
Dados de saúde e terceiros: o risco regulatório vai além do vazamento
O caso envolvendo o UK Biobank reacende uma discussão essencial para empresas que tratam dados sensíveis: a exposição regulatória não nasce apenas de um vazamento clássico. Ela também pode surgir quando há acesso legítimo, mas sem governança suficiente sobre a finalidade, o uso, a auditoria e os limites impostos a terceiros.
Leitura rápida
- A contratação de terceiros não elimina a responsabilidade da empresa sobre o tratamento de dados;
- Controladores e operadores podem responder por danos quando há falha de governança;
- Na saúde suplementar, incidentes envolvendo dados podem gerar reflexos na ANPD, na ANS e no Judiciário;
- A anonimização só afasta a LGPD quando não houver possibilidade razoável de reidentificação;
- O maior risco operacional está no uso indevido após acesso legítimo, especialmente sem trilha de auditoria e limitação técnica de acesso.
Responsabilidade no tratamento de dados pessoais
A LGPD já deixa esse ponto mais rigoroso do que muitas empresas imaginam. O art. 42 estabelece que controlador e operador podem responder por danos decorrentes do tratamento de dados pessoais. Além disso, o art. 39 determina que o operador deve realizar o tratamento conforme as instruções fornecidas pelo controlador.
Na prática regulatória, esse desenho exige mais do que contrato assinado. Quando há falha de governança, ausência de controle ou falta de demonstração das instruções aplicadas ao operador, a exposição deixa de ser apenas técnica e passa a ser jurídica, regulatória e reputacional.
Responsabilização no ambiente digital
A discussão não se limita à LGPD. O Marco Civil da Internet também deve ser considerado, especialmente quando a falha envolve armazenamento, proteção ou tratamento de dados em ambiente digital.
Esse marco normativo exige segurança no armazenamento de dados e pode reforçar a responsabilização em caso de falha de proteção. Ou seja, um incidente provocado por parceiro tecnológico pode criar uma camada adicional de responsabilização civil.
Impactos regulatórios na saúde suplementar
No setor de saúde suplementar, a exposição se torna ainda mais sensível. Operadoras lidam com dados de saúde, rede credenciada, prestadores, beneficiários e processos assistenciais que dependem de continuidade, segurança e qualidade.
Nesse contexto, uma falha envolvendo dados pode ultrapassar a esfera da privacidade. Dependendo do caso, ela pode ser interpretada como risco assistencial indireto, especialmente quando impacta acesso, continuidade, autorização, auditoria, rede ou qualidade da assistência.
Anonimização e risco de reidentificação
A LGPD é objetiva ao tratar dados anonimizados. Eles deixam de ser considerados dados pessoais apenas quando não puderem ser reidentificados por meios razoáveis disponíveis na ocasião do tratamento.
Se houver possibilidade de reversão, cruzamento de bases, inferência ou reidentificação, a proteção jurídica da anonimização perde força. Esse ponto conversa diretamente com o debate internacional sobre bases de dados biomédicos e com o próprio caso do UK Biobank.
Ponto de atenção:
O argumento de que dados anonimizados eliminam automaticamente a responsabilidade não se sustenta quando há risco concreto de reidentificação.
Governança e controle no tratamento de dados
A LGPD exige estrutura de governança, gestão de riscos, política de segurança e registro das operações de tratamento, conforme previsto no art. 37. Isso significa que a empresa precisa demonstrar controle, documentação e coerência operacional.
A Autoridade Nacional de Proteção de Dados também vem reforçando a importância de medidas preventivas, due diligence de terceiros, controle contratual e monitoramento contínuo. Portanto, não basta escolher um fornecedor e guardar o contrato em uma pasta, como se isso magicamente resolvesse a vida adulta corporativa.
Uso de dados após acesso autorizado
O maior risco nem sempre está no vazamento em si. Em muitos casos, o problema mais grave está no uso indevido após acesso legítimo. Esse é o tipo de falha mais difícil de explicar para reguladores, titulares de dados e Judiciário.
Esse risco aparece quando há ausência de trilha de auditoria, permissões excessivas ou inexistência de mecanismos técnicos que limitem o uso das informações.
Esse padrão se aproxima do que o caso do UK Biobank colocou em evidência: o problema não está apenas em proteger a entrada do sistema, mas em controlar o que acontece depois que alguém entra com autorização.
Síntese executiva:
No Brasil, o risco regulatório não está apenas no vazamento, mas na incapacidade de demonstrar governança sobre terceiros — o que transforma um incidente técnico em uma infração regulatória multissetorial, envolvendo ANPD, ANS e Judiciário.
Implicações regulatórias para as organizações
Para empresas que tratam dados sensíveis, especialmente no setor de saúde, a conclusão é direta: compartilhar dados significa compartilhar risco. Anonimizar não elimina automaticamente a responsabilidade. Ter contrato não significa estar protegido. E a falha de um terceiro pode recair sobre quem deveria ter definido, fiscalizado e documentado os controles.
O debate, portanto, não é apenas jurídico. É de governança, operação, tecnologia, auditoria e gestão de riscos. Empresas que não conseguem demonstrar controle sobre seus terceiros passam a depender de uma posição de defesa limitada: a de que acreditavam estar protegidas. Regulador nenhum costuma se comover com isso.
Fontes e referências
Como sua operação está tratando riscos com terceiros?
A CTS Consultoria apoia empresas na avaliação de riscos regulatórios, governança de dados, gestão de terceiros e fortalecimento de controles internos para reduzir exposição jurídica, regulatória e reputacional.
Sobre o autor

Tiago Karam
Consultor regulatório em ANS e ANPD
