1. Introdução
A proteção das informações é essencial para que a Exame cumpra sua missão de prestar assistência à saúde com responsabilidade, comprometimento e respeito ao bem-estar de seus pacientes. Nosso objetivo é estabelecer e manter um relacionamento ético e transparente com pacientes, acompanhantes, colaboradores, parceiros de negócios e prestadores de serviços.
Os dados pessoais são ativos valiosos e, por isso, devem ser tratados com controle e segurança adequados. Em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD – Lei 13.709/2018), revisamos e atualizamos continuamente nossa política de privacidade para garantir a proteção dessas informações.
A Segurança da Informação é fundamental para proteger a empresa contra ameaças, garantir a continuidade dos negócios e preservar os direitos fundamentais dos titulares dos dados. Nosso programa de Governança de Dados e a política de segurança reforçam nosso compromisso com a conformidade e a proteção das informações, demonstrando aos colaboradores e à sociedade a importância que damos à privacidade.
Revisamos constantemente nossos processos de tratamento de dados para garantir que a privacidade seja um princípio central (Privacy by Design). Riscos identificados são analisados e mitigados por meio de planos de ação. Monitoramos continuamente aspectos relacionados à proteção e ao uso dos dados pessoais, gerando relatórios e painéis indicativos para garantir a governança eficiente e a melhoria contínua da conformidade com a LGPD.
A Exame reconhece a informação corporativa como um ativo essencial para suas atividades e para a qualidade dos serviços prestados. Nossa diretoria e equipe de liderança promovem e incentivam a evolução contínua dessa política, garantindo que o tratamento de dados pessoais seja realizado de forma ética, segura e alinhada aos propósitos estabelecidos com cada titular de dados.
Dessa forma, estabelecemos esta Política de Proteção de Dados Pessoais como parte integrante do nosso sistema de gestão corporativo, seguindo boas práticas e normas internacionalmente reconhecidas, com o objetivo de atender às necessidades da Exame e garantir os mais altos padrões de proteção.
2. Propósito
2.1. Esta Política tem como objetivo estabelecer diretrizes e normas de segurança da informação, orientando colaboradores e parceiros de negócios da Exame na adoção de práticas seguras e adequadas para a proteção de dados pessoais, bem como de informações internas e confidenciais da organização.
2.2. Fornecer orientações sobre a implementação de controles e processos que garantam a conformidade com os requisitos de segurança da informação e as disposições da Lei 13.709/2018 (LGPD).
2.3. Assegurar a proteção das informações da Exame, garantindo sua confidencialidade, integridade e disponibilidade.
2.4. Prevenir incidentes relacionados à segurança e ao tratamento de dados, incluindo uso indevido de bases de dados, processamento de informações sem respaldo legal, vazamento de dados e eventuais responsabilizações legais da empresa, parceiros e colaboradores.
2.5. Reduzir riscos como autuações pela Autoridade Nacional de Proteção de Dados (ANPD), processos judiciais, perda de credibilidade no mercado, exposição institucional por não conformidade e outros impactos negativos decorrentes da falta de segurança e do não cumprimento da legislação vigente.
3. Escopo
Esta política se aplica a todos os usuários que tratam informações da Exame, incluindo indivíduos e organizações que, atualmente ou no passado, tenham mantido vínculo com a empresa. Isso abrange funcionários, ex-funcionários, fornecedores, prestadores de serviços e parceiros de negócios que possuam ou tenham possuído acesso a dados e utilizem, ou tenham utilizado, os recursos computacionais e serviços de armazenamento de informações da empresa.
3.1 Compliance com a Lei 13.709/2018
Este documento estabelece a Política de Segurança da Informação da Exame e sua adesão à Lei Geral de Proteção de Dados (LGPD – Lei 13.709/2018).
A Política de Governança de Dados, que inclui a Política de Segurança da Informação, define regras e procedimentos para assegurar a proteção dos dados da organização, garantindo o cumprimento dos princípios fundamentais da LGPD.
É essencial que todos os colaboradores compreendam e adotem essa política, promovendo uma cultura organizacional alinhada às diretrizes da LGPD. A disseminação do conhecimento sobre a importância da privacidade e da segurança no tratamento de dados deve fazer parte da rotina da empresa.
A Política estabelece diretrizes para que, independentemente do processo, usuário, infraestrutura ou sistema, todos os envolvidos na organização sigam um padrão rigoroso de uso dos recursos relacionados à Segurança da Informação e Proteção de Dados Pessoais. O objetivo é incorporar a privacidade como um princípio fundamental (Privacy by Default) e garantir que os processos de negócios sejam criados ou revisados com a proteção de dados integrada desde sua concepção (Privacy by Design).
