“Aquilo que não seja preciso divulgar, eu conservarei inteiramente secreto”
O setor da saúde tem sido diretamente afetado pelos processos de digitalização ocorridos ao longo das últimas décadas. Dentre as novidades introduzidas recentemente no setor, tem chamado a atenção os sistemas de prescrição eletrônica, especialmente após a pandemia de Covid-19 e a consequente necessidade de se investir em uma prestação de serviços que dispensasse, ou diminuísse, o contato físico entre as pessoas. De forma sucinta, a prescrição eletrônica (e-prescription) diz respeito ao uso de dispositivos de computação para criar, modificar, revisar ou transmitir receitas médicas. O objetivo da tecnologia é permitir que todos os atores envolvidos no ecossistema de cuidado (médicos, pacientes, enfermeiros, hospitais e farmácias) possam se beneficiar da superação do uso do papel, a partir de sistemas mais precisos, acessíveis e livres de erros.
No Brasil, a Lei nº 13.989/20, que dispôs sobre o uso da telemedicina durante a crise do coronavírus, possibilitou a utilização de receitas médicas em formato digital, que foram regulamentadas e disciplinadas pela Resolução nº 2.299/21 do Conselho Federal de Medicina[3]. O documento estabelece os requisitos mínimos para validade da receita (identificação do médico e do paciente, data e hora e assinatura digital do médico) e possibilita o uso de plataforma específica do CFM ou, ainda, de outras plataformas, desde que observadas as regras do órgão quanto ao manuseio das informações, como a privacidade e a confidencialidade.
Além disso, o artigo 4º da Resolução determina que a emissão desses documentos deve ser feita mediante assinatura digital, com um certificado válido emitido pela Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil).
No país, funcionam hoje, além do portal desenvolvido pelo CFM, as plataformas Memed e Doutor Prescreve, bem como o site Receita Digital que, de modo geral, funcionam da mesma forma: o médico acessa o portal de preferência, emite a prescrição assinada seguindo os padrões do ICP-Brasil e, ao final, é gerado um link ou um QR Code, que deve ser enviado ao paciente por e-mail, SMS ou aplicativo de mensagens; o paciente pode encaminhá-la ou mostrá-la ao farmacêutico que, por sua vez, deve validá-la no site do Instituto Nacional de Tecnologia da Informação (ITI) e fazer a dispensação. Em alguns casos, é possível, ainda, comprar o medicamento diretamente pela plataforma, que age como intermediadora entre o paciente e as farmácias.
Apesar do uso das receitas eletrônicas não ser obrigatório no país, um levantamento feito pela Memed constatou que, apenas em 2020, foram emitidas mais de 13 milhões de receitas digitais na plataforma, sendo 4 milhões apenas na cidade de São Paulo[4]. O rápido crescimento desses números, bem como a grande quantidade de informações sensíveis envolvidas nesses processos, traz preocupações, especialmente quanto à privacidade e à proteção dos dados dos pacientes. A Seção II da Lei Geral de Proteção de Dados é reservada especificamente para o tratamento de dados pessoais sensíveis, que incluem dados de saúde, o que demonstra a necessidade de se observar tais questões com maior atenção.
Dentre diversos outros, um tópico merecedor de atenção no caso das receitas médicas eletrônicas diz respeito ao acesso a elas. Em observação ao princípio da segurança, previsto no artigo 6º, inciso VII, da LGPD e compreendido como basilar de qualquer atividade de tratamento de dados, há que se pensar em medidas contra acessos não autorizados e situações de perda ou alteração dos dados. De início, o requisito de que o médico utilize assinatura eletrônica qualificada[5], como previsto no artigo 4º da Resolução 2.299 do CFM, já demonstra o reconhecimento acerca da necessidade de se impor o mais elevado nível de segurança (confiabilidade) a esse tipo de relação. Vale lembrar que a assinatura qualificada é aquela que deve ser certificada pela ICP-Brasil, infraestrutura de chaves públicas instituída pela MP nº 2002-2/2001 para garantir a autenticidade, a integridade e a validade jurídica de documentos em forma eletrônica no país. Não menos importante foi o desenvolvimento do site “Validador de Documentos Digitais em Saúde”, disponibilizado pelo ITI, vinculado à Casa Civil da Presidência da República, para garantir aos atores de saúde a possibilidade de verificação desses documentos eletrônicos.
