14. Relatório de Impacto à Proteção de Dados: Obrigatório para o Tratamento de Dados Sensíveis? - Lgpd na Saúde - Ed. 2021
14. Relatório de Impacto à Proteção de Dados: Obrigatório para o Tratamento de Dados Sensíveis?
Desde que foi aprovada e sancionada a Lei Geral de Proteçâo de Dados Pessoais brasileira ( LGPD), Lei nº 13.709/18, em 14 de agosto de 2018, muito tem sido debatido sobre diversos temas que compõem o texto da lei, desde questões envolvendo as sanções que terminaram sendo adiadas para agosto de 2021 1 , questões sobre a Autoridade Nacional de Proteção de Dados (ANPD) 2 , até algumas questões específicas associadas aos instrumentos jurídicos previstos na lei, como o do Relatório de Impacto à Proteção de Dados (RIPD) 3 .
O relatório de impacto possui sua definição legal no art. 5º, XVII, da LGPD 4 , com a seguinte indicação: "documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco".
No entanto, em que pese a definição do art. 5º, assim como a previsão da elaboração do relatório de impacto no art. 38 e em outros artigos da LGPD, ainda não está claro, na atual composição da lei, em quais casos e em quais operações de tratamento de dados será obrigatória a sua elaboração. Esse debate sobre a obrigatoriedade ou não já foi explorado em um artigo da mesma autora 5 ; por essa razão, neste capítulo, o enfoque será sobre a discussão que abrange o relatório de impacto e a sua potencial obrigatoriedade para casos que envolvem operações de tratamento de dados sensíveis e, consequentemente, dados de saúde e dados genéticos, considerando a temática da presente obra.
Isso porque, como será abordado, em outras regulações de proteção de dados em diferentes países, a elaboração do relatório de impacto para operações que envolvem dados sensíveis é considerada obrigatória, uma vez que, na concepção de diferentes autoridades de proteção de dados, tais casos se configuram como operações de alto risco. No cenário brasileiro, entre as competências da ANPD previstas no art. 55-J, está a elaboração de diretrizes sobre o relatório de impacto à proteção de dados pessoais, bem como sobre os casos que podem envolver operações de alto risco. Em outras palavras, caberá a ANPD a tarefa de esclarecer tanto a obrigatoriedade ou não do relatório de impacto em um aspecto amplo quanto em quais situações haverá a obrigatoriedade da sua elaboração devido à operação de tratamento ser considerada de alto risco.
Nesse sentido, o presente capítulo pretende abordar o tema do relatório de impacto associado às operações que contemplem o tratamento de dados de saúde e dados genéticos, a fim de buscar responder à seguinte pergunta: os relatórios de impacto previstos na LGPD devem ser considerados obrigatórios para casos que envolvem operações de tratamento de dados sensíveis pela ANPD? Em caso afirmativo, essa obrigatoriedade é decorrente do potencial alto risco aos direitos dos titulares envolvidos nessas operações?
1.Relatório de impacto à proteção de dados em operações de tratamento de dados sensíveis
A LGPD, em seu art. 5º, inciso II, traz a indicação de quais dados pessoais são considerados nos termos da lei como dado pessoal sensível, no caso: "dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural".
20 de Maio de 2022Disponível em: https://thomsonreuters.jusbrasil.com.br/doutrina/secao/1250396559/14-relatorio-de-impacto-a-protecao-de-dados-obrigatorio-para-o-tratamento-de-dados-sensiveis-lgpd-na-saude-ed-2021