não for base legal de cumprimento regulatório), esclarecendo a finalidade e aplicando a minimização de dados (...)" [7].
Portanto, a recomendação do indigitado código é no sentido de recolha do consentimento do titular de dados (paciente/segurado). Para chegar a essa conclusão, os autores recordam o artigo 1º da Resolução CFM nº 1.605/2000 ("O médico não pode, sem o consentimento do paciente, revelar o conteúdo do prontuário ou ficha médica"), bem como enfatizam que o consentimento seria necessário basicamente por não haver outra hipótese legal que permitiria a coleta de dados de saúde. Seja pelo fato de a base legal de "tutela da saúde" só poder ser utilizada se os "dados forem tratados por ou sob a responsabilidade de um profissional sujeito à obrigação de sigilo profissional", seja pelo fato de a base legal de "exercício regular de direitos" estar ligada à "manifestação no âmbito de processos judiciais, administrativos ou arbitrais", salvo em casos de "cumprimento de obrigação legal ou regulatória", a coleta do consentimento seria imprescindível para legitimar o tratamento de dados de saúde pelos seguradores e operadoras de planos de saúde [8].
Indo além, defendem os aludidos professores, em plano abstrato, a necessidade de o controlador privilegiar a obtenção do consentimento para o tratamento de dados sensíveis: "É importante notar, ainda, que a Lei Geral de Proteção de Dados trouxe uma regra especial quanto ao tratamento de dados pessoais sensíveis no seu artigo 11, privilegiando o uso do consentimento em detrimento das demais bases legais da lei. Isto porque o legislador, ciente da importância e da criticidade deste tipo de informações, privilegiou a transparência e a informação ao titular dos dados em relação ao uso dos seus dados" [9].
De fato, o legislador brasileiro conferiu abordagem destacada para a base legal do consentimento, no caso de tratamento de dados sensíveis, ao contrário do que ocorreu no âmbito dos dados não sensíveis. Para tanto, basta observar a expressão "sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para (...)", prevista no artigo 11, inciso II, da LGPD.
O segurador não poderá desconsiderar esse elemento. De igual sorte, deverá levar em conta outros aspectos relevantes — e.g., 1) haverá transferência internacional de dados?; 2) para quais finalidades esses dados serão tratados?; 3) há uma legítima expectativa do segurado em relação ao tratamento de tais dados pelo segurador? Esses são alguns dos parâmetros que auxiliarão o segurador na escolha da base legal de tratamento de dados.
Nesse particular, é muito ecoada a crítica doutrinária no sentido de que a base legal do consentimento poderia deixar o controlador em situação delicada, caso o titular de dados viesse a revogar o seu consentimento. Será que o segurador estaria vinculado a cumprir com a sua prestação sem tratar os dados de saúde do consumidor?
Bem vistas as coisas, havendo a recusa de consentir o tratamento de dados de saúde pelo candidato a segurado ou a opção pela revogação superveniente do consentimento pelo segurado, a seguradora que atua no ramo vida restaria impossibilitada de prestar o seu serviço. Como destaca a doutrina especializada, "a realização da prestação do segurador se tornaria impossível por fato imputável ao credor (da indenização), sendo consequência natural a resolução do contrato", havendo, ainda, a possibilidade de "oposição de exceção de contrato não cumprido" [10].
Em outras palavras, caso a base legal justificadora do tratamento de dados seja o consentimento, o segurador poderá recusar a contratação de segurado que não o dê, ou poderá resolver o contrato, se o segurado revogar o seu consentimento ao longo da contratação, sem sofrer qualquer sanção pelo ordenamento jurídico.
No que se refere à outra comum crítica acerca do uso da base legal do consentimento — qual seja, a da sua banalização, havendo uma "hipertrofia do consentimento" [11], não teria melhor sorte quem tentasse se valer dela para afastar a coleta do consentimento do segurado, diante da constatação de que as outras supostas bases legais aplicáveis (leia-se, "tutela da saúde" ou "exercício regular de direito") não são confiáveis para o segurador, máxime no âmbito da subscrição e regulação do sinistro.
Impõe-se, nesse sentido, concluir que, ao menos por ora, o consentimento será a base prioritária de tratamento de dados de saúde nos seguros de vida. Sem embargo, as seguradoras deverão se atentar ao fato de que, mesmo quando os titulares de dados derem o seu consentimento, elas terão que observar, para além dos princípios da boa-fé objetiva e da confiança, as legítimas expectativas dos segurados e o contexto no qual o respectivo consentimento foi dado.
