Hospital, fornecedor de nuvem e uso próprio de laudos de imagem
O Hospital São Lucas, de 300 leitos, contrata a NuvemDiagnóstico para hospedar laudos de imagem (tomografia, ressonância e mamografia) de 90 mil pacientes por ano. O contrato, assinado às pressas, tem uma cláusula única: "a contratada poderá utilizar os dados para aprimoramento dos serviços". Na prática, a NuvemDiagnóstico usa as imagens para treinar seu próprio algoritmo de leitura de exames e vende relatórios de tendências a duas operadoras de plano de saúde. Em julho, um invasor acessou o ambiente da Nuvem e exfiltrou 90 mil laudos, incluindo nomes, CPFs e diagnósticos. O hospital divulgou nota dizendo que "a responsabilidade é exclusiva da empresa de tecnologia, que é a controladora dos dados". A NuvemDiagnóstico respondeu que apenas "segue instruções do cliente".
1. Quem é controlador e quem é operador nessa relação? A nota do hospital procede?
Read the worked answer
A nota erra dos dois lados. O hospital decide as finalidades e os elementos essenciais do tratamento - quais exames, quais pacientes, para quê - e é controlador (Art. 5º, VI). A NuvemDiagnóstico realiza o tratamento em nome do hospital, segundo instruções, e é operadora (Art. 5º, VII); hospedar e ter acesso técnico aos dados não a torna controladora por si só.
Há, porém, uma virada: ao usar as imagens para treinar seu próprio algoritmo e vender relatórios a operadoras, a Nuvem passa a tratar os dados para finalidade própria, fora das instruções do controlador. Nesse ponto, deixa de atuar apenas como operadora e responde solidariamente pelos danos (Art. 42, §1º, II), podendo ser equiparada a controladora quanto a esse tratamento específico, com base legal própria e deveres próprios. A cláusula genérica de "aprimoramento dos serviços" não é instrução válida: instrução precisa ser específica, documentada e compatível com a finalidade informada aos titulares.
Quanto ao vazamento, o hospital não se exonera. O controlador responde pelos danos (Art. 42) e mantém deveres de segurança e de comunicação do incidente (Arts. 46 e 48), ainda que a falha tenha ocorrido no ambiente do operador. A repartição em regresso é possível, mas não afasta a responsabilidade perante o titular.
2. O uso das imagens para treinar o algoritmo próprio e vender relatórios a operadoras de plano é lícito? Analise pelas finalidades, pela natureza dos dados e pela anonimização.
Read the worked answer
Provavelmente ilícito, por três razões cumulativas.
Finalidade: o Art. 6º, I exige propósito legítimo, específico e informado, e o Art. 6º, III exige necessidade. Treinar algoritmo próprio e vender tendências não é compatível com a finalidade diagnóstica informada aos pacientes, e a cláusula genérica do contrato não supre a informação ao titular.
Dado sensível de saúde: o Art. 11, §4º veda a comunicação ou o uso compartilhado entre controladores de dados sensíveis de saúde com objetivo de obter vantagem econômica, ressalvadas as hipóteses de prestação de serviços de saúde, assistência farmacêutica e assistência à saúde, em benefício do titular. Vender relatórios a operadoras de plano não se enquadra nessas exceções.
Anonimização: se as imagens e metadados fossem efetivamente anonimizados de forma irreversível (Art. 12), deixariam de ser dado pessoal - mas isso exige técnica robusta e avaliação do risco de reidentificação; pseudonimizar não basta. Laudos com nome, CPF e diagnóstico jamais são anônimos.
Consequência: cessar o uso, eliminar o que não tem base, renegociar o contrato e, se houver interesse em pesquisa, estruturar base própria do Art. 11 com RIPD. Há exposição a sanções e a indenizações coletivas.
3. Que cláusulas e controles o hospital deveria ter exigido no contrato e na governança para se proteger?
Read the worked answer
O contrato atual falha em quase tudo o que a LGPD exige de uma relação controlador-operador.
Cláusulas mínimas: objeto, finalidade, natureza e duração do tratamento, com instruções documentadas e específicas; proibição de uso para finalidade própria, salvo autorização expressa com base legal; medidas de segurança (Art. 46), incluindo criptografia, gestão de acessos, autenticação multifator e gestão de vulnerabilidades; subcontratação condicionada a autorização e ao repasse das obrigações; apoio ao controlador na resposta a titulares e em incidentes, com prazo curto de notificação ao hospital, compatível com o Art. 48; auditoria e acesso a registros; devolução e eliminação ao término; alocação de responsabilidades e indenização; regras de transferência internacional, se houver.
Governança do hospital: manter registro das operações (Art. 37); elaborar relatório de impacto para dados sensíveis em larga escala (Art. 38); treinar equipe; testar plano de resposta a incidentes; definir quem comunica a ANPD e os titulares; e exigir do fornecedor evidências de segurança e RIPD. O contrato deve ser renegociado antes da retomada do fluxo, e o tratamento em curso, suspenso até a regularização.