Uma clínica precisa de utilizar informação de saúde para cuidar das pessoas, mas essa necessidade não autoriza qualquer utilização do processo clínico. Marcar uma consulta, fazer um diagnóstico, faturar um ato e selecionar participantes para um estudo são operações diferentes. Cada uma exige uma finalidade definida, dados proporcionais e pessoas autorizadas a intervir. A conformidade começa nessa separação, antes da escolha do programa informático ou da assinatura de formulários.
Em Portugal, o RGPD articula-se com a Lei n.º 12/2005, relativa à informação genética e de saúde, e com a Lei n.º 58/2019. As regras de acesso, sigilo e conservação devem ainda acompanhar a atividade concreta do prestador. Este guia organiza as decisões que uma direção clínica e administrativa precisam de tomar em conjunto.
Identificar os dados e as responsabilidades
Os dados de saúde são categorias especiais. Não se resumem ao diagnóstico: um resultado laboratorial, uma prescrição ou uma informação que revele uma condição de saúde também podem integrar essa categoria. A identificação administrativa e a informação clínica exigem análise no seu contexto. Uma lista de pessoas atendidas num serviço muito específico pode revelar mais do que uma agenda aparentemente neutra sugere.
O responsável pelo tratamento determina as finalidades e os meios essenciais. Pode ser a sociedade que explora a clínica, uma entidade hospitalar ou um profissional que exerce autonomamente, conforme a organização real. Um médico que trabalha numa instituição não se torna automaticamente responsável autónomo por cada operação. Inversamente, um acordo comercial que use a expressão “prestador de serviços” não resolve, por si, a qualificação jurídica.
Construam um registo das atividades de tratamento que distinga cuidados, faturação, recursos humanos, investigação e comunicações promocionais. A exceção do artigo 30.º para organizações com menos de 250 trabalhadores não dispensa os tratamentos abrangidos pelas condições que a afastam: tratamento não ocasional, suscetível de implicar risco para direitos e liberdades, categorias especiais do artigo 9.º ou dados do artigo 10.º sobre condenações e infrações. A atividade clínica habitual não fica dispensada por ter poucos profissionais.
Artigos 6.º e 9.º: duas condições a justificar
Tratar dados de saúde exige uma base do artigo 6.º e uma condição que afaste a proibição do artigo 9.º. Para cuidados, a alínea h) do artigo 9.º, n.º 2, abrange, nas condições previstas, medicina preventiva, diagnóstico, prestação de cuidados e gestão dos sistemas de saúde. A sua utilização depende do enquadramento legal ou contratual previsto e das garantias de sigilo do n.º 3. Não basta escrever “interesse do doente” numa ficha interna.
No artigo 6.º, uma obrigação legal concreta pode justificar determinada conservação ou comunicação; uma missão de interesse público deve assentar no direito aplicável. Numa relação privada, a execução de contrato pode ser pertinente para operações objetivamente necessárias à prestação contratada à própria pessoa. Nenhuma destas bases se presume para tudo o que a clínica queira fazer. Identifiquem a obrigação, a missão ou a necessidade contratual que sustenta cada finalidade.
O consentimento para um ato médico e o consentimento para tratamento de dados respondem a questões diferentes. Um formulário clínico não constitui autorização geral para reutilizar informação. Também não é necessário transformar o consentimento RGPD no fundamento de todo o tratamento assistencial quando outra combinação válida dos artigos 6.º e 9.º se aplica. Essa escolha deve ser explicada ao doente de forma compreensível.
Investigação e marketing não constituem um único conjunto de “fins acessórios”. A investigação pode seguir fundamentos próprios, sujeitos à legislação aplicável, ao artigo 9.º e às salvaguardas do artigo 89.º; nem todo o estudo exige consentimento como base de proteção de dados. A publicidade dirigida a partir de diagnósticos não fica autorizada pela relação clínica. Antes de a considerar, avaliem separadamente as condições do tratamento de saúde e as regras do canal de comunicação.
Acessos: conhecer apenas o necessário
O artigo 29.º da Lei n.º 58/2019 exige que o acesso a dados de saúde e genéticos respeite a necessidade de conhecer. Prevê profissionais sujeitos a sigilo ou outras pessoas vinculadas à confidencialidade, segurança adequada e um dever de sigilo que alcança também trabalhadores, prestadores, estudantes, investigadores e intervenientes no acompanhamento, financiamento ou fiscalização dos cuidados. Ter um vínculo à instituição não equivale a precisar de todo o processo.
Criem permissões por função e por contexto assistencial. A receção pode necessitar de identificar o doente e gerir marcações sem consultar notas de psicoterapia. Um profissional de saúde deve aceder à informação necessária às suas tarefas; a categoria profissional, isoladamente, não legitima consultar o processo de um colega ou familiar. Alterações de equipa, saídas e substituições devem desencadear revisão das autorizações, sem esperar pela auditoria seguinte.