No entanto, acessos não autorizados podem ocorrer também no ponto da recepção da receita médica, isto é, no ponto em que supostamente o paciente estaria. A possibilidade de se enviar a prescrição por e-mail ou WhatsApp, sem nenhum meio de autenticação adicional, parece constituir uma fragilidade desses sistemas, principalmente em um cenário onde dispositivos e contas são constantemente invadidos e dados constantemente expostos. Da mesma forma, pode-se pensar na segurança do ponto do farmacêutico: hoje, ainda não é obrigatório que esse profissional possua certificação digital e, em alguns casos[6], também não é obrigatório o registro da dispensação dos medicamentos.
Conquanto não haja solução prevista em lei ou regulamento para os problemas apontados acima, devido sobretudo à incipiência do tema no contexto brasileiro, não é possível ignorar que, eventualmente, tais questões deverão ser debatidas. A fim de lançar luz sobre a temática e, quiçá, aventar caminhos para a sua regulamentação no Brasil, buscamos referências no direito comparado que nos permitam melhor compreender a estreita relação entre prescrições eletrônicas e proteção de dados pessoais.
O E-Rezept na Alemanha
A Alemanha, de forma tardia em relação a outros países europeus, em 2019 aprovou a Digitale-Versorgung-Gesetz (DVG), lei que buscou concretizar os projetos de modernização do setor de saúde no país a partir de estímulos à inovação. Mas foi a Patientendaten-Schutz-Gesetz (PDSG), de 2020, que estabeleceu a base legal para a introdução de prescrições médicas eletrônicas no país; a partir de então, em setembro de 2022 iniciou-se a primeira etapa de sua implementação, que será gradual. Até esse momento, o sistema vinha sendo intensivamente testado em âmbito nacional e seus critérios de qualidade amplamente discutidos[7].
A dificuldade de se disponibilizar os sistemas técnicos necessários para o funcionamento da prescrição eletrônica vem da própria complexidade do projeto no país. Isso porque, lá, a transmissão da receita se dá inteiramente pela infraestrutura telemática (TI), uma rede de informação e comunicação no setor de saúde, que conecta consultórios, hospitais, farmácias e outros prestadores de serviços. A TI é mantida pela Gematik (Nationale Agentur fur Digitale Medizin), agência nacional responsável por impor padrões obrigatórios para componentes e serviços de TI, buscando garantir a segurança e a interoperabilidade. Agora, o aplicativo E-Rezept[8] passa a fazer parte dessa infraestrutura. Na prática, o médico deve criar a receita em seu sistema (Praxisverwaltungssystem); ao assiná-la, as informações são automaticamente armazenadas na TI e criptografadas com segurança; os pacientes, com o código de prescrição fornecido pelo médico, podem acessar a receita através do aplicativo em seu smartphone, e podem enviá-la à farmácia de preferência; o farmacêutico, então, também a partir do código informado pelo paciente, aciona a respectiva receita por seu sistema de gerenciamento de mercadorias (Warenwirtschaftssystem) e dispensa o medicamento.
Quanto à questão do acesso, o país parece ter se preocupado mais efetivamente com os três pontos envolvidos na prescrição eletrônica. De início, destaca-se que cada um dos atores envolvidos possuem um cartão de identificação. Para fazer o login, o paciente precisa se registrar ou com o seu cartão de saúde eletrônico (Elektronische Gesundheitskarte, eGK[9]) e PIN ou através do aplicativo de seu seguro de saúde pessoal. Além disso, a partir de 2023, também será possível resgatar a receita com o cartão eGK diretamente na farmácia por meio de leitores específicos. Já os médicos possuem um cartão de profissional de saúde (Heilberufsausweis) e, no momento de criação da assinatura qualificada, o sistema deve utilizar de técnicas de verificação adicional como a exigência de um PIN simples, uma impressão digital ou um token de segurança. Há, no entanto, uma alternativa, a chamada assinatura de conveniência (Komfortsignatur), que permite que até 250 assinaturas sejam utilizadas em um dia antes de o PIN ser novamente exigido. Do lado da farmácia, finalmente, os profissionais também precisam do cartão profissional de saúde para registrarem a dispensação do medicamento e, ainda, do chamado cartão da instituição (SMC-B), que estabelece a ligação com a infraestrutura telemática. Em regra, basta que seja utilizada uma assinatura simples no momento da entrega do medicamento.
