O que é o RGPD?

Resposta rápida

✓

Não precisa de consentimento do paciente para tratar dados de saúde na prestação de cuidados. A base legal está no artigo 9.º, n.º 2, alínea h) do RGPD. A própria CNPD tem afirmado que, na maioria dos casos, clínicas e hospitais não necessitam de consentimento para estes tratamentos.

✓

Precisa de: registo de atividades de tratamento, contratos com quem trata dados por si, política de privacidade, procedimento de resposta a pedidos dos pacientes e procedimento de violação de dados.

✓

Prazos a saber de cor: 72 horas para notificar uma violação de dados à CNPD, 30 dias para responder a um pedido de acesso de um paciente.

O erro mais comum nas clínicas portuguesas

Entra um paciente novo. Na receção, dão-lhe uma folha a pedir que autorize a clínica a tratar os seus dados de saúde. Ele assina. A folha vai para um dossiê e nunca mais ninguém lhe toca.

Essa folha, na maioria dos casos, não serve para nada, e pode até criar um problema. O consentimento no RGPD tem de ser livre e revogável a qualquer momento, com a mesma facilidade com que foi dado. Ora, se um paciente retirasse esse consentimento, a clínica teria de deixar de tratar os seus dados clínicos, o que é incompatível com prestar cuidados e com as obrigações de conservação do registo clínico.

É por isso que o legislador não colocou a prestação de cuidados de saúde debaixo do consentimento. Colocou-a numa base legal própria.

!

Consequência prática

Uma clínica que assenta tudo no consentimento fica numa posição frágil quando alguém o revoga: ou o ignora, e está a tratar dados sem base válida, ou o respeita, e fica sem poder cumprir as suas próprias obrigações clínicas e fiscais. Corrigir a base legal é mais importante do que colecionar assinaturas.

Qual é a base legal correta

Dados de saúde são uma categoria especial de dados pessoais. O tratamento é, por princípio, proibido, exceto nas situações listadas no artigo 9.º, n.º 2 do RGPD. A que interessa a uma clínica é a alínea h): tratamento necessário para efeitos de medicina preventiva, diagnóstico médico, prestação de cuidados de saúde ou gestão de sistemas e serviços de saúde.

Na prática, uma clínica trabalha com várias bases legais ao mesmo tempo, consoante a finalidade:

Finalidade

Base legal habitual

Precisa de consentimento?

Registo clínico e prestação de cuidados

Artigo 9.º, n.º 2, alínea h)

Não

Marcação de consultas e contactos administrativos

Execução do contrato

Não

Lembretes de consulta marcada

Execução do contrato

Não

Faturação e obrigações fiscais

Obrigação jurídica

Não

Newsletter, promoções, campanhas

Consentimento

Sim

Pedido de avaliação online

Consentimento ou interesse legítimo, conforme o caso

Depende

Videovigilância na clínica

Interesse legítimo, com regras próprias

Não, mas exige sinalização

Repare no padrão: o consentimento aplica-se ao marketing, não à saúde. É exatamente o contrário do que a maioria das clínicas assume.

O que continua a ser obrigatório em todos os casos é informar. O paciente tem de saber que dados são recolhidos, para quê, quanto tempo ficam guardados, com quem são partilhados e que direitos tem. Isso faz-se com um aviso de privacidade claro, não com uma assinatura.

O que a clínica tem mesmo de ter

Uma lista curta e verificável. Se não tiver estes cinco documentos, é por aqui que se começa.

Documento

Para que serve

Quem costuma pedir

Registo de atividades de tratamento

Lista tudo o que a clínica faz com dados pessoais

É o primeiro documento pedido numa inspeção da CNPD

Aviso de privacidade

Informa os pacientes, no site e na receção

Pacientes e CNPD

Contratos com subcontratantes

Regula quem trata dados por conta da clínica

CNPD, e o próprio fornecedor deve disponibilizá-lo

Política de conservação

Define quanto tempo cada tipo de dado fica guardado

CNPD

Procedimento de violação de dados

Diz quem faz o quê nas primeiras 72 horas

Ninguém, até ao dia em que acontece

8. Quanto tempo guardar os dados

9. Falhas do dia-a-dia

10. Perguntas frequentes

Sobre o encarregado de proteção de dados: a designação não é automaticamente obrigatória numa clínica de pequena dimensão. Depende sobretudo da escala e da natureza do tratamento. O que faz sentido em qualquer clínica, obrigatório ou não, é haver uma pessoa identificada responsável por estas matérias, para que os pedidos não fiquem sem dono. Se tiver dúvidas sobre a obrigatoriedade no seu caso concreto, vale a pena confirmar com apoio jurídico.