[1] A lei abrange as seguradoras e resseguradoras brasileiras e estrangeiras que atuem no mercado nacional. O artigo 3º é claro ao estipular que não importa o meio, o país da sede ou o local onde estejam localizados os dados, a oferta ou o fornecimento de serviços, bem como a coleta ou a operação de tratamento de dados realizados no Brasil, inclusive pela internet, fazem incidir a lei.
[2] MENDES, Laura Schertel; DONEDA, Danilo. Reflexões iniciais sobre a nova Lei Geral de Proteção de Dados. Revista de Direito do Consumidor, São Paulo, ano 27, v. 120, p. 471-472, nov./dez. 2018.
[3] Dado pessoal, na dicção do artigo 5º, inc. I, da LGPD, é toda e qualquer informação "relacionada a pessoa natural identificada ou identificável". Entre outros incontáveis dados pessoais, podem ser citados: nome completo, números de identidade e CPF, nacionalidade, data de nascimento, estado civil, profissão, endereço, altura, gênero, peso, endereço IP e dados locacionais. Ressalve-se que tais dados podem tornar-se sensíveis em alguns contextos, cf. MULHOLLAND, Caitlin. Os contratos de seguro e a proteção dos dados pessoais sensíveis. In: GOLDBERG, Ilan; JUNQUEIRA, Thiago. Temas Atuais de Direito dos Seguros. São Paulo: Thomson Reuters Brasil, 2020. p. 82 e ss.
[4] Na esteira da definição legal, não é qualquer consentimento para o tratamento de dados pessoais que será considerado válido, mas apenas o fruto de uma manifestação livre, informada e inequívoca, pela qual o titular anui ao tratamento para uma determinada finalidade (artigo 5º, inc. XII, da LGPD). Autorizações genéricas serão consideradas nulas (artigo 8º, § 4º, da LGPD) e, em se tratando de dados sensíveis, o consentimento requerido é qualificado. De resto, não se pode olvidar que o segurador poderá, ainda, tratar os dados pessoais do segurado visando, por exemplo, o "cumprimento de obrigação legal ou regulatória" (artigo 7º, inc. II) ou "o exercício regular de direitos em processo judicial, administrativo ou arbitral" (artigo 7º, inc. VI).
[5] Sobre o tema, afirma Carlos Nelson Konder: "Para o legislador, os interesses patrimoniais envolvidos nesses casos não justificaram o risco intrínseco ao tratamento de dados sensíveis do titular". KONDER, Carlos Nelson. O tratamento de dados sensíveis à luz da Lei 1.709/2018. In: TEPEDINO, Gustavo; FRAZÃO, Ana; OLIVA, Milena Donato. Lei Geral de Proteção de Dados Pessoais e suas repercussões no Direito brasileiro. São Paulo: Revista dos Tribunais, 2019. p. 458.
[6] Artigo 11. §4º, da LGPD: "É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses relativas a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, desde que observado o § 5º deste artigo (...), e para permitir: I - a portabilidade de dados quando solicitada pelo titular; II - as transações financeiras e administrativas resultantes do uso e da prestação dos serviços de que trata este parágrafo”. § 5º “É vedado às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários". O parágrafo quinto é endereçado aos planos privados de assistência à saúde, não se aplicando aos seguros de vida e às demais modalidades securitárias reguladas pela SUSEP.
[7] Confederação Nacional de Saúde. [Código de Boas Práticas] Proteção de Dados para Prestadores Privados em Saúde. Coordenação Científica: MENDES, Laura Schertel; DONEDA, Danilo et al. 2021.
p. 93. (Destacou-se).
[8] Ibid. pp. 74-75.
[9] Ibid. p. 92. (Destacou-se).
[10] MIRAGEM, Bruno; PETERSEN, Luiza. O contrato de seguro e a Lei Geral de Proteção de Dados. In: Revista dos Tribunais, vol. 1018/2020. pp. 8-9. (versão on-line). (Destacou-se).
[11] BIONI, Bruno. Proteção de Dados Pessoais: a função e limites do consentimento. Rio de Janeiro: Forense, 2019. p. 170.