RESOLUÇÃO Nº 738, DE 7 DE NOVEMBRO DE 2024 (*)

RESOLUÇÃO Nº 738, DE 7 DE NOVEMBRO DE 2024 (*)
Dispõe sobre o uso de bancos de dados com
finalidade de pesquisa científica envolvendo seres
humanos.
O Plenário do Conselho Nacional de Saúde (CNS), em sua Trecentésima
Quinquagésima Reunião Ordinária, realizada nos dias 31 de janeiro e 1° de fevereiro de
2024, e no uso de suas competências regimentais e atribuições conferidas pela Lei nº
8.080, de 19 de setembro de 1990; pela Lei nº 8.142, de 28 de dezembro de 1990; pela
Lei Complementar nº 141, de 13 de janeiro de 2012; pelo Decreto nº 5.839, de 11 de
julho de 2006, e cumprindo as disposições da Constituição da República Federativa do
Brasil de 1988 e da legislação brasileira correlata; e
Considerando a Lei Nº 13.709, de 14 de agosto de 2018 - Lei Geral de
Proteção de Dados Pessoais (LGPD);
Considerando as atribuições da Comissão Nacional de Ética em Pesquisa (Conep)
definidas no inciso V, do art. 16 da Resolução CNS nº 446 de 11 de agosto de 2011;
Considerando as Diretrizes e normas regulamentadoras de pesquisas envolvendo
seres humanos, previstas na Resoluções CNS nº 466 de 11 de dezembro de 2012;
Considerando as especificidades éticas das pesquisas nas Ciências Humanas e
Sociais e de outras que se utilizam de metodologias próprias dessas áreas, previstas no
inciso XXII, Art. 2º, da Resolução nº 510 de 7 de abril de 2016;
Considerando o desenvolvimento e o engajamento ético, que é inerente ao
desenvolvimento científico e tecnológico, bem como que todo o progresso e o seu avanço
devem, sempre, respeitar a dignidade, a liberdade e a autonomia do ser humano; e
Considerando a legislação brasileira correlata e pertinente resolve:
Art. 1º Normatizar o uso de bancos de dados com finalidade de pesquisa
científica envolvendo seres humanos, conforme disposto nesta Resolução.
CAPÍTULO I
DAS FINALIDADES
Art. 2º Esta Resolução tem por objetivo normatizar os aspectos éticos,
relacionados à constituição, gerenciamento e uso de bancos de dados com finalidade de
pesquisa científica envolvendo seres humanos.
CAPÍTULO II
DOS TERMOS E DEFINIÇÕES
Art. 3º Esta Resolução adota os seguintes termos e definições:
I - Anonimização: refere-se à utilização de meios técnicos razoáveis e
disponíveis no momento do tratamento, por meio dos quais um dado perde a
possibilidade de associação, direta ou indireta, a um indivíduo.
II - Autodeterminação Informativa: direito que cada indivíduo tem de controlar
e proteger seus dados pessoais.
III - Banco de dados: conjunto estruturado de dados relativos a pessoas,
estabelecido em um ou em vários locais, em suporte eletrônico ou físico.
IV - Controlador: pessoa natural ou jurídica, de direito público ou privado, a
quem compete as decisões referentes ao tratamento de dados.
V - Controladoria Conjunta: a determinação conjunta, comum ou convergente,
por dois ou mais controladores, das finalidades e dos elementos essenciais para a
realização do tratamento de dados pessoais, por meio de acordo que estabeleça as
respectivas responsabilidades.
VI - Dados: são as menores unidades de descrição das variáveis que compõem
um banco de dados, podendo ser representadas por palavras, números, símbolos,
imagens, entre outros.
VII - Dado Anonimizado: dado relativo a titular que não possa ser identificado,
considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu
tratamento.
VIII - Dado Pessoal: informação relacionada a pessoa identificada ou
identificável.
IX - Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica,
convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter
religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou
biométrico, quando vinculado a uma pessoa.
X - Dado Identificador: qualquer informação relacionada ao indivíduo que
possa ser vinculada a sua identidade.
XI - Informação Agregada: representa dados ou informações de um conjunto
de pessoas ou de uma população e não permitem o seu detalhamento no âmbito
individual.
XII - Integridade de Pesquisa: diz respeito ao compromisso com valores éticos
e princípios de boas práticas na execução de pesquisas.
XIII - Operador: Pessoa natural ou jurídica, de direito público ou privado, que
realiza o tratamento de dados pessoais em nome do Controlador.