O registo de atividades de tratamento

É o documento mais ignorado e o primeiro a ser pedido. Não precisa de ser complicado: uma tabela chega. Para cada tratamento de dados que a clínica faz, uma linha com sete colunas.

Coluna

Exemplo, para "gestão de marcações"

Finalidade

Marcar, confirmar e gerir consultas

Categorias de titulares

Pacientes

Categorias de dados

Nome, contacto, data da consulta, profissional

Base legal

Execução do contrato

Destinatários

Fornecedor do software de gestão, operador de SMS

Prazo de conservação

Enquanto durar a relação, mais o prazo legal aplicável

Medidas de segurança

Acesso por perfil, palavra-passe, registo de acessos

Uma clínica típica tem entre seis e doze linhas neste registo: marcações, registo clínico, faturação, recursos humanos, videovigilância, marketing, recrutamento e pouco mais. É trabalho de uma tarde, não de um projeto.

Contratos com quem trata dados por si

Sempre que a clínica usa um serviço externo que toca em dados de pacientes, esse fornecedor é um subcontratante e o RGPD exige um contrato escrito com cláusulas específicas.

Fornecedores que quase sempre são subcontratantes numa clínica:

Software de gestão de clínicas e de registo clínico.

Operador de envio de SMS e email.

Alojamento do site e do sistema de marcações online.

Serviço de contabilidade, quando trata dados de pacientes.

Empresa de manutenção informática com acesso remoto.

Serviço de arquivo ou destruição de documentos.

Duas perguntas a fazer a qualquer fornecedor antes de assinar: onde ficam alojados os dados, e o contrato de subcontratação está disponível. Um fornecedor sério tem os dois prontos. Se hesitar em qualquer um, é sinal de alarme, porque a responsabilidade perante a CNPD continua a ser da clínica.

Direitos dos pacientes e prazos

Os pacientes podem exercer vários direitos, e o prazo geral de resposta é de um mês. É prudente ter um procedimento simples, porque estes pedidos aparecem quase sempre em momentos de conflito.

Direito

O que significa

Nota importante

Acesso

Receber cópia dos seus dados

O acesso à informação clínica tem regras próprias no direito da saúde

Retificação

Corrigir dados errados

Corrige-se o erro, não se apaga o histórico clínico

Apagamento

Eliminar dados

Não se aplica quando há obrigação legal de conservar

Oposição

Opor-se a certos tratamentos

Aplica-se sobretudo a marketing

Portabilidade

Levar os dados para outro prestador

Aplica-se a dados fornecidos pelo próprio, com base em consentimento ou contrato

O ponto que gera mais confusão: um paciente pedir para apagar tudo não obriga a clínica a apagar o processo clínico. O direito ao apagamento cede perante obrigações legais de conservação. O que a clínica deve fazer é responder por escrito, explicando o que apaga, o que mantém e porquê.

Violação de dados: as 72 horas

Uma violação de dados não é só um ataque informático. É um portátil roubado com a base de pacientes, um email com a lista de marcações enviado para o destinatário errado, uma pasta de fichas deixada acessível, ou um antigo colaborador que ainda tem acesso ao sistema.

Quando acontece, a clínica tem 72 horas a contar do momento em que toma conhecimento para notificar a CNPD, salvo se for improvável que resulte em risco para os direitos e liberdades das pessoas. Tratando-se de dados de saúde, o risco é quase sempre considerado elevado. Se o risco for elevado, os próprios titulares também têm de ser informados.

O procedimento a ter escrito, em cinco linhas:

1.

Quem é avisado internamente, e por que via, assim que alguém deteta o problema.

2.

Como se contém o incidente nas primeiras horas, por exemplo revogar acessos.

3.

Quem avalia o risco e decide sobre a notificação.

4.

Quem submete a notificação à CNPD e em que prazo.

5.

Onde fica registado o incidente, mesmo quando não é notificado.

Esse registo interno de todos os incidentes é obrigatório, incluindo os que não chegaram a ser notificados.

Quanto tempo guardar os dados

Não existe um prazo único que cubra tudo o que uma clínica guarda. Aplicam-se regras diferentes conforme o tipo de informação, e para o processo clínico as referências vêm da legislação da saúde e das orientações das ordens profissionais, não do RGPD.

O que o RGPD exige é que a clínica defina, documente e cumpra um prazo para cada categoria. Uma política de conservação típica separa:

Processo clínico: segue o prazo previsto na legislação da saúde e nas normas da respetiva ordem profissional. Confirme o prazo aplicável à sua profissão antes de fixar o número.

Documentos de faturação: seguem os prazos fiscais aplicáveis.