Os controles de Governança e a Política de Segurança da Informação foram definidos para assegurar um nível de proteção adequado às necessidades e à realidade da Exame.
4. Diretrizes
A segurança da informação e a proteção dos dados pessoais tratados pela Exame têm como objetivo garantir uma gestão eficaz de todos os aspectos relacionados à segurança e governança do uso dos dados. Isso inclui fornecer suporte às operações críticas do negócio e minimizar riscos identificados em cada departamento, processo de negócio e tratamento de dados, reduzindo impactos para a organização.
4.1 Comprometimento da Exame
A Diretoria Executiva, o Encarregado de Proteção de Dados (DPO) e o Comitê de Proteção de Dados Pessoais estão comprometidos com a gestão eficaz da proteção de dados na Exame. Para isso, adotam medidas para garantir que esta política seja comunicada, compreendida e seguida em todos os níveis da organização. Revisões periódicas serão realizadas para manter a política atualizada e aplicável, equilibrando a segurança da informação com as necessidades do negócio.
4.2 Princípios da Política de Proteção de Dados da Exame
4.2.1. Desenvolver, implementar e seguir integralmente políticas, normas e procedimentos de proteção de dados pessoais, garantindo os princípios de confidencialidade, integridade e disponibilidade da informação, com adoção de controles contra ameaças internas e externas.
4.2.2. Disponibilizar políticas, normas e procedimentos de proteção de dados pessoais a todas as partes interessadas e autorizadas, incluindo colaboradores, pacientes, acompanhantes, prestadores de serviços, parceiros e, quando aplicável, fornecedores.
4.2.3. Promover a educação e conscientização sobre as práticas de proteção de dados pessoais adotadas pela Exame para todas as partes interessadas e autorizadas.
4.2.4. Garantir o total cumprimento da Lei 13.709/2018 (LGPD) e de outros requisitos de segurança da informação estabelecidos por legislações aplicáveis e cláusulas contratuais firmadas com parceiros de negócios.
4.2.5. Gerenciar e tratar integralmente incidentes relacionados ao uso de dados e segurança da informação, assegurando que sejam registrados, classificados, investigados, corrigidos e, quando necessário, comunicados às partes interessadas (ANPD, titulares de dados e diretorias).
4.2.6. Assegurar a continuidade das operações da Exame por meio de melhoria contínua e planos de ação voltados para a segurança da informação e uso legal dos dados, aprimorando a gestão, a qualidade das informações e a conformidade com as bases legais previstas na LGPD.
5. Papéis e Responsabilidades
5.1 Comitê de Proteção de Dados Pessoais e Segurança da Informação
5.1.1 O Comitê LGPD/Security da Informação é composto por representantes da Diretoria Executiva, Jurídico, RH e Comunicação, sendo liderado pelo Encarregado de Proteção de Dados (DPO).
5.1.2 Responsabilidades do Comitê:
- Analisar, revisar e propor a aprovação de políticas e normas relacionadas à proteção de dados pessoais;
- Garantir a disponibilidade de recursos para a gestão eficaz do programa de proteção de dados;
- Assegurar a conformidade das atividades de governança e segurança de dados com esta política;
- Promover a divulgação da Política de Proteção de Dados e disseminar a cultura de privacidade na Exame.
5.2 Gerente de Segurança da Informação
5.2.1 Responsabilidades:
- Gerenciar a governança de dados e revisar processos conforme esta política e as diretrizes do Comitê LGPD;
- Apoiar o Comitê LGPD na tomada de decisões;
- Identificar, avaliar e mitigar riscos à proteção de dados pessoais;
- Garantir a aplicação desta política na organização;
- Gerenciar incidentes de segurança e uso inadequado de dados.
5.3 Gestores de Áreas
5.3.1 Responsabilidades:
- Supervisionar o ciclo de vida dos dados em sua área, desde a criação até o descarte, garantindo conformidade com a LGPD;
- Identificar, classificar e rotular informações sob sua responsabilidade, ajustando conforme necessário;
- Revisar processos e classificações periodicamente ou sempre que houver mudanças relevantes;
- Autorizar, revisar e gerenciar acessos a informações e sistemas sob sua responsabilidade;
- Solicitar concessão ou revogação de acessos conforme as diretrizes da Exame.
