Marketing de Vigilância: Qual é o valor das informações contidas no prontuário médico?

Palestra proferida no XII SEMINÁRIO SOBRE RESPONSABILIDADE MÉDICA — CREMEB.

Falar sobre comunicação é, na essência, falar sobre poder. O poder, no pensamento de Hannah Arendt, nunca é propriedade de um indivíduo; pertence a um grupo e como tal somente pode ser exercido se houver comunicação. É inimaginável, por exemplo, o exercício do poder bélico de um exercito sem comunicação entre os comandantes e entre estes e suas tropas.

Foi exatamente para melhorar a comunicação das forças armadas que se inventou a internet. Os EUA buscavam criar uma rede de computadores capazes de resistir a uma “iminente” guerra termo nuclear. Para tanto foram desenvolvidos protocolos que possibilitam que cada máquina seja capaz de se comunicar com outras, sem a interferência de um ponto central de comando e controle.

Conhecer a infraestrutura e a arquitetura da rede (P2P — Ponto a Ponto) é fundamental para quem deseja encontrar soluções jurídicas para os problemas criados ou desenvolvidos nesse ambiente. Um juiz que conheça o que é e como funcionar a internet sabe, por exemplo, que o bloqueio de serviços como o Whatsapp e o Youtube são medidas de difícil implementação e pouco efetivas. A Internet interpreta a censura como um defeito e roteia para contorná-la (JOHN GILMORE).

Mas a característica da grande rede relevante para o nosso debate é que: a internet é uma via de mão dupla, onde todos consomem e produzem informações de forma simultânea.

Ao visitar um site deixamos informações como o nosso endereço IP — seu ponto de entrada específico para a internet, que pode ser usado para estimar aproximadamente sua localização — o sistema operacional que utilizamos, o tamanho da tela, como movemos os nossos mouses, qual dispositivo utilizamos (Celular, Desktop, Notebook, Tablet), qual o percentual de bateria, as redes sociais que estamos conectados, quantos núcleos possuem nosso processador etc. A quantidade de informações (dados e metadados) é tão grande que é possível criar uma impressão digital que nos distingue dos demais usuários da rede.

Com um simples clique cedemos mais informações do que costumamos a imaginar. As empresas sabem disso. A internet possibilitou não apenas a abertura de um novo canal de venda, viabilizou a realização de um sonho antigo: identificar e responder às mudanças de necessidades e desejos dos consumidores no mercado. Para tanto é necessário conhecer o consumidor e os seus hábitos.

É verdade que o marketing de vigilância não nasceu com a internet. As empresas já tentavam antever as necessidades dos consumidores com base em pesquisas de opinião, histórico de consumo e pequenas base de dados, todavia ninguém duvida do poder disruptivo que a internet e os avanços tecnológicos trouxeram a este segmento. Com o volume de informações disponível e a alta capacidade de processamento computacional atual, nem mesmo o céu é o limite.

O jornal The New York Times publicou em fevereiro de 2012 uma celebre matéria intitulada “Como as empresas aprender os seus segredos”. Nela o jornalista Charles Duhigg entrevista o estatístico e economista Andrew Pole, que trabalhava na varejista Target fazendo análise de dados dos consumidores.

Pole revelou ao NYT que recebeu uma curiosa demanda do setor de marketing: era preciso identificar as consumidoras grávidas no início da gestação. Novos pais são considerados o Santo Graal de um varejista, as mudanças trazidas com o nascimento de uma criança fazem os pais sejam mais suscetíveis a mudarem os hábitos de consumo, e o setor de marketing precisava de tempo para convencê-los que poderiam comprar tudo o que precisavam em um mesmo lugar.

Pole conseguiu não apenas identificar as consumidoras grávidas; conseguiu identificar a gravidez antes mesmo que os parentes mais próximos soubessem.

Um pai notou que a Target estava enviando muitas propagandas de produtos de bebês para a sua filha e decidiu reclamar, acreditava que empresa estava tentando incentivar a gestação. O gerente pediu desculpas e ligou dias depois para se desculpar novamente. No telefone, porém, o pai afirmou tinha tido uma conversa com a filha e descobriu que ela estava grávida.

De acordo com a matéria, a varejista se valeu apenas de dados de consumo em sua rede para identificar os padrões de consumo e construir seu modelo matemático. Descobriu-se, por exemplo, que mulheres nas primeiras 20 semanas de gestação consumiam mais suplementos de cálcio, magnésio e zinco.

E se fosse possível acessar os registros médicos? O que os matemáticos e estatísticos da Target poderiam predizer ? Qual é o valor das informações contidas nos prontuário médico?

Laboratórios, farmácias, planos de saúde e as gigantes de tecnologia trabalham incessantemente para capturar, registrar e analisar dados relativos a nossa saúde. São centenas de dispositivos e aplicativos que prometem nós auxiliar a ter uma vida melhor, mais saudável ou até mesmo economizar na compra de um medicamento. Vale tudo para conhecer a nossa saúde. Vale tudo para vender mais, lucrar mais e reduzir riscos.