Dados de marcação sem seguimento clínico: prazo curto, definido pela clínica.

Contactos para marketing: enquanto o consentimento se mantiver.

Imagens de videovigilância: prazo curto, tipicamente dias.

Candidaturas espontâneas: prazo curto, com informação prévia ao candidato.

i

Regra prática

Guardar tudo para sempre não é a opção segura. É uma infração, e aumenta o dano em caso de violação de dados. Menos dados guardados é menos risco.

Falhas do dia-a-dia que dão problemas

As coimas e queixas raramente nascem da falta de um documento. Nascem de rotinas.

Ecrã da receção virado para a sala de espera, com a agenda e os nomes visíveis a quem passa.

Chamar pacientes pelo nome completo em voz alta numa sala de espera cheia, ou pior, pelo motivo da consulta.

Uma conta partilhada por toda a equipa, o que torna impossível saber quem acedeu ao quê.

Acessos de ex-colaboradores que nunca foram revogados.

Emails em cópia aberta para vários pacientes, revelando a lista a todos.

Grupos de WhatsApp com informação clínica, em telemóveis pessoais sem controlo.

Fichas em papel deixadas no balcão entre consultas.

Responder a avaliações online confirmando que a pessoa é paciente da clínica.

Este último merece atenção redobrada. Comentar publicamente a situação de alguém, mesmo para se defender, é uma divulgação de dados de saúde. O artigo sobre avaliações no Google tem modelos de resposta que evitam este problema.

Como o DOC ajuda

O software de gestão é, por definição, um subcontratante da clínica, portanto é uma das peças que tem de estar em ordem. O DOC funciona com contas individuais por profissional e permissões por perfil, o que resolve dois dos problemas da lista acima: contas partilhadas e acessos que ficam abertos depois de alguém sair.

A comunicação com o paciente, incluindo lembretes e confirmações, também sai do telemóvel pessoal de quem está na receção e passa a acontecer dentro do sistema, com registo.

§

Nota legal

Este artigo é informativo e não substitui aconselhamento jurídico. As obrigações concretas variam com a dimensão da clínica, a profissão e o tipo de tratamentos realizados. Confirme o seu caso com apoio jurídico especializado ou com a sua ordem profissional.

Perguntas frequentes sobre RGPD para clínicas

Na prestação de cuidados de saúde, não. A base legal é o artigo 9.º, n.º 2, alínea h) do RGPD, e a CNPD tem afirmado que na maioria dos casos clínicas e hospitais não precisam de consentimento para estes tratamentos. O consentimento é necessário para finalidades acessórias, como newsletters ou campanhas de marketing. O que é sempre obrigatório é informar o paciente.

Não é automático numa clínica de pequena dimensão. Depende da escala e da natureza dos tratamentos realizados. Independentemente da obrigatoriedade, deve haver uma pessoa identificada como responsável interna, para que os pedidos dos pacientes e os incidentes tenham dono. Confirme o seu caso concreto com apoio jurídico.

72 horas a contar do momento em que toma conhecimento, para notificar a CNPD, salvo se for improvável que resulte em risco para as pessoas. Com dados de saúde, o risco é normalmente considerado elevado, o que implica também informar os próprios titulares. Todos os incidentes devem ficar registados internamente, mesmo os que não são notificados.

Pode pedir, mas o direito ao apagamento cede perante obrigações legais de conservação. Na prática, a clínica mantém o registo clínico pelo prazo legal e apaga o que não está abrangido, por exemplo os contactos para marketing. Responda sempre por escrito, explicando o que apaga, o que mantém e com que fundamento.

O fornecedor é subcontratante e tem obrigações próprias, mas a responsabilidade perante a CNPD é da clínica, que é a responsável pelo tratamento. Por isso é preciso um contrato de subcontratação escrito e saber onde os dados estão alojados. Escolher um fornecedor sem esses elementos não transfere o risco, apenas o esconde.

É desaconselhado para informação clínica, sobretudo em telemóveis pessoais, porque a clínica perde o controlo sobre onde a informação fica, quem lhe acede e durante quanto tempo. Para marcações e lembretes, o caminho mais seguro é usar os canais do próprio sistema de gestão, onde tudo fica registado e associado à ficha.

O primeiro é o registo de atividades de tratamento. Depois, tipicamente, o aviso de privacidade, os contratos com subcontratantes, a política de conservação, o registo de incidentes e evidência das medidas de segurança, como a gestão de contas e permissões.

Desde 25 de maio de 2018, todas as organizações e profissionais que lidam com informações pessoais — como clínicas, consultórios e especialistas na área da saúde — têm de cumprir as normas definidas por este regulamento.