Outras curiosidades importantes: as prescrições são criptografadas várias vezes durante a transmissão digital, de modo que apenas quem possui o código específico consegue acessá-la. Finalmente, em relação ao tempo de retenção dos dados, importa notar que as prescrições são excluídas automaticamente 100 dias após o regate; aquelas que não foram resgatadas serão automaticamente excluídas 10 dias após seu vencimento. Essas informações não são claramente indicadas no caso das plataformas atuantes no Brasil, inexistindo previsão quanto à duração do armazenamento dos dados.
O Electronic Prescription Service na Inglaterra
No caso da Inglaterra, o serviço de prescrição eletrônica (Electronic Prescription Service) tem sido ofertado no âmbito da NHS, o sistema nacional de saúde. Após intensos e rigorosos testes envolvendo diversos consultórios e farmácias do país, o serviço começou a ser oferecido em 2019[10], por meio da Spine, considerada uma das maiores plataformas de saúde pública do mundo[11]. Ao contrário do sistema alemão e brasileiro, no entanto, no modelo inglês a receita é enviada diretamente do consultório médico à farmácia escolhida pelo paciente. Caso a farmácia escolhida não possua o medicamento, é possível que a receita retorne ao Spine para ser utilizada por outro estabelecimento. Na ausência de indicação de uma farmácia específica, os pacientes recebem um token, em forma impressa, contendo um código de barras exclusivo, que pode ser escaneado para acesso à prescrição e dispensação do medicamento nas farmácias.
Além disso, uma novidade é o serviço de dispensação de repetição eletrônica (Electronic Repeat Dispensing service, eRD), lançado nacionalmente em 2019, que permite que o médico emita prescrições regulares de até 12 meses, que podem ser armazenadas no banco de dados no NHS. Assim, não há que se providenciar receitas repetidas, bastando que o paciente vá até a farmácia de costume para receber os medicamentos quando necessário. Na prática, o médico analisa se a situação de determinado paciente é adequada para esse sistema, revisa sua medicação e cria um regime de prescrições. Após assiná-lo digitalmente utilizando seu código de identificação pessoal, as informações são enviadas diretamente ao Spine e o sistema armazena todas as receitas sob o mesmo código de barras, porém, separadamente, com a devida identificação de periodicidade. Naquele momento, a primeira receita já fica disponível na farmácia indicada. Para retirar o medicamento, o paciente deve responder a quatro perguntas obrigatórias feitas pelo farmacêutico[12] para avaliar a dispensação do produto; após a liberação, é enviada uma notificação (dispense notification) ao Spine, permitindo a liberação das receitas seguintes[13] de acordo com suas datas.
Atenta ao Regulamento Geral para Proteção de Dados do Reino Unido (GDPR-UK), a NHS disponibiliza em sua página uma ficha que especifica as informações sobre o tratamento dos dados utilizados para fins das prescrições eletrônicas[14]. São indicados, por exemplo, a categoria dos dados utilizados, a base legal para seu tratamento, os direitos dos titulares e, principalmente, o tempo de armazenamento dos dados: 12 meses após a dispensação da prescrição ou após seu vencimento, caso não seja dispensada.
Quanto à questão do acesso à prescrição eletrônica, no caso da Inglaterra, não há que se preocupar com o ponto de vista do paciente, uma vez que este não tem acesso direto à prescrição. Sob a óptica do médico, a assinatura da receita se dá por meio de seu cartão inteligente (smart card) e de senha. Os cartões são designados por autoridades de registro (registration authorities) e emitidos pelo Care Identity Service, aplicativo unificado que fornece um único local para todas as atividades da autoridade. Funcionando como um cartão bancário, o smartcard — que pode ser físico, digital ou virtual — possui um chip e uma senha, permitindo que os profissionais acessem informações clínicas adequadas à sua função. É possível assinar as receitas individualmente ou selecionar várias para assinar em massa. Quanto ao acesso pelas farmácias, como a nomeação é feita pelo próprio paciente, não há sistemas específicos para acesso das prescrições encaminhadas ao Spine; inclusive, elas devem ser baixadas no sistema da farmácia antes de serem dispensadas e esse processo pode ser feito automaticamente, para que a farmácia já esteja preparada para a chegada do paciente.
Considerações finais (por ora) sobre o modelo brasileiro
Diante da necessidade de formas alternativas de prestação de cuidados em saúde, considerando-se a pandemia do coronavírus e a migração geral das relações sociais do meio analógico para o digital nos últimos anos, as prescrições eletrônicas tornaram-se imperativas. A rapidez no desenvolvimento desses sistemas, no entanto, deve ser acompanhada de uma adequada preocupação com a proteção dos dados pessoais, e sobretudo, dos dados sensíveis dos pacientes. Nesse caso, uma das principais formas de se salvaguardar os direitos dos titulares é garantir que o acesso a esses dados esteja disponível estritamente para pessoas diretamente envolvidas no processo de prescrição: o médico responsável, o farmacêutico e o paciente.