XIV - Órgão de Pesquisa: órgão ou entidade da administração pública direta ou
indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituídos
sob as leis brasileiras, com sede e foro no país, que incluam em sua missão institucional
ou em seu objetivo social ou estatutário, a pesquisa básica ou aplicada de caráter
histórico, científico, tecnológico ou estatístico.
XV - Pseudonimização: é o tratamento por meio do qual um dado perde a
possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de
informação adicional mantida separadamente pelo controlador em ambiente controlado e
seguro.
XVI - Termo de Acordo Institucional: documento formal pelo qual as
instituições que participam da constituição ou utilização conjunta de um banco de dados
assumem compromisso pela operacionalização, compartilhamento e uso dos dados,
incluindo a possibilidade de dissolução futura do acordo, com estabelecimento de
critérios de partilha e destinação dos dados;
XVII - Termo de Anuência Institucional: documento de anuência à realização
da pesquisa na instituição, o qual deve descrever as atividades que serão desenvolvidas,
sendo emitido pelo dirigente institucional ou pessoa por ele delegada, com identificação
de cargo/função e respectiva assinatura.
XVIII - Termo de Compromisso de Uso de Dados: declaração formal em que o
pesquisador responsável e sua equipe se comprometem com o sigilo e a
confidencialidade dos dados e informações, inclusive com a privacidade dos participantes,
e uso dos dados para a finalidade prevista na pesquisa.
XIX - Termo de Transferência de Informações: documento por meio do qual
o(s) pesquisador(es) transfere(m) e recebe(m) dados e informações de bancos já
constituídos, assumindo a responsabilidade pela sua guarda, utilização e garantia do
respeito ao sigilo, à confidencialidade e à privacidade.
XX - Titular: pessoa a quem se referem os dados.
XXI - Tratamento: toda operação realizada com dados pessoais, como as que
se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução,
transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação,
avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou
extração.
XXII - Uso Futuro: refere-se à possibilidade de uso dos dados e informações de
participantes de pesquisas, armazenados em banco de dados, a qualquer tempo e com
finalidade relacionada à pesquisa originalmente proposta.
CAPÍTULO III
DOS PRINCÍPIOS GERAIS
Art. 4º A proteção das informações, em bancos de dados, visa preservar a
dignidade e os direitos fundamentais dos participantes de pesquisas, particularmente em
relação à sua autodeterminação informativa, liberdade, privacidade, honra e imagem, no
âmbito da pesquisa científica.
Art. 5º Os pesquisadores, patrocinadores e instituições envolvidos na
constituição e na utilização de bancos de dados, devem agir com integridade e
responsabilidade no tratamento dos dados, cabendo-lhes:
I - Respeitar os direitos dos participantes.
II - Garantir a confidencialidade das informações.
III - Preservar a liberdade, privacidade, a intimidade, a honra e a imagem dos
participantes, sobretudo quando houver dados identificadores ou sensíveis.
IV - Aplicar medidas para segurança da informação.
V - Manter o banco de dados em local seguro, cujo acesso seja restrito,
controlado e rastreável.
VI - Adotar medidas que visem reduzir o risco de dano, adulteração ou perda
dos dados.
VII - Respeitar os princípios de integridade da pesquisa.
Art. 6º Os protocolos de pesquisa, que envolvam a constituição de banco de
dados ou a utilização de banco de dados já existentes, devem tramitar no Sistema
CEP/Conep de acordo com a tipificação da pesquisa e os fatores de modulação
estabelecidos nas normas vigentes.
Art. 7º O tratamento de dados pessoais poderá ser realizado para a execução
de estudos por órgão de pesquisa, garantindo-se, sempre que possível, a anonimização e
a segurança dos dados pessoais.
Art. 8º Os dados pessoais identificadores deverão ser removidos,
obrigatoriamente, quando houver depósito dos dados, de forma parcial ou total, em
bancos nacionais ou internacionais, de acesso público ou restrito.
Parágrafo único. O disposto no caput deste artigo não se aplica se houver
consentimento assinado, do participante ou do responsável legal, com aprovação pelo
Sistema CEP/Conep.
CAPÍTULO IV
DAS RESPONSABILIDADES DO CONTROLADOR DO BANCO DE DADOS
Art. 9º O Controlador do banco de dados será o patrocinador, ou o
pesquisador responsável pelo protocolo de pesquisa, ou o responsável pelo biobanco de
material biológico humano, ou, ainda, pessoa por ele designada.