O Doc.pt está preparado para o RGPD?

Sim o Doc.pt foi desenvolvido a pensar na segurança dos dados dos seus pacientes. A plataforma disponibiliza ferramentas que ajudam as clínicas e os profissionais de saúde a estarem em conformidade com o RGPD:

Ferramentas que simplificam a recolha e gestão de consentimentos;

Partilha de boas práticas no tratamento de dados em contextos clínicos e de bem-estar;

Configurações de privacidade, permissões e controlo de acessos pensadas de raiz com os princípios de privacy by design e privacy by default.

Que impacto tem o RGPD na sua clínica?

Todos os profissionais e estabelecimentos que prestam serviços de saúde ou bem-estar deverão implementar, com o apoio do Doc.pt, as seguintes ações:

A. Nomear um Encarregado de Proteção de Dados (DPO) Normalmente, o próprio profissional ou gerente do espaço assume esta função, sendo responsável por supervisionar a conformidade com o regulamento.

B. Criar e validar um Regulamento Interno de Proteção de Dados Este documento identifica os dados recolhidos, os processos envolvidos e as responsabilidades de cada colaborador.

C. Obter o Consentimento dos pacientes para o uso dos dados pessoais De forma clara, específica e documentada.

No final deste documento, explicamos como o Doc.pt o ajuda a implementar cada uma destas ações.

Regulamento Interno de Proteção de Dados

O Regulamento Interno deve indicar:

Que dados são recolhidos;

Quem tem acesso a esses dados;

Com que finalidade são utilizados;

Como são armazenados e protegidos.

O Doc.pt disponibiliza um modelo adaptado às necessidades de clínicas e profissionais de saúde, que pode ser personalizado.

Consentimento para utilização de dados

Todos os pacientes da sua base de dados deverão dar o seu consentimento explícito para o uso de:

Dados pessoais (ex: telemóvel, email, morada);

Dados sensíveis (ex: informação clínica, características físicas ou psicológicas), sempre que aplicável.

A finalidade deve ser apresentada com clareza, como por exemplo:

Envio de lembretes de consultas;

Confirmação e alteração de marcações;

Envio de comunicações personalizadas (ex: aniversários ou campanhas de saúde);

Registo e acompanhamento de consultas e planos terapêuticos.

O que significa “Consentimento”?

Segundo o Artigo 4.º do RGPD, consentimento é:

“Uma manifestação de vontade específica, clara e sem ambiguidades, dada livremente por um indivíduo através de uma declaração ou ação positiva inequívoca, que significa um acordo relativamente ao processamento de dados pessoais desse indivíduo.”

O consentimento não pode ser implícito nem pré-selecionado (check-boxes preenchidas por defeito não são válidas).

Como é que o Doc.pt o ajuda?

O Doc.pt disponibiliza uma ferramenta simples e eficaz para pedir e gerir o consentimento dos pacientes:

Envio de email com pedido de consentimento;

Geração de um link único por paciente, com registo da resposta;

Página personalizada com formulário de consentimento;

Acesso ao Regulamento Interno do seu espaço na mesma página;

Relatório completo com o histórico de consentimentos;

Atualização automática da ficha do paciente com base nas preferências.

Pode ainda personalizar o conteúdo do pedido de consentimento, adaptando-o à sua prática.

Quando deve pedir o consentimento?

Para pacientes atuais: Entre em contacto conosco em suporte@doc.pt

Para novos pacientes: No final da ficha do paciente, poderá enviar imediatamente o pedido de consentimento digital com um clique.

Quanto custa?

Nada. O módulo RGPD do Doc.pt está incluído nas funcionalidades base da plataforma — sem custos adicionais.

Se preferir, pode continuar a gerir o RGPD de forma manual, com fichas e documentos físicos. No entanto, ao ativar a funcionalidade de RGPD Digital, todo o processo passa a ser automatizado: as comunicações respeitam automaticamente as preferências de cada paciente, que pode, a qualquer momento, atualizar as suas definições de privacidade através dos links incluídos nas mensagens — disponível 24 horas por dia, 365 dias por ano.

E se não cumprir?

O RGPD estabelece sanções significativas:

Infrações menos graves: até 2% do volume de negócios anual;

Infrações graves: até 4% do volume de negócios anual.

Em Portugal, a legislação prevê coimas entre 500€ e 5000€ como valores mínimos.

Se tiver dúvidas ou quiser ativar o módulo RGPD, fale conosco em suporte@doc.pt. Estamos aqui para ajudar a sua clínica a funcionar com total conformidade e tranquilidade.

8. E se não cumprir?