Dados de Wearables de Saúde: Regulamentação e Privacidade

Smartwatches, pulseiras fitness e anéis inteligentes coletam dados sensíveis de saúde a cada segundo, e a legislação brasileira impõe regras rígidas para quem trata essas informações.

O que são dados de wearables de saúde e por que exigem atenção jurídica especial

Dispositivos vestíveis de monitoramento de saúde (wearables) tornaram-se parte do cotidiano de milhões de brasileiros. Relógios inteligentes medem frequência cardíaca, níveis de oxigênio no sangue, padrões de sono, ciclos menstruais, níveis de estresse e até sinais precoces de arritmias. Pulseiras fitness registram passos, calorias queimadas e rotas de exercício com geolocalização. Anéis inteligentes monitoram temperatura corporal e variabilidade da frequência cardíaca. Todos esses dispositivos geram um fluxo contínuo de informações que, sob a perspectiva jurídica, possuem uma classificação muito específica.

A Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) classifica dados referentes à saúde como dados pessoais sensíveis, conforme seu artigo 5º, inciso II. Essa classificação não é meramente formal. Dados sensíveis recebem um regime de proteção reforçado porque seu tratamento inadequado pode gerar discriminação ou danos significativos ao titular. Quando analisamos o ecossistema dos wearables, percebemos que a cadeia de tratamento desses dados é complexa: envolve o fabricante do dispositivo, o desenvolvedor do aplicativo, servidores em nuvem (frequentemente localizados no exterior), empresas parceiras que recebem dados para fins de pesquisa ou marketing, e eventualmente seguradoras, empregadores ou operadoras de planos de saúde.

O desafio central que identificamos na prática de due diligence de dados é justamente mapear essa cadeia completa. Muitos titulares desconhecem que, ao aceitar os termos de uso de um aplicativo vinculado ao seu smartwatch, estão autorizando o compartilhamento de informações biométricas e de saúde com dezenas de terceiros. Essa realidade torna a análise jurídica desses fluxos de dados não apenas relevante, mas indispensável para qualquer organização que opere nesse segmento.

Bases legais para o tratamento de dados de saúde coletados por wearables

O tratamento de dados pessoais sensíveis no Brasil segue regras mais restritivas do que as aplicáveis a dados pessoais comuns. O artigo 11 da LGPD estabelece um rol taxativo de hipóteses que autorizam esse tratamento. Na prática dos wearables de saúde, as bases legais mais utilizadas são o consentimento do titular (artigo 11, inciso I) e a proteção da vida ou da incolumidade física (artigo 11, inciso II, alínea “e”). Contudo, verificamos que a forma como esse consentimento é obtido frequentemente apresenta falhas significativas.

Para que o consentimento seja válido nos termos da LGPD, ele precisa ser livre, informado, inequívoco e específico, conforme os artigos 7º e 8º da lei. Em muitos casos, os termos de uso dos aplicativos vinculados a wearables apresentam textos extensos e genéricos, sem destacar de forma clara quais dados de saúde serão coletados, para quais finalidades específicas e com quem serão compartilhados. Essa prática pode invalidar o consentimento obtido, expondo a empresa a sanções administrativas pela Autoridade Nacional de Proteção de Dados (ANPD) e a ações judiciais por parte dos titulares.

Outro ponto que merece destaque é a transferência internacional de dados. A grande maioria dos fabricantes de wearables são empresas sediadas no exterior, e os dados coletados no Brasil frequentemente são processados e armazenados em servidores localizados nos Estados Unidos, na Europa ou na Ásia. O artigo 33 da LGPD condiciona essa transferência a situações específicas, como a existência de nível adequado de proteção no país destinatário ou a adoção de garantias contratuais como cláusulas-padrão. A ANPD já regulamentou parcialmente esse tema, e as organizações que atuam com wearables precisam manter seus mecanismos de transferência atualizados para evitar irregularidades.

No contexto de due diligence, analisamos com especial cuidado se as empresas possuem Relatório de Impacto à Proteção de Dados Pessoais (RIPD), documento previsto no artigo 38 da LGPD. Para operações envolvendo dados sensíveis de saúde em larga escala, a elaboração desse relatório não é apenas recomendável, é uma demonstração concreta de conformidade que pode ser exigida pela ANPD a qualquer momento.

A coleta massiva de dados biométricos e de saúde por wearables exige um nível de transparência e governança que muitas empresas do setor ainda não alcançaram.

Riscos específicos no ecossistema de wearables e a due diligence de dados

Quando conduzimos processos de due diligence envolvendo empresas que operam com dados de wearables de saúde, identificamos riscos recorrentes que merecem atenção. O primeiro deles é o chamado “function creep”, ou desvio de finalidade: dados coletados originalmente para monitoramento pessoal de saúde passam a ser utilizados para fins não previstos, como precificação de seguros de vida, avaliação de produtividade de funcionários ou direcionamento de publicidade relacionada a condições de saúde. Esse desvio viola diretamente o princípio da finalidade previsto no artigo 6º, inciso I, da LGPD.

O segundo risco relevante envolve a anonimização insuficiente. Muitas empresas alegam que compartilham apenas dados “anonimizados” com parceiros, mas estudos técnicos demonstram que dados de atividade física, padrões de sono e métricas biométricas, quando combinados, podem permitir a reidentificação do titular. A LGPD, em seu artigo 12, estabelece que dados verdadeiramente anonimizados não são considerados dados pessoais, mas exige que a anonimização seja irreversível considerando os meios técnicos razoáveis disponíveis. Se a reidentificação for possível, o tratamento continua sujeito a todas as obrigações da lei.