Art. 10 O Controlador do banco de dados tem as seguintes atribuições, além
daquelas previstas no Art. 5º:
I - Assegurar a anonimização ou pseudonimização dos dados pessoais, quando
houver necessidade justificada de dar acesso ou transferir dados para terceiros.
II - Garantir a privacidade e a inviolabilidade da intimidade, da honra e da
imagem dos participantes, quando houver necessidade justificada de realizar o processo
de reidentificação dos dados.
III - Garantir o uso seguro e adequado dos dados e das informações, conforme
as finalidades previstas no protocolo de pesquisa.
IV - Zelar pelo cumprimento da legislação vigente.
Art. 11 As responsabilidades do Controlador do banco de dados são
irrenunciáveis, admitindo-se a controladoria conjunta.
Art. 12 No caso da necessidade de transferência de dados identificadores a
terceiros, tal procedimento deve estar previsto no protocolo e/ou contrato de pesquisa,
com a devida justificativa, e deve ser realizado apenas pelo Controlador do Banco de
Dados, utilizando meios seguros, que permitam rastreabilidade e que mantenham a
integridade dos dados, mediante aprovação pelo Sistema CEP/Conep.
§1º A transferência, total ou parcial, de dados, para terceiros, deverá ser
formalizada por meio de um Termo de Transferência de Informações de bancos de
dados.
§2º Nos casos de bancos de dados constituídos com a participação de mais de
uma instituição, a contribuição, o acesso, a transferência e o compartilhamento de dados
devem ser objeto de acordos prévios por meio de Termos de Acordo Institucional.
Art. 13 O Controlador do Banco de Dados pode solicitar, ao pesquisador,
dados adicionais, obtidos na pesquisa, com o intuito de aprimoramento do banco de
dados original, salvo nos casos previstos por lei de proteção de propriedade
intelectual.
CAPÍTULO V
DAS RESPONSABILIDADES DO OPERADOR DO BANCO DE DADOS
Art. 14 Ao Operador do banco de dados cabem as seguintes
responsabilidades, além daquelas previstas nos Artigos 5º e 10:
I - Realizar tratamento dos dados apenas para o projeto de pesquisa aprovado
pelo Sistema CEP/Conep.
II - Não transferir os dados a terceiros, exceto quando previamente autorizado
pelo Controlador.
Art. 15 No caso de o Operador do banco de dados ser o pesquisador
responsável pelo protocolo, esse deverá:
I - Referenciar a fonte dos dados no projeto de pesquisa e na divulgação dos
seus resultados;
II - Descrever, no projeto de pesquisa, os procedimentos adotados, para
assegurar a confidencialidade dos dados, incluindo os mecanismos de segurança e
restrição de acesso.
CAPÍTULO VI
DOS DIREITOS DOS PARTICIPANTES DE BANCO DE DADOS
Art. 16 Os participantes de bancos de dados de pesquisa são titulares dos seus
dados e a eles devem ser assegurados os direitos fundamentais de acesso às suas
informações armazenadas, a qualquer tempo.
Parágrafo único. O caput do artigo não se aplica a banco de dados
irreversivelmente anonimizados ou, quando os dados foram coletados de forma anônima,
sem a identificação do titular.
Art. 17 A qualquer tempo, os participantes podem solicitar retificações ou
atualizações das informações contidas no banco de dados que entendam terem sido
erroneamente inseridas, bem como requisitar a retirada parcial ou total das suas
informações, valendo a desistência a partir da data de sua manifestação expressa.
Parágrafo único O caput do artigo não se aplica a banco de dados
irreversivelmente anonimizados ou quando os dados foram coletados de forma anônima,
sem a identificação do titular.
Art. 18 O participante tem o direito de requerer indenização, caso haja danos
decorrentes do uso indevido ou da quebra de segurança ou confidencialidade dos seus
dados armazenados.
CAPÍTULO VII
DA CONSTITUIÇÃO DE BANCOS DE DADOS NO ÂMBITO DA PESQUISA
Art. 19 Para a constituição de banco de dados no âmbito da pesquisa, o
protocolo de pesquisa deve atender aos seguintes requisitos:
I - Identificar o(s) Controlador(es) do banco.
II - Descrever os dados e as informações a serem coletados.
III - Descrever os mecanismos que garantem a confidencialidade e a segurança
das informações, incluindo as estratégias para acesso e armazenamento dos dados.
IV - Descrever os critérios para o compartilhamento e a transferência dos
dados.