Pequenos fragmentos de informações dispersas (dados e metadados), quando reunidos de forma sistemática, podem relevar a terceiros mais sobre nossas vidas do que nós mesmos temos consciência. Qual médico nunca foi surpreendido por comentário “inocente” do representante que diz “você tem prescrito pouco nossos medicamentos”, quando sequer o sistema do seu consultório seria capaz de gerar essa informação.

Mas para além do valor comercial, existe, também, e ninguém duvida disso, o valor clínico e terapêutico das informações contidas em um prontuário eletrônico. Não é possível se chegar a um diagnóstico e ao tratamento correto sem informações sobre a saúde do paciente.

Vejamos abaixo um quadro clínico hipotético:

AAS, 83 anos, masculino. Portador de diabetes, internado há 30 dias por AVC isquêmico. Evoluiu com quadro compatível com sepse, ainda sem foco definido. Foram colhidas culturas e iniciados antibioticos. Após 72 horas, persistiu com piora clínica. A equipe médica buscou o resultado das culturas para nortear o uso dos antibióticos. Devido a perda de informações do servidor do laboratório de microbiologia — vítima de um sequestro de dados, esses resultados não estavam disponíveis. A equipe, então, optou por ampliar a cobertura utilizando antibióticos de amplo espectro. O paciente evoluiu com melhora infecciosa, mas com insuficiência renal, necessitando de diálise.

Se os resultados das culturas estivessem disponíveis, seria possível o uso de outro antibiótico com menos chance de lesão renal?

Se há valor, há riscos. Hospitais e clínicas médicas, ao redor de mundo, têm sido alvos preferenciais do um ataque conhecido como Ransomware, sequestro de dados. Caso não seja possível restaurar o acesso aos dados, por exemplo, através de um backup, não restará outra alternativa a não ser pagar o resgate, o que além do prejuízo financeiro nem sempre resulta na recuperação das informações.

O risco é real. Em meados de 2016, o Hospital do Câncer de Barretos suspendeu cerca de três mil consultas e procedimentos depois que invasores bloquearam o acesso ao sistema de prontuário eletrônico e pediram resgate em BitCoins (moeda eletrônica). Foram afetadas todas as unidades da instituição, inclusive a situada em Juazeiro da Bahia.

Há uma inegável correlação na frequência em que os termos Ransomware e da expressão inglesa “how to buy bitcoins” são buscados no Google, o que nos permitir inferir que os criminosos tem sido bem sucedidos.

Os registros médicos também devem ser valorados em razão dos danos que um vazamento podem causar ao paciente. Não é difícil imaginar situações em que a divulgação de diagnóstico médico tragam transtornos as suas vidas. Lamentavelmente, para ficar apenas com um exemplo, a empregabilidade de um portador de HIV não é a mesma quando esse fato é público.

É certo que a importância que a sociedade dá à privacidade hoje não é mais a de outrora. Em 1550, na França, se tornou celebre a frase: “contar famílias e gado é escravizar o povo”. Hoje a frase celebre é “quer por o CPF na nota?”, tendo como resposta, na maioria absoluta, das vezes: “Sim, por gentileza”.

Ainda há uma perceptível resistência da sociedade em ceder seus dados de saúde. O serviço Google Health, lançado em 2008, pretendia ser um local único para as pessoas guardarem e gerenciarem suas informações médicas e acabou encerrando suas atividades em 2012 devido à falta de procura. A indústria do marketing de vigilância, entretanto, segue sedenta por dados de saúde.

As pessoas ainda prezam pelo sigilo de seus registros médicos e certamente buscarão responsabilizar aqueles que falharem na tarefa de preservá-lo. Os médicos nunca tiveram dificuldade em fazê-lo.

O dever de sigilo médico é tão antigo quanto a própria profissão, encontra-se previsto no juramento de Hipócrates, no trecho que diz:

“Penetrando no interior das Famílias, meus olhos serão cegos e minha língua calará os segredos que me forem confiados”.

É, nas palavras da Comissão de Divulgação de Assuntos Médicos de Florianópolis , “o princípio ético mais rígido e ao mesmo tempo o mais observado e respeitado pelos médicos.”

Há novos desafios trazidos pela desassociação do meio e da mensagem. O prontuário médico já não está mais exclusivamente materializado em algum meio tangível, o papel. A adoção do prontuário eletrônico é uma realidade na maioria das clínicas e hospitais, trazendo consigo a responsabilidade de preservar o sigilo das informações médicas no meio eletrônico.

Mas não é apenas o prontuário eletrônico que deve ser protegido. Toda e qualquer ferramenta de comunicação, seja com o paciente e entre os médicos, pode ser alvo dos bisbilhoteiros.

Muitas empresas abandonaram suas plataformas próprias e passaram a produzir conteúdo quase que exclusivamente para as redes sociais. Inebriados pelo canto doce da “sereia azul”, os gestores de marketing passaram a investir na aquisição de seguidores. Acreditavam que, uma vez consolidada a base de curtidores, bastava uma publicação na sua página azul para alcançar milhares de pessoas sem pagar 1 real por isso.

