Programa de fidelidade de farmácia: dados de saúde por inferência e marketing
A rede de farmácias Vitalis opera 320 lojas e o aplicativo Fidelidade Saúde, com 1,2 milhão de titulares. O programa registra compras, valores e loja; não pergunta diagnósticos, mas o histórico revela uso contínuo de antidepressivos, antirretrovirais e insulinas. O termo de adesão atual tem uma cláusula única: ao aceitar, o titular concorda com o uso dos dados para personalização de ofertas, melhoria dos serviços e compartilhamento com parceiros de mídia. O time de marketing quer criar a audiência 'pacientes crônicos' e contratar disparos de SMS e push, além de vender essa audiência a um data broker. O jurídico sustenta que a base é o legítimo interesse, com opt-out no rodapé. O DPO foi acionado às vésperas da campanha, que tem lançamento em 10 dias e meta de 3 milhões de envios. A diretoria quer manter a campanha e apenas atualizar a política de privacidade. Há 18 meses não há revisão do inventário de dados nem registro das operações. Considere a LGPD e a natureza dos dados de saúde.
1. A compra de medicamentos de uso contínuo pode ser tratada como dado pessoal sensível? O legítimo interesse autoriza a criação da audiência 'pacientes crônicos'? Fundamente a decisão que o DPO deve registrar.
Read the worked answer
Não. O histórico de compras de medicamentos de uso contínuo permite inferir condição de saúde, logo é dado pessoal sensível por inferência (art. 5º, II, da LGPD), ainda que a farmácia não pergunte diagnóstico. O legítimo interesse (art. 7º, IX) não está entre as hipóteses do art. 11 para dados sensíveis. Para marketing de audiência baseada em doença, a via viável seria consentimento específico e destacado (art. 11, I), para finalidades determinadas, ou outra hipótese do art. 11 - o que não ocorre aqui: não é tutela da saúde por profissional de saúde, nem obrigação legal. O opt-out no rodapé não valida tratamento de dado sensível. O DPO deve registrar a decisão: suspender a audiência 'pacientes crônicos', não vender ao data broker e revisar o inventário. Se a campanha for só de produtos não relacionados à saúde, refaça o teste de legítimo interesse sem inferir doença.
2. Como obter consentimento válido para o programa e o que fazer com os 1,2 milhão de titulares já cadastrados? A simples atualização da política de privacidade resolve?
Read the worked answer
A simples atualização da política não resolve. Consentimento válido exige manifestação livre, informada, inequívoca e específica para cada finalidade (art. 8º), com destaque para dados sensíveis (art. 11, I). O termo atual é genérico e agrupa personalização, melhoria e compartilhamento com parceiros; isso não atende ao padrão. Para os 1,2 milhão já cadastrados, não se pode presumir consentimento pela continuidade de uso nem por silêncio. A farmácia deve fazer campanha de reconsentimento segmentada, com caixas separadas: (i) uso de histórico de saúde para ofertas personalizadas; (ii) compartilhamento com terceiros; (iii) comunicações de marketing. Quem não consentir deve ser excluído da audiência sensível, sem perda do programa. Registre a recusa e ofereça revogação fácil. Para finalidades não sensíveis, pode-se usar legítimo interesse com avaliação documentada e opt-out, mas não para inferir doenças.
3. Se a farmácia quiser usar o histórico para ofertas de produtos de higiene e vitaminas, sem inferir condições de saúde, quais salvaguardas e testes ela deve implementar?
Read the worked answer
Deve separar o que é inferência de saúde do que é compra comum. Excluir categorias de medicamentos e produtos que revelem condições; usar apenas faixas agregadas de frequência e valor; não criar nomes de audiência ligados a doença. Para legítimo interesse, documentar teste de balanceamento (art. 10): necessidade, expectativa do titular, transparência, opt-out, minimização e prazo. Realizar avaliação de impacto simplificada, testar reidentificação e revisar contratos de mídia. Venda de audiência a data broker continua exigindo consentimento específico e transparência sobre o terceiro. Se o teste falhar, usar consentimento ou não usar o dado.