Compartilhamento de risco ainda é ponto obscuro da LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/18 — LGPD), a princípio, entra em vigor em agosto de 2020 [1], porém muitos aspectos estão ainda obscuros, principalmente no âmbito da saúde. Um dos temas é o acordo de compartilhamento de risco entre o Ministério da Saúde e as empresas farmacêuticas para adquirir medicamentos disponibilizados via Sistema Único de Saúde (SUS).

O projeto piloto do acordo de compartilhamento de risco está ocorrendo com a disponibilização do medicamento Spinraza (nusinersena) para o tratamento da atrofia muscular espinhal (AME 5q) tipos II e III (Portaria MS nº 1.297/19 — Projeto Piloto). Entre outros aspectos, a portaria estabelece que o acordo de compartilhamento de risco deve conter: I) os critérios de desfecho de saúde esperados e dos parâmetros de atividade clínica; e II) a definição dos critérios de interrupção do fornecimento do medicamento para os pacientes que não apresentarem os desfechos de saúde esperados. O monitoramento dos pacientes e a avaliação dos desfechos clínicos serão coordenados por instituição de pesquisa indicada pelo ministério, observando os termos do acordo entre o Ministério da Saúde e a empresa farmacêutica fornecedora do medicamento.

As indagações se iniciam: como será realizado o monitoramento dos pacientes e a avaliação dos desfechos clínicos? A depender do modelo adotado, como será a obtenção de dados dos pacientes? Os dados dos pacientes serão compartilhados entre o ministério da Saúde e a empresa fornecedora para avaliarem a continuação ou a interrupção do fornecimento do medicamento? E como será a divulgação dessas informações ao público? Afinal, trata-se de contrato público cujas principais informações, em tese, podem e devem ser disponibilizadas aos administrados. Até mesmo para que outras empresas farmacêuticas avaliem a viabilidade ou não de firmarem novos acordos de compartilhamento de risco com o ministério da Saúde.

No âmbito da LGPD, os dados de saúde dos pacientes são considerados dados pessoais sensíveis, possuindo uma regulação e defesa mais rigorosa. O seu tratamento pode ser realizado em hipóteses bastantes específicas, como: consentimento do titular, cumprimento de obrigação regulatória, realização de estudos por órgãos de pesquisa, tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos, exercício regular de direitos e proteção da vida ou da incolumidade física do titular ou de terceiro e tutela da saúde, realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária e garantia da prevenção à fraude. A depender da finalidade/utilidade do uso do dado pessoal, a base legal para o tratamento dos dados difere.

Poderia a instituição de pesquisa compartilhar os dados pessoais sensíveis dos pacientes com o ministério da Saúde e a empresa fornecedora? A hipótese configuraria comunicação/uso compartilhado de dados pessoais sensíveis com o objetivo de obter vantagem econômica, na medida em que o fornecimento do medicamento depende diretamente dos dados?

Deverão os dados serem anonimizados e, então, compartilhados com o Ministério da Saúde e a empresa fornecedora? Nesse caso, como concordar com a avaliação da instituição de pesquisa? Seria uma avaliação às cegas? Ou será necessário apenas o consentimento dos titulares dos dados? Seria possível? E como serão compartilhadas essas informações com o público, notadamente com as demais empresas farmacêuticas interessadas em firmar acordos de compartilhamento de risco com o Ministério da Saúde?

Até o momento, o Ministério da Saúde não forneceu maiores detalhes sobre o monitoramento dos pacientes no Projeto Piloto. Porém, a princípio, podemos vislumbrar as seguintes hipóteses: 

1 — Dados anonimizados: nesta hipótese, em tese, os dados podem ser amplamente divulgados, inclusive à sociedade, pois os dados anonimizados não são considerados pessoais. Resta questionar a confiabilidade dos dados, sobretudo por parte da empresa que fornece o medicamento; 

2 — Consentimento do titular do dado: com a obtenção de consentimento específico do titular do dado, em tese, o seu dado pessoal sensível pode ser compartilhado. Para tanto, deve constar, expressa e especificamente, no consentimento, as formas de tratamento do dado, especialmente quanto ao compartilhamento do dado com a empresa que fornece o medicamento.

As respostas não são simples e tampouco de rápida solução. Resta aguardar as discussões e o posicionamento do Ministério da Saúde. Porém, o prazo para adequação à LGPD está se esgotando: agosto está logo aí. Como será o desfecho dessa novela?