Os prontuários médicos são documentos que contêm dados relativos ao paciente, como identificação, histórico familiar, anamnese, descrição e evolução de sintomas e exames, além das indicações de tratamentos e prescrições. Nos termos da Lei Geral de Proteção de Dados, o tratamento de dados pessoais, assim considerada toda operação realizada com dados pessoais, pode ser realizado para:
- A)o tratamento e uso compartilhado de dados necessários à execução de políticas, pela administração pública, independentemente de previsão legal ou respaldo em contratos, convênios ou instrumentos congêneres
Errada, porque o tratamento e compartilhamento pela administração pública dependem de base legal e, em geral, de previsão legal ou instrumentos adequados, não podendo ocorrer de forma independente disso.
- B)a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, quando necessário, a pedido de qualquer das partes
Errada, porque a LGPD exige que o tratamento seja necessário para contrato ou procedimentos preliminares e, no texto legal, o pedido é do titular, não de qualquer das partes.
- C)a realização de estudos por qualquer órgão governamental, garantida, sempre que possível, a anonimização dos dados pessoais
Errada, porque a lei fala em realização de estudos por órgão de pesquisa, e não por qualquer órgão governamental, embora preveja a anonimização sempre que possível.
- D)o cumprimento de obrigação legal ou regulatória pelo controlador
Certa, porque o art. 7, II, da LGPD autoriza o tratamento para o cumprimento de obrigação legal ou regulatória pelo controlador.
Gabarito: D
A LGPD trabalha com uma lógica simples: dados pessoais não podem ser tratados "porque sim". Em regra, o tratamento precisa encaixar em uma das bases legais do art. 7 da Lei 13.709/2018. Para dados de saúde, que são sensíveis, a atenção deve ser ainda maior, mas a questão cobra uma base legal geral do tratamento. O gabarito é a letra D porque o art. 7, II, autoriza o tratamento de dados pessoais para o cumprimento de obrigação legal ou regulatória pelo controlador. Ou seja: se a lei ou um regulamento obriga o controlador a tratar aqueles dados, o tratamento é permitido. É a clássica hipótese do "não é opcional, é dever". As outras alternativas misturam ou distorcem a redação da lei. A LGPD é bem literal nesses pontos, então uma palavrinha trocada já derruba a opção. A banca UERJ gosta exatamente desse tipo de pegadinha: pegar um trecho quase correto e inserir um detalhe que muda tudo. Então, pense assim: se a lei manda, pode tratar; se o contrato exige, também pode, mas dentro da forma correta; se for estudo, há regras próprias e, em geral, com anonimização sempre que possível. Aqui, porém, quem encaixa certinho no texto legal é a obrigação legal ou regulatória do controlador.