Desde o início de 2021, já na vigência da LGPD portanto, grandes redes de farmácias passaram a exigir do consumidor cadastro biométrico para, segundo justificativa apresentada por muitas delas, “confirmar que o consumidor autoriza o tratamento de dados pessoais para obter descontos em medicamentos”. Segundo tais redes, a prática estaria totalmente respaldada pela LGPD. O que se percebe, contudo, é que as justificativas acabam sendo genéricas e potencialmente encobrem os resultados danosos da prática.
Assim, exigir o número de CPF em si, não é um grande problema, o que está por trás da solicitação, pode ser. Infelizmente, como prática padrão, os consumidores não são informados sobre o destino e utilização dos dados que estão sendo coletados para garantir o desconto. Isso, como se sabe, por si só, já violaria o CDC e a LGPD. Toda a questão passa, portanto, pelo chamado “consentimento”, exigido pela legislação (art. 11 da LGPD, por exemplo). Se o consumidor não é informado sobre qual é a real finalidade da coleta dos dados e sobre eventual compartilhamento com terceiros (como laboratórios e planos de saúde), como poderia estar consentindo? Além disso, como poderia exercer os direitos de confirmação da existência de tratamento dos dados, acesso e correção deles e bloqueio ou eliminação dos dados desnecessários ou excessivos (art. 18, da LGPD)?
Assim, por exemplo, pode ser que o CPF isoladamente analisado não passe de dado que não conduz a nenhuma informação. Entretanto, quando confrontado com outros dados (compartilhamento) e outras fontes (cruzamento) pode conduzir a programas de controle seletivos e discriminatórios. É preciso recordar: a informação contida em dados pessoais não possui apenas grande valor econômico, é também ela extensão da personalidade, o que, por si só, garante-lhe proteção especial.
A LGPD também exige que a finalidade do tratamento de dados seja esclarecida ao cliente. Não basta afirmar que é para “dar o desconto”, é preciso explicar o que será efetivamente feito com os dados coletados, qual é a segurança e o sigilo a eles garantidos, com quem serão compartilhados ou quem realizará o cruzamento de informações. E, além disso, é necessário identificar a necessidade e a razoabilidade na coleta de dados para fins de obtenção de desconto em medicamentos, especialmente quando condicionadas ao fornecimento de tantos dados. Não haveria, aqui, o excesso mencionado pela legislação a motivar o controle da coleta?
Mas quão incontornável é, de fato, a situação? Parece se tratar muito mais da necessidade de (re) avaliação e (re) implementação de um completo e rígido programa de compliance e sua efetivação por meio do treinamento de equipe.
Embora tenham se tornado muito populares no mercado, o que se percebe é que muitas vezes estes programas se limitam a produzir um texto padrão de consentimento (que, infelizmente, normalmente é marcado pela generalidade e vagueza), muito vinculado à ideia de combate à atividade de corrupção. É a clássica situação em que se erra por acreditar estar acertando.
O termo compliance significa “cumprimento de normas”. Assim, a implementação de um programa pensado ao tipo de atividade desenvolvida pelas farmácias e implementado in loco (e não genericamente na matriz) faz todo o sentido e diferença. No caso, ainda, das grandes redes a implementação de fiscalização – por meio de clientes ocultos ou criação de canais de ouvidoria – também são importante instrumentos de avaliação e redução dos riscos da atividade.
Por enquanto não se tem uma base de precedentes da Agência Nacional de Proteção de Dados quanto ao tamanho e volume que as multas alcançarão. O que sabe, no entanto, que o consumidor está cada vez mais atento aos seus direitos e o amplo e disseminados acesso aos mecanismos de controle (criados pela LGPD) devem incentivar, desde já, o empresário a não perder tempo ou comprometer a imagem de seu negócio.