A partir de que dimensão a sua clínica passa a ter obrigações reforçadas de RGPD?
Atualizado em
Todas as clínicas têm obrigações de proteção de dados. Mas há um patamar — o do tratamento em grande escala — a partir do qual essas obrigações se intensificam de forma qualitativa, e não apenas quantitativa. Uma clínica polivalente, um centro de imagiologia, um laboratório de análises ou uma clínica com várias especialidades e milhares de utentes situa-se, quase sempre, acima desse patamar.
A consequência é concreta: a partir dele, deixam de ser recomendações e passam a ser obrigações legais duas figuras que muitas direções tratam como opcionais.
As duas obrigações que a dimensão torna inevitáveis
O Encarregado de Proteção de Dados. Quando uma entidade trata dados de saúde em grande escala como atividade principal, a sua designação deixa de ser opção e passa a ser exigível por lei. Não o ter é, por si só, uma infração.
A avaliação de impacto sobre a proteção de dados. Antes de implementar tratamentos de risco elevado — e o tratamento de dados de saúde em grande escala é o exemplo clássico —, a clínica está obrigada a realizar uma avaliação formal desse risco.
Estas obrigações são cumulativas com todas as que se aplicam a qualquer prestador de cuidados de saúde. A dimensão não substitui as regras de base — acrescenta-lhes uma camada.
Onde a complexidade cresce com a estrutura
- Muitos profissionais, muitos níveis de acesso. A lei exige que o acesso seja limitado ao necessário para cada função. Um sistema em que qualquer utilizador vê qualquer processo é uma vulnerabilidade grave.
- Partilha sistemática com o exterior. Laboratórios, imagiologia, médicos externos, subsistemas, seguradoras — cada fluxo exige fundamento e, quando há terceiro, contrato de subcontratação.
- Múltiplos sistemas informáticos. Quanto mais sistemas, mais superfícies de risco e mais contratos a formalizar.
- Portais e marcações online. Trazem obrigações de segurança e de informação próprias.
- Grande volume, grande exposição. Uma única falha pode afetar milhares de pessoas de uma só vez.
O que uma clínica de estrutura deve ter organizado
- Encarregado de Proteção de Dados designado e comunicado
- Avaliação de impacto para os tratamentos de risco elevado
- Registo das atividades de tratamento
- Perfis de acesso por função
- Contratos de subcontratação com todos os sistemas e parceiros externos
- Procedimento de violação de dados com resposta em 72 horas
- Política de conservação por tipo de dado e de exame
- Segurança técnica documentada e formação transversal
O que fazemos
Mapeamos os fluxos de dados da clínica na sua real complexidade; verificamos a designação do Encarregado de Proteção de Dados e as avaliações de impacto; revemos os perfis de acesso, os contratos e a segurança; e entregamos um parecer com um plano de adequação hierarquizado pela gravidade.
Prestamos consultoria, auditoria e parecer; não exercemos a função de Encarregado de Proteção de Dados. Não prometemos imunidade — asseguramos que a clínica passa de um estado difuso de risco para uma posição documentada e defensável.
Esta é uma das obrigações que se aplicam a quem trata dados de saúde.
Avaliação da sua clínica
Tem Encarregado de Proteção de Dados e avaliações de impacto? Os acessos ao processo clínico estão limitados por função? Analisamos a sua estrutura e dizemos-lhe o que é prioritário.
O envio de pedido inicial não cria, por si só, relação advogado-cliente nem substitui consulta jurídica.
Artigo de Luís Correia Crespo, advogado inscrito na Ordem dos Advogados (cédula n.º 67709L), com escritório na Lourinhã.
Nota informativa
Esta página tem natureza informativa. Não substitui consulta jurídica, não dispensa análise documental e não representa promessa de resultado. O escritório presta consultoria e auditoria jurídica em proteção de dados, com emissão de parecer; não exerce a função de Encarregado de Proteção de Dados. A atuação concreta depende dos factos, da documentação, da verificação de conflitos de interesses e da aceitação de mandato.