O mesmo artigo determina, no âmbito aí previsto, acesso eletrónico, salvo impossibilidade técnica ou indicação expressa contrária do titular, e proíbe a divulgação ou transmissão posterior nos termos dessa regra. Uma necessidade de partilha com outra entidade exige análise própria do destinatário, da finalidade e da habilitação legal; não nasce simplesmente de alguém conseguir abrir o processo. O dever de sigilo continua a existir quando a informação sai do sistema habitual.
O n.º 6 prevê notificação ao titular de qualquer acesso aos seus dados, cabendo ao responsável disponibilizar o mecanismo de rastreabilidade e notificação. Não confundam esta obrigação com a comunicação de uma violação de dados: são situações distintas. A implementação deve permitir identificar quem acedeu, quando e a que informação, articulando o mecanismo com os requisitos aplicáveis. Um registo técnico que ninguém consegue consultar ou explicar não resolve toda a obrigação.
Na saúde no trabalho, esta separação é particularmente importante: a informação necessária para gerir a aptidão não se confunde com o processo clínico. Definam o circuito entre serviço de saúde, trabalhador e empregador antes de automatizar envios. A existência de uma relação laboral não elimina o sigilo nem permite distribuir diagnósticos pelos responsáveis de equipa.
Dar acesso ao doente sem criar obstáculos
A informação de saúde pertence à pessoa; o prestador é seu depositário. A ERS explica os direitos de acesso e distingue a cópia da informação de um novo relatório médico, que constitui um ato diferente. Não exijam ao utente que justifique para que pretende os dados nem condicionem a entrega à liquidação de uma dívida. Verifiquem a identidade com meios proporcionais e confirmem os poderes de quem atua em representação.
A redação atual do artigo 3.º da Lei n.º 12/2005, alterada pela Lei n.º 26/2016, prevê intermediação de médico se o titular a solicitar; quando não é possível apurar a sua vontade quanto ao acesso, essa intermediação é exigida. Não imponham consulta médica prévia como condição universal. Limitações excecionais previstas na lei requerem fundamentação concreta, sem transformar a proteção do doente numa recusa automática.
No acesso ao abrigo do RGPD, a primeira cópia dos dados é, em regra, gratuita. O acórdão C-307/22, explicado pelo Tribunal de Justiça, confirma esse ponto para informação médica. Não a substituam por um resumo que impeça compreender os dados. Protejam os direitos de terceiros através de uma avaliação e de medidas proporcionais, em vez de negar todo o processo por incluir referências a outras pessoas.
Respondam sem demora injustificada e, em regra, no prazo de um mês. A extensão até dois meses adicionais depende da complexidade e do número de pedidos, com informação e razões dentro do primeiro mês. Se não derem seguimento, comuniquem os motivos sem demora e, no máximo, um mês após a receção, indicando a possibilidade de reclamação e recurso judicial. Essa comunicação inicial de recusa não pode ser adiada invocando a extensão geral.
EPD e direção: funções distintas
As autoridades e organismos públicos devem designar um encarregado de proteção de dados, ressalvada a exceção relativa aos tribunais no exercício da função jurisdicional. Para entidades privadas, o artigo 37.º do RGPD e o artigo 13.º da Lei n.º 58/2019 incluem as atividades principais que envolvam tratamento em grande escala de dados do artigo 9.º ou 10.º, ou controlo regular e sistemático em grande escala. Não existe uma dispensa automática baseada no número de salas ou na designação “consultório”.
Avaliem volume, continuidade, população abrangida e organização da atividade, documentando a conclusão. A dimensão de um hospital torna a análise diferente da prática individual, mas a obrigação deve ser ligada aos critérios legais. O guia do encarregado de proteção de dados ajuda a estruturar a designação, a posição e os meios da função. Uma nomeação voluntária também exige atenção às condições em que é apresentada e exercida.
O EPD informa, aconselha e controla a conformidade, mas não substitui a responsabilidade da direção nem deve decidir finalidades incompatíveis com a sua independência. As equipas clínicas e informáticas implementam os controlos nas respetivas competências. Atribuam responsáveis pela criação de contas, validação de perfis, resposta a pedidos e aprovação de projetos; sem essa distribuição, os problemas acabam indevidamente remetidos para uma única pessoa.
Contratar fornecedores sem confundir os papéis
Uma empresa que aloja o sistema por conta da clínica pode ser subcontratante. Um laboratório que define autonomamente finalidades e meios relevantes no cumprimento das suas obrigações pode assumir outro papel. Examinem cada operação: a mesma relação pode conter atividades diferentes. A qualificação determina se é necessário um instrumento do artigo 28.º, uma análise de responsabilidade conjunta ou regras de comunicação entre responsáveis autónomos.
