Entenda as exigências da ANPD para a coleta de dados de clientes na Raia e Drogasil

A RD Saúde, dona das farmácias Raia e Drogasil, foi notificada pela Autoridade Nacional de Proteção de Dados (ANPD) sobre seu tratamento de dados após a autoridade encerrar seu processo de fiscalização iniciado em maio de 2023 sobre a rede de farmácias, o programa de fidelidade Stix e a Febrafar (Federação Brasileira das Redes Associativistas e Independentes de Farmácias). A notificação refere-se a medidas que as lojas e os operadores programas de fidelização e benefícios devem tomar em relação ao tratamento de dados pessoas.

+ Farmácia Popular terá 100% de gratuidade em 41 remédios e itens; veja lista

Segundo a Coordenação-Geral de Fiscalização da ANPD, as medidas exigidas na notificação não são sanções ou punições, mas, sim, “uma determinação expressa” das ações que as empresas devem adotar para corrigir problemas identificados. “O não cumprimento dessas medidas, contudo, pode resultar na abertura de um processo sancionador e no agravamento das sanções eventualmente aplicadas", diz a nota da ANPD.

O que a Raia e a Drogasil deve fazer:

• Deve ser oferecida aos clientes do Programa Univers uma forma de verificar a identidade sem obrigatoriedade de fazer biometria, ou seja, uma forma alternativa de fazer a identificação dos clientes participantes do programa.
• A empresa terá que facilitar o acesso dos clientes a informações sobre o tempo de armazenamento dos seus dados pessoais.
• A rede de farmácias deverá apresentar à ANPD uma série de informações e documentos, especialmente sobre como os dados pessoais sensíveis são usados para criar perfis em ações de anúncios dirigidos.
• A rede deve apresentar também informações e documentos sobre o compartilhamento de dados com a empresa Rd Ads, do Grupo RaiaDrogasil.

De acordo com a autoridade, a fiscalização investigará possíveis infrações da RaiaDrogasil à LGPD (Lei Geral de Proteção de Dados) relacionadas à formação de perfis comportamentais a partir de dados pessoais sensíveis, a fim de ofertar publicidade direcionada com objetivo de obter vantagem econômica.

Os consumidores, por sua vez, devem estar cientes que não estão mais obrigados a fornecer biometria para confirmação da identidade e podem acompanhar agora informações sobre o armazenamento dos seus dados pessoais.

O que a Febrafar deve fazer:

• A medida preventiva determina a reavaliação da hipótese legal para o tratamento de dados e a adequação das informações relativas à privacidade e proteção de dados, e o exercício de direitos do titular em seu site, de modo a facilitar o acesso e gerenciamento pelo usuário.
• Deverá atuar para garantir que suas associadas também promovam o acesso facilitado do titular a canal para o exercício de seus direitos.

Em relação à Stix, decidiu-se pelo arquivamento do processo, sem prejuízo de investigaçã