Dados de saúde são uma categoria especial ao abrigo do RGPD — exigem mais cuidado do que um email ou um NIF. A boa notícia é que cumprir não exige um departamento jurídico: exige um punhado de práticas concretas, aplicadas de forma consistente.
Este guia cobre o essencial que uma clínica pequena ou média precisa de ter em prática — sem linguagem legal desnecessária.
Que Dados de um Paciente Contam Como "Dados de Saúde"
Mais do que o histórico clínico. Contam como dados de saúde (e por isso exigem cuidado reforçado):
- Notas de consulta e diagnósticos — óbvio, mas inclui também observações informais.
- Motivo da marcação — se um paciente escreve "consulta de acompanhamento oncológico" no campo de notas de uma marcação online, isso já é dado de saúde.
- Faturas com o serviço prestado — uma fatura que identifica "consulta de psicologia" associa uma pessoa a um tipo de cuidado.
- Imagens e exames — radiografias, fotos clínicas, resultados de análises.
Consentimento: O Que É Realmente Preciso
Nem tudo precisa de consentimento explícito — tratar um paciente exige processar os dados clínicos por necessidade contratual/legal, não por consentimento. O consentimento explícito é necessário principalmente para usos adicionais aos cuidados de saúde em si:
- Lembretes e marketing por email/SMS — precisa de consentimento claro, dado de forma ativa (nunca pré-selecionado), com opção fácil de recusar.
- Partilha com terceiros — seguradoras, laboratórios externos, outros profissionais fora da equipa direta do tratamento.
- Uso de imagens em redes sociais — antes/depois, testemunhos com foto — exige consentimento escrito específico, separado do consentimento de tratamento.
Retenção: Quanto Tempo Guardar os Dados
Não existe uma regra única — depende do tipo de registo e da legislação setorial aplicável (registos clínicos têm, em geral, prazos de conservação legal específicos que ultrapassam largamente o RGPD genérico). O princípio a aplicar no dia a dia: não guarde por guardar. Defina prazos de retenção por tipo de dado, documente-os, e tenha um processo (mesmo que manual, uma vez por ano) para eliminar o que já não precisa de guardar.
O Que Deve Estar em Prática Hoje
- Política de privacidade acessível — na página de marcação online e visível na clínica, a explicar o que é recolhido e para quê.
- Consentimento separado para lembretes/marketing — nunca junto com o consentimento de tratamento, e sempre com opção fácil de recusar.
- Acordo de processamento de dados (DPA) com as ferramentas usadas — o sistema de agendamento, o serviço de email/SMS, o software de faturação: todos processam dados de pacientes em seu nome, e deve existir um contrato que cubra isso.
- Acesso limitado por função — nem toda a equipa precisa de ver o histórico clínico completo; a receção precisa de nome, contacto e marcação, não do diagnóstico.
- Processo para pedidos de acesso/eliminação — um paciente tem o direito de pedir uma cópia dos seus dados ou a sua eliminação; a clínica precisa de saber quem responde e em quanto tempo.
Nenhum destes pontos exige uma reformulação total do consultório — exige revisão pontual e alguns documentos escritos. A parte mais importante é escolher ferramentas (agendamento, email, faturação) que já tratam isto com seriedade, para não ter de resolver tudo manualmente.
O Que Fazer em Caso de Violação de Dados
Mesmo com boas práticas, um incidente pode acontecer — um portátil roubado, um email enviado à pessoa errada, um acesso indevido. O RGPD exige que a clínica esteja preparada para reagir, não só para prevenir:
- Regista o incidente assim que for detetado — o que aconteceu, que dados podem ter sido afetados, quantos pacientes.
- Avalia o risco para os titulares dos dados — uma violação de dados de saúde é quase sempre considerada de risco elevado.
- Notifica a CNPD no prazo de 72 horas desde que tenhas conhecimento do incidente, se houver risco para os direitos dos pacientes — mesmo que ainda não tenhas todos os detalhes apurados.
- Notifica os pacientes afetados quando o risco for elevado, em linguagem simples, explicando o que aconteceu e o que devem fazer.
Ter isto pensado antes de acontecer — quem decide, quem contacta a CNPD, quem redige a comunicação aos pacientes — poupa horas críticas no momento em que realmente precisas de agir depressa.