Para o subcontratante, o contrato do artigo 28.º, ou outro ato jurídico vinculativo da União ou de um Estado-Membro, deve ser escrito, incluindo formato eletrónico, e concretizar instruções, segurança, confidencialidade e assistência. A cadeia de subcontratação ulterior requer as condições legais e a transmissão das obrigações pertinentes. O responsável deve escolher garantias suficientes e verificar se o serviço contratado as permite na prática.
Preparem também a saída: por escolha do responsável, os dados são devolvidos ou apagados após os serviços e as cópias existentes eliminadas, salvo conservação exigida pelo direito da União ou de um Estado-Membro. Definam exportação legível, encerramento de acessos e gestão das cópias de segurança. Para transferências internacionais, identifiquem destinatários e acessos efetivos fora do EEE; indicar um centro de dados europeu não esgota essa avaliação.
Novos sistemas, segurança e incidentes
A avaliação de impacto sobre a proteção de dados é obrigatória quando o tratamento provavelmente implicar elevado risco, incluindo tratamento em grande escala de categorias especiais nas condições do artigo 35.º. Apliquem ainda a lista nacional da CNPD. A compra de software não exige sempre AIPD por definição, mas também não permite ignorar o risco de integrar bases clínicas, monitorizar doentes ou alargar destinatários.
Realizem a análise antes de iniciar o tratamento e comparem alternativas, necessidade, proporcionalidade e medidas. Se subsistir elevado risco sem medidas suficientes para o reduzir, é obrigatória consulta prévia à autoridade nos termos do artigo 36.º. Uma apreciação comercial do fornecedor não substitui a avaliação do responsável. Ao comparar software de conformidade RGPD, verifiquem se permite manter evidências utilizáveis no vosso processo, sem presumir que a ferramenta certifica decisões jurídicas.
A segurança deve considerar confidencialidade, integridade e disponibilidade: autenticação adequada, controlo de acessos, proteção das transmissões, recuperação e verificação das medidas. Um hospital indisponível pode colocar pessoas em risco mesmo sem prova de extração de dados. Ensaiem a recuperação de informação e definam como continuar cuidados com segurança durante uma falha; registem problemas e correções, evitando que procedimentos de contingência criem arquivos paralelos esquecidos.
Uma violação de dados pessoais exige documentação de factos, efeitos e medidas. A notificação à autoridade é feita sem demora injustificada e, quando possível, até 72 horas após conhecimento, salvo se for improvável resultar risco para as pessoas; justifiquem atrasos. A comunicação aos titulares depende separadamente do elevado risco e das exceções do artigo 34.º. Uma suspeita técnica precisa de avaliação, e uma investigação ainda incompleta pode exigir informação faseada, sem suspender artificialmente o relógio.
Conservar por uma razão verificável
A política de prazos de conservação deve distinguir processos clínicos, faturação, pedidos de direitos, registos de acesso e documentação de investigação. O artigo 21.º da Lei n.º 58/2019 parte dos prazos legais ou regulamentares e, na sua ausência, da necessidade da finalidade. Identifiquem o regime setorial aplicável à instituição, a categoria documental, o início da contagem e o destino final; não copiem um número único para todo o arquivo.
O dever de manter processos clínicos não autoriza acesso quotidiano ilimitado a informação antiga. Separem utilização corrente e arquivo, com permissões adequadas e recuperação controlada. Obrigações legais, defesa de direitos e arquivo de interesse público podem justificar conservação nas condições aplicáveis. As exceções do artigo 17.º, incluindo investigação com as salvaguardas exigidas, não se satisfazem com um rótulo genérico. Um pedido de apagamento requer resposta individualizada sobre o que pode ser eliminado e o que deve permanecer.
Quando já não existe finalidade legítima ou obrigação de conservação, executem a eliminação ou avaliem uma anonimização efetiva. Retirar o nome não basta se combinações de informação permitirem reidentificar o doente. O guia sobre técnicas e limites da anonimização ajuda a distinguir essa operação da pseudonimização, que mantém dados pessoais. Planeiem também a expiração de cópias e o tratamento de dados eliminados quando se restaura uma cópia de segurança.
Verificar a organização com situações concretas
Escolham um percurso real de informação e acompanhem-no desde a marcação até ao arquivo. Confirmem o aviso entregue, a base definida, as pessoas com acesso, as comunicações externas e a possibilidade de responder a um pedido. Depois simulem uma saída de trabalhador e um envio ao destinatário errado. Estes exercícios revelam falhas diferentes e permitem atribuir correções verificáveis, em vez de acumular documentos sem aplicação.
As decisões e coimas da CNPD podem ajudar a estudar problemas concretos, mas um caso isolado não demonstra qual é a infração mais frequente no setor. Para atividades paralelas, como arrendamento de imóveis, alojamento ou serviços contabilísticos, consultem os guias de imobiliárias, hotelaria e contabilistas. Usem-nos para as respetivas operações, mantendo separadas as exigências próprias dos cuidados de saúde.