§1º Se houver intenção de compartilhar os dados e informações, tal
procedimento deverá estar justificado no protocolo de pesquisa, ponderando os riscos e
benefícios aos participantes, garantindo-se a segurança dos dados pessoais, e, sempre
que possível, a anonimização.
§2º Se houver intenção de anonimizar de forma irreversível os dados, tal
procedimento deverá estar justificado no protocolo de pesquisa, ponderando os riscos e
benefícios aos participantes.
Art. 20 Toda pesquisa que pretende constituir banco de dados, ou que
pretende utilizar banco de dados constituído para outras finalidades, deverá ter seu
protocolo de pesquisa apreciado pelo Sistema CEP/Conep.
§1º A inclusão e a utilização de dados e informações do participante de
pesquisa requerem o seu consentimento prévio ou do seu responsável legal.
§2º A utilização de dados e informações de banco, constituído no âmbito da
pesquisa, poderá ocorrer com dispensa, pelo Sistema CEP/Conep, de novo consentimento
dos participantes, caso o uso futuro tenha sido consentido no Registro ou Termo de
Consentimento Livre e Esclarecido da pesquisa original.
§3º A utilização de dados e informações de banco, constituído no âmbito da
pesquisa, em que o consentimento para uso futuro não foi solicitado, no Registro ou
Termo de Consentimento Livre e Esclarecido da pesquisa original, requer a solicitação de
novo consentimento. O novo consentimento poderá ser dispensado pelo Sistema
CEP/Conep, quando os dados disponibilizados forem anonimizados pelo Controlador, de
acordo com as características da pesquisa.
§4º Quando a solicitação para utilização futura de dados e informações não
foi autorizada no Registro ou Termo de Consentimento Livre e Esclarecido da pesquisa
original, é necessário solicitar novo consentimento do participante, ou do seu responsável
legal, para que o banco de dados seja utilizado para novas pesquisas.
§5º A utilização de dados e informações de banco, constituído fora do âmbito
da pesquisa, requer consentimento do participante para uso de seus dados, mediante
Registro ou Termo de Consentimento Livre e Esclarecido do participante, ou do seu
responsável legal. O consentimento poderá ser dispensado, pelo Sistema CEP/Conep,
quando os dados disponibilizados forem anonimizados pelo Controlador, de acordo com
as características da pesquisa.
Art. 21 Os protocolos para constituição de banco de dados em pesquisas do
tipo registro, devem ser apreciados pelo Sistema CEP/Conep.
§1º A utilização de banco de dados em pesquisas do tipo registro requer a
apreciação do projeto, pelo Sistema CEP/Conep, a cada nova pesquisa científica a ser
realizada com os dados armazenados.
Art. 22 O armazenamento dos dados e informações de participantes, em
banco de dados, pode se dar em prazo superior ao cronograma do protocolo de pesquisa,
a fim de que sejam utilizados em pesquisas futuras, respeitado o consentimento do
participante.
Art. 23 Nos casos de bancos de dados constituídos com a participação de mais
de uma instituição, o protocolo de pesquisa deve ser apreciado pelo Sistema CEP/Conep,
como projeto multicêntrico ou unicêntrico com coparticipantes.
Parágrafo único. Se a instituição proponente se encontrar no exterior, uma
das instituições brasileiras participantes da rede de colaboração deve ser o centro
coordenador responsável pela apresentação do protocolo de pesquisa ao Sistema
CEP/Conep.
CAPÍTULO VIII
DA UTILIZAÇÃO DE BANCOS DE DADOS JÁ CONSTITUÍDOS
Art. 24 Os protocolos de pesquisa que pretendam utilizar dados provenientes
de bancos já constituídos no âmbito da pesquisa, além dos itens requeridos para a
submissão na Plataforma Brasil, devem apresentar as seguintes informações:
I - Autorização do Controlador do banco de dados para sua utilização.
II - Descrição dos dados e informações que serão utilizados na pesquisa.
III - Descrição dos mecanismos que serão adotados para garantir a
confidencialidade e a segurança dos dados, incluindo as estratégias para a restrição de
acesso.
IV - Identificação do protocolo de pesquisa original que constituiu o banco de dados.
V - Termo de Compromisso de Uso de Dados assinado pelos pesquisadores.
VI - Termo ou Registro de Consentimento Livre e Esclarecido para utilização
das informações contidas em banco de dados.
VII - Declaração do Controlador de que os dados serão anonimizados antes da
sua disponibilização, quando pertinente.