5.4 Usuários da Informação
5.4.1 Responsabilidades:
- Conhecer e cumprir a Política de Proteção de Dados e normas complementares;
- Encaminhar dúvidas ao Comitê LGPD, quando necessário, de forma documentada;
- Relatar incidentes de segurança ao Comitê LGPD e no sistema de incidentes da empresa;
- Assinar o termo de uso dos sistemas da Exame, reconhecendo a ciência e o cumprimento da política;
- Responder por descumprimentos da política conforme as sanções aplicáveis.
5.5 Encarregado de Proteção de Dados (DPO)
5.5.1 Responsabilidades:
- Liderar o Comitê LGPD e gerenciar o programa de conformidade com a LGPD;
- Garantir o atendimento aos direitos dos titulares de dados;
- Responder às requisições da ANPD;
- Implementar melhorias contínuas e atualizar as políticas de conformidade com a LGPD.
6. Sanções e Punições
6.1 Violações
Qualquer violação desta política, de suas normas ou procedimentos, incluindo omissões, pode resultar em penalidades como:
- Advertência verbal;
- Notificação formal;
- Suspensão não remunerada;
- Rescisão contratual (para parceiros de negócios ou prestadores de serviços);
- Demissão por justa causa (para funcionários da empresa).
6.2 Aplicação de Sanções e Punições
As sanções serão aplicadas conforme a deliberação do Comitê de Proteção de Dados Pessoais, considerando:
- Gravidade da infração e danos causados;
- Recorrência da violação;
- Condições previstas em contratos e no artigo 482 da CLT.
O comitê, em conjunto com o RH e/ou o departamento jurídico, poderá definir e aplicar a penalidade adequada.
6.3 Violações Criminosas
Infrações que envolvam atividades criminosas ou que causem danos à Exame ou aos titulares de dados serão tratadas judicialmente, e os responsáveis poderão ser acionados legalmente para reparação de prejuízos.
7. Declaração de Compromisso da Diretoria (ABNT NBR ISO/IEC 27701:2019)
A Diretoria da Exame reafirma seu compromisso com a governança de dados e a proteção das informações pessoais de clientes, colaboradores e demais envolvidos. Isso inclui garantir a confidencialidade, integridade e disponibilidade dos dados, seguindo as melhores práticas e a legislação brasileira.
Nosso compromisso está alinhado à Lei 13.709/2018 (LGPD), garantindo que o tratamento de dados seja realizado de forma consentida pelo titular ou enquadrado em uma das hipóteses legais. Além disso, a Exame investe na conscientização de colaboradores e executivos e na implementação de processos seguros e conformes à legislação.
7.1 Papel de Controlador de Dados Pessoais (ABNT NBR ISO/IEC 27701:2019)
A Exame atua como controladora de dados pessoais, adotando mecanismos para garantir a proteção e os direitos dos titulares, como:
- Confirmação do tratamento de dados;
- Acesso e atualização de informações;
- Portabilidade dos dados, entre outros direitos assegurados pela LGPD.
A empresa trata dados de colaboradores, prestadores de serviços, fornecedores, pacientes e acompanhantes, sempre respeitando as bases legais previstas na legislação. Para isso, realiza:
- Revisão e formalização de processos de tratamento de dados;
- Identificação de riscos e aplicação de medidas mitigatórias;
- Implementação de tecnologias de segurança e Privacy by Design (Privacidade desde a concepção).
7.2 Partes Interessadas (ABNT NBR ISO/IEC 27701:2019)
As partes interessadas no programa de proteção de dados incluem:
- Governo e órgãos reguladores (como a ANPD);
- Sócios e clientes;
- Colaboradores e prestadores de serviços;
- Pacientes e acompanhantes;
- Parceiros de negócios e fornecedores.
7.3 Mecanismos de Proteção de Dados Pessoais (Segurança & Uso Adequado)
A conformidade da Exame com a LGPD baseia-se nesta política, que estabelece processos para a segurança da informação e o uso adequado dos dados pessoais. O programa inclui:
- Um Sistema de Gestão da Privacidade da Informação (SGPI), conforme a ABNT NBR ISO/IEC 27701:2019;
- Políticas e procedimentos que garantem a proteção e privacidade dos dados tratados;
- Monitoramento contínuo para aprimoramento da segurança e conformidade com exigências legais;
- Adaptação a novas normativas e diretrizes da ANPD.
O compromisso da Exame é garantir a proteção dos dados pessoais e a conformidade legal, promovendo um ciclo contínuo de monitoramento, atualização e melhoria dos processos.