A partir de que dimensão a sua clínica passa a ter obrigações reforçadas de RGPD?
Todas as clínicas têm obrigações de proteção de dados. Mas há um patamar — o do tratamento em grande escala — a partir do qual essas obrigações se intensificam de forma qualitativa, e não apenas quantitativa. Uma clínica polivalente, um centro de imagiologia, um laboratório de análises ou uma clínica com várias especialidades e milhares de utentes situa-se, quase sempre, acima desse patamar.
A consequência é concreta: a partir dele, deixam de ser recomendações e passam a ser obrigações legais duas figuras que muitas direções tratam como opcionais.
As duas obrigações que a dimensão torna inevitáveis
O Encarregado de Proteção de Dados. Quando uma entidade trata dados de saúde em grande escala como atividade principal, a sua designação deixa de ser opção e passa a ser exigível por lei. Não o ter é, por si só, uma infração.
A avaliação de impacto sobre a proteção de dados. Antes de implementar tratamentos de risco elevado — e o tratamento de dados de saúde em grande escala é o exemplo clássico —, a clínica está obrigada a realizar uma avaliação formal desse risco.
Estas obrigações são cumulativas com todas as que se aplicam a qualquer prestador de cuidados de saúde. A dimensão não substitui as regras de base — acrescenta-lhes uma camada.
Onde a complexidade cresce com a estrutura
- Muitos profissionais, muitos níveis de acesso. A lei exige que o acesso seja limitado ao necessário para cada função. Um sistema em que qualquer utilizador vê qualquer processo é uma vulnerabilidade grave.
- Partilha sistemática com o exterior. Laboratórios, imagiologia, médicos externos, subsistemas, seguradoras — cada fluxo exige fundamento e, quando há terceiro, contrato de subcontratação.
- Múltiplos sistemas informáticos. Quanto mais sistemas, mais superfícies de risco e mais contratos a formalizar.
- Portais e marcações online. Trazem obrigações de segurança e de informação próprias.
- Grande volume, grande exposição. Uma única falha pode afetar milhares de pessoas de uma só vez.
O que uma clínica de estrutura deve ter organizado
- Encarregado de Proteção de Dados designado e comunicado
- Avaliação de impacto para os tratamentos de risco elevado
- Registo das atividades de tratamento
- Perfis de acesso por função
- Contratos de subcontratação com todos os sistemas e parceiros externos
- Procedimento de violação de dados com resposta em 72 horas
- Política de conservação por tipo de dado e de exame
- Segurança técnica documentada e formação transversal
O que fazemos
Mapeamos os fluxos de dados da clínica na sua real complexidade; verificamos a designação do Encarregado de Proteção de Dados e as avaliações de impacto; revemos os perfis de acesso, os contratos e a segurança; e entregamos um parecer com um plano de adequação hierarquizado pela gravidade.
Prestamos consultoria, auditoria e parecer; não exercemos a função de Encarregado de Proteção de Dados. Não prometemos imunidade — asseguramos que a clínica passa de um estado difuso de risco para uma posição documentada e defensável.
Esta é uma das obrigações que se aplicam a quem trata dados de saúde.
Avaliação da sua clínica
Tem