Parágrafo único. Se houver intenção de anonimizar de forma irreversível os
dados, tal procedimento deverá estar justificado no protocolo de pesquisa, ponderando
os riscos e benefícios aos participantes.
Art. 25 Os protocolos de pesquisa que pretendem utilizar os dados
provenientes de bancos, já constituídos no âmbito da pesquisa, podem ter a dispensa,
pelo sistema CEP/Conep, da aplicação do Registro ou Termo de Consentimento Livre e
Esclarecido nas seguintes situações:
I - Dados coletados originalmente sem a identificação do participante da
pesquisa (dados anônimos).
II - Consentimento prévio do participante de pesquisa para uso de dados em
pesquisas futuras.
III - Compartilhamento de dados anonimizados pelo Controlador.
IV - Anonimização irreversível de dados no protocolo original.
V - Mediante justificativa consubstanciada submetida ao Sistema CEP/Conep.
Art. 26 No caso de protocolos de pesquisa em que o participante não tenha
autorizado previamente o uso dos seus dados em pesquisas futuras, requer-se novo
consentimento por meio de Registro ou Termo de Consentimento Livre e Esclarecido.
Art. 27 Os protocolos de pesquisa que pretendam utilizar os dados
provenientes de bancos já constituídos fora do âmbito da pesquisa, além dos itens
requeridos para a submissão na Plataforma Brasil, devem apresentar, obrigatoriamente,
os seguintes documentos:
I - Autorização do Controlador do banco de dados para sua utilização.
II - Descrição dos dados e informações que serão utilizados na pesquisa.
III - Descrição dos mecanismos que serão adotados para garantir a confidencialidade
e a segurança dos dados, incluindo as estratégias para a restrição de acesso.
IV - Contextualização sobre como os dados foram obtidos originalmente.
V - Termo de Compromisso de Uso de Dados assinado pelos pesquisadores.
VI - Termo de Anuência Institucional assinado pelo responsável da instituição
de onde os dados são provenientes. VII - Registro ou Termo de Consentimento Livre e
Esclarecido, quando pertinente.
VIII - Declaração do Controlador de que os dados serão anonimizados antes da
sua disponibilização, quando pertinente.
Parágrafo único. Se houver intenção de anonimizar de forma irreversível os
dados, tal procedimento deverá estar justificado no protocolo de pesquisa, ponderando
os riscos e benefícios aos participantes.
CAPÍTULO IX
DO CONSENTIMENTO LIVRE E ESCLARECIDO
Art. 28 Nas pesquisas que propõem a constituição de banco de dados, o
Registro ou o Termo de Consentimento Livre e Esclarecido deverá conter:
I - Justificativa e objetivos da pesquisa, riscos e benefícios do armazenamento
de dados, incluindo a informação acerca da utilização do uso futuro dos dados, quando
for o caso.
II - Descrição dos procedimentos adotados para garantir o sigilo e a
confidencialidade das informações, assegurando preservar a intimidade, a honra e a
imagem dos participantes.
III - Descrição das estratégias para controle de acesso aos dados e as
informações.
IV - Informação sobre o uso futuro dos dados e informações para pesquisa, de
forma específica e destacada, quando houver essa intenção, apresentando alternativas
que indiquem a necessidade ou não de novo consentimento.
V - Justificativa para o compartilhamento de dados e informações do banco,
de forma específica e destacada, quando houver essa intenção, apresentando alternativas
que indiquem a autorização ou não do participante.
VI - Informação sobre a anonimização irreversível dos dados, quando houver,
com explicações sobre as consequências de tal procedimento.
VII - Informação sobre o direito de requisitar a correção, retirada parcial ou
retirada total de seus dados e informações.
CAPÍTULO X
DAS DISPOSIÇÕES FINAIS
Art. 29 Os casos omissos, nesta Resolução, serão avaliados e deliberados pela Conep.
Art. 30 Esta Resolução entrará em vigor na data de sua publicação.
FERNANDO ZASSO PIGATTO
Presidente do Conselho Nacional de Saúde
Homologo a Resolução CNS nº 738, de 01 de fevereiro de 2024, nos termos
da Lei nº 8.142, de 28 de dezembro de 1990.
NÍSIA TRINDADE LIMA
Ministra de Estado da Saúde
(*) Republicada por ter saído no Diário Oficial da União nº 14, de 21 de janeiro de 2025,
Seção 1, página 114, com incorreções no original. 1_MS_22_001