Ledo engano. Assim que o hábito de produzir e consumir conteúdo exclusivamente nas redes sociais se enraizou, o poder foi transferido e a fatura foi emitida. O alcance orgânico (sem pagar) foi drasticamente reduzido e a quantidade de dados coletados, armazenados e analisados cresceu a ponto de se chamar de Big Data.

Precisamos ficar atentos. Até mesmo a produção de material informativo, conhecida como “marketing de conteúdo”, quando disponibilizado nas redes sociais contribui para traçar o perfil do internauta. Um dos indicadores utilizados pelo Facebook para monitorar os interesses dos usuários, além do like, comentário e compartilhamento é quanto tempo eles levam parados em uma publicação específica das suas timelines. Se um internauta passa muito tempo consumindo conteúdos sobre DSTs, por exemplo, esse interesse passa a integrar o seu perfil.

A privacidade dos internautas é um dos pilares do Marco Civil da Internet. Ao lado da liberdade de expressão e da neutralidade da rede, formam os três aspectos mais relevantes da lei. Trataremos aqui somente sobre o primeiro.

Conceituar e definir o que é privacidade não é uma tarefa fácil. Daniel Solove, professor de Harvard e autor do clássico “Entendendo a Privacidade” compara a dificuldade de se definir o que é privacidade a angústia que o protagonista da crônica “Everything and nothing”, do poeta argentino Jorge Luiz Borges, tem em definir a si mesmo.

Jorge Luiz Borges por Arratia Beer

Escritor e ator, ele deu vida a tantos papeis e personalidades que perdeu a sua própria. Ao morrer se colocou diante de Deus e disse:

Eu, que tantos homens tenho sido em vão, queria ser um só, eu. A voz de Deus, trovejante, lhe respondeu: Nem mesmo eu sou eu; sonhei o mundo como tu sonhaste tua obra meu Shakespeare, e entre as formas do meu sonho estavas tu que como eu era muitos e ninguém.

Fica o alerta, portanto, de que ainda não há uma definição do que seja Direito a Privacidade livre de críticas ou falhas. Adotaremos aqui, sem a pretensão de esgotar o tema, a definição do professor Túlio Viana:

O direito à privacidade deve ser concebido como uma tríade: direito de não ser monitorado, direito de não ser registrado e direito de não ter registros pessoais publicados.

Trata-se de um direito personalíssimo e disponível. O internauta pode permitir que seus dados sejam monitorados, registrados e publicados, o que não implicar em dizer que com o consentimento do titular do direito tudo é possível. Há limites.

O Marco Civil, por exemplo, veda que os provedores de conexão monitorem o tráfego dos seus usuários. Ainda que houvesse autorização expressa no contrato, a conduta seria ilegal.

Analisando o artigo 14 do Marco Civil da Internet, o professor Augusto Marcacini, é categórico:

“Pelo provedor de conexão, ao qual o usuário está diretamente conectado, trafegam todos os pacotes de dados que este recebe e transmite. Como visto ao apresentar o princípio da neutralidade, é tecnicamente possível examinar o conteúdo desses pacotes em cada nó da rede, o que, claro, inclui o provedor que presta serviço de conexão.

Sendo assim, esse provedor tem meios técnicos de, conhecendo essas informações, criar bases de dados que cadastrem quais sítios foram visitados, quais informações foram solicitadas, quando o foram, por quanto tempo.

Ora, um cadastro como esse se constitui em uma insuportável invasão de privacidade dos usuários, sujeitando-os a uma vigilância constante e centralizada por parte dos provedores acerca de cada atividade efetuada online, o que motivou o legislador a simplesmente proibir a criação de registros tais. Essa é mais uma disposição importante, que limita as atividades de quem provê acesso à Internet, com o fim de assegurar a liberdade e a privacidade dos usuários.” Marcacini, Augusto Tavares Rosa. Aspectos Fundamentais do Marco Civil da Internet: Lei nº 12.965/2014. São Paulo: Edição do autor, 2016.

Há ainda a exigência de que os provedores de aplicação, ao coletarem dados, tenham prévia e expressa autorização do usuário e que forneçam informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, que somente poderão ser utilizados para finalidades que:

• justifiquem sua coleta;
• não sejam vedadas pela legislação; e
• estejam especificadas nos contratos de prestação de serviços ou em termos de uso de aplicações de internet.

Subverter a finalidade pela qual a coleta dos dados foi autorizada constituiria grave violação ao direito a privacidade do internauta. Seria inadmissível, por exemplo, que dados coletados com a finalidade terapêutica sejam utilizados para fins publicitários.

É preciso ainda garantir ao usuário o direito a exclusão definitiva dos dados pessoais que tiver fornecido ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstos na lei.

O descumprimento desses direitos pode acarretar na aplicação de multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no seu último exercício, suspensão ou proibição do exercício das atividades que envolvam a coleta, armazenamento e tratamento de dados.

Ao promover eventos desta natureza, o Conselho Regional de Medicina do Estado da Bahia qualifica o debate acerca de temas tão atuais e caros a classe e a sociedade, permitindo que estejamos atentos aos novos desafios que a tecnologia impõe.