O terceiro ponto crítico é a segurança da informação. Wearables frequentemente se conectam a smartphones via Bluetooth, sincronizam dados com servidores em nuvem e integram-se a outros aplicativos de saúde. Cada um desses pontos de conexão representa uma potencial vulnerabilidade. Incidentes de segurança envolvendo dados de saúde podem gerar danos graves aos titulares (exposição de condições médicas, discriminação, constrangimento) e obrigam o controlador a comunicar a ANPD e os titulares afetados quando houver risco relevante, conforme o artigo 48 da LGPD.

No processo de due diligence, verificamos a existência de políticas de segurança da informação, a realização de testes de vulnerabilidade, a existência de plano de resposta a incidentes e o histórico de eventuais vazamentos. Avaliamos também se a empresa possui um Encarregado de Proteção de Dados (DPO) formalmente nomeado, conforme exige o artigo 41 da LGPD, e se esse profissional tem autonomia e recursos adequados para exercer suas funções.

O papel da ANPD e o cenário regulatório em evolução

A regulamentação dos dados de saúde coletados por wearables não se limita à LGPD. A ANPD tem atuado progressivamente na construção de um arcabouço regulatório mais detalhado. Os regulamentos já publicados sobre dosimetria das sanções, comunicação de incidentes e transferência internacional de dados impactam diretamente as operações com wearables. Acompanhamos também as discussões sobre regulamentação específica para inteligência artificial, dados de crianças e adolescentes (muitos wearables são utilizados por menores) e dados biométricos.

Além da ANPD, outros órgãos e normas podem incidir sobre o tratamento de dados de wearables de saúde. A Agência Nacional de Vigilância Sanitária (ANVISA) pode exercer competência regulatória quando o dispositivo vestível se qualifica como produto para saúde. O Código de Defesa do Consumidor (Lei nº 8.078/1990) aplica-se integralmente à relação entre o fabricante do wearable e o consumidor brasileiro, especialmente no que se refere ao direito à informação clara e à proteção contra práticas abusivas. O Marco Civil da Internet (Lei nº 12.965/2014) também é relevante no que toca à guarda de registros e à privacidade nas comunicações realizadas através desses dispositivos.

Na esfera trabalhista, observamos uma tendência crescente de empregadores que fornecem wearables aos funcionários como parte de programas de bem-estar corporativo. Essa prática levanta questões complexas sobre o consentimento (que pode não ser verdadeiramente livre na relação de emprego), sobre os limites do monitoramento e sobre a utilização dos dados coletados para decisões que afetem o trabalhador. A análise de conformidade nesses casos exige uma abordagem multidisciplinar que considere tanto a LGPD quanto a legislação trabalhista.

O cenário internacional também influencia a atuação das empresas no Brasil. O Regulamento Geral de Proteção de Dados europeu (GDPR), a Health Insurance Portability and Accountability Act (HIPAA) nos Estados Unidos e legislações semelhantes em outros países estabelecem padrões que frequentemente servem de referência para a interpretação e aplicação da legislação brasileira. Empresas globais que comercializam wearables no Brasil precisam harmonizar o cumprimento de múltiplas jurisdições, o que torna o processo de due diligence ainda mais complexo e necessário.

Boas práticas e recomendações para conformidade

Com base na experiência acumulada em processos de due diligence de dados, consolidamos um conjunto de práticas que consideramos essenciais para organizações que atuam no ecossistema de wearables de saúde. A primeira e mais fundamental é o mapeamento completo do ciclo de vida dos dados: desde a coleta pelo sensor do dispositivo até o eventual descarte, passando por todas as etapas de armazenamento, processamento e compartilhamento. Sem esse mapeamento, é impossível avaliar adequadamente os riscos e garantir conformidade.

A segunda prática é a implementação do princípio da minimização de dados (artigo 6º, inciso III, da LGPD). Muitos wearables coletam dados além do estritamente necessário para as funcionalidades oferecidas ao usuário. Limitar a coleta ao mínimo indispensável reduz riscos de incidentes e simplifica a gestão de conformidade. Junto a isso, recomendamos a adoção de medidas de privacy by design e privacy by default, integrando a proteção de dados ao desenvolvimento do produto desde sua concepção.

A terceira recomendação é a revisão periódica das políticas de privacidade e dos termos de consentimento. Esses documentos devem ser redigidos em linguagem acessível, com informações específicas sobre os tipos de dados de saúde coletados, as finalidades de cada tratamento, os terceiros com quem os dados são compartilhados e os direitos do titular. A granularidade do consentimento é especialmente importante: o titular deve poder autorizar o monitoramento cardíaco sem ser obrigado a aceitar o compartilhamento desses dados com parceiros comerciais.

Finalmente, destacamos a importância de manter registros detalhados das operações de tratamento, conforme previsto no artigo 37 da LGPD. Esses registros são fundamentais tanto para demonstrar conformidade perante a ANPD quanto para subsidiar processos de due diligence conduzidos por investidores, parceiros ou adquirentes. Uma governança de dados robusta não é apenas uma exigência legal, mas um diferencial competitivo em um mercado onde a confiança do consumidor é cada vez mais determinante.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.