No caso brasileiro, pode-se observar que, até o momento, apesar da exigência de utilização de assinaturas eletrônicas qualificadas pelo médico prescritor, não há nenhuma verificação de segurança adicional nos outros pontos da rede, isto é, do farmacêutico e do paciente. A título exemplificativo, e em sentido contrário, o recente e-Rezept alemão conta com esquemas específicos de identificação desses dois atores; no caso do simplificado EPS inglês, apenas duas das partes possuem acesso à receita.
Ademais, no caso brasileiro, aspectos importantes sobre a forma e a duração do tratamento dos dados pessoais não ficam claros aos titulares nas plataformas de prescrição, como requerido pela LGPD. Diante da multiplicidade de portais que oferecem tais serviços, é imprescindível pensarmos acerca do estabelecimento de padrões técnicos em nível nacional, garantindo aos pacientes, titulares de dados pessoais, no mínimo o mesmo grau de segurança e proteção com o qual sempre contaram. Um sistema de prescrição eletrônica é tão urgente quanto essencial, mas é preciso cuidar para que sua implementação não implique quaisquer efeitos colaterais indesejados do ponto de vista da proteção dos dados dos pacientes.
Autores
Marcos Vinicius Ottoni (esquerda da foto) é coordenador geral jurídico da Confederação Nacional de Saúde (CNSaúde). Sócio fundador do Caldeira, Lobo e Ottoni Advogados.
Ricardo Campos é docente na Goethe Universität Frankfurt am Main (Alemanha), coordenador nacional de Direito Digital da OAB Federal/ESA Nacional, diretor do Instituto Legal Grounds, sócio do Opice Blum, Bruno e Vainzof Advogados e ganhador do prêmio Werner Pünder sobre regulação de serviços digitais (Alemanha, 2021) e do European Award for Legal Theory da European Academy of Legal Theory (2022).
Publicado na Revista Consultor Jurídico, 15 de novembro de 2022, 8h00
Referências
[3] Disponível em: https://sistemas.cfm.org.br/normas/visualizar/resolucoes/BR/2021/2299.
[4] Cf.: https://medicinasa.com.br/levantamento-memed/
[5] “Art. 4º Para efeitos desta Lei, as assinaturas eletrônicas são classificadas em:
(…) III – assinatura eletrônica qualificada: a que utiliza certificado digital, nos termos do § 1º do art. 10 da Medida Provisória nº 2.200-2, de 24 de agosto de 2001.”[6] De acordo com o Manual de Orientação do CFM, de 2020, o registro eletrônico da dispensação é necessário no caso de medicamentos sujeitos a controle especial. Cf.: http://www.crfsp.org.br/documentos/materiaistecnicos/ManualOrientacao-PrescricaoFarmaceutica.pdf
[7] Cf.: https://www.imtest.de/122811/news/erezept-erste-testphase-ein-grandioser-flop/
[8] Cf.: https://www.gematik.de/anwendungen/e-rezept#:~:text=Das%20E%2DRezept%20kommt.,bei%20jeder%20Apotheke%20eingel%C3%B6st%20werden.
[9] O eGK é uma identidade digital que vem sido utilizada no país não só como meio seguro de autenticação para os aplicativos de saúde, mas também para uma video consulta, por exemplo. https://www.bundesgesundheitsministerium.de/themen/krankenversicherung/egk.html
[10] Cf.: https://www.gov.uk/government/news/national-roll-out-of-electronic-prescription-service
[11] Cf.: https://business.bt.com/why-choose-bt/case-studies/nhs-spine/
[12] Esse passo serve para identificar, por exemplo, se o paciente começou a tomar algum outro medicamento que possa interferir no seu de uso contínuo; ou se há registros de efeitos colaterais, por exemplo.
[13] Cf.: https://www.nhsbsa.nhs.uk/pharmacies-gp-practices-and-appliance-contractors/prescribing-and-dispensing/electronic-repeat-dispensing-erd
[14] Cf.: https://digital.nhs.uk/about-nhs-digital/our-work/keeping-patient-data-safe/gdpr/gdpr-register/electronic-prescription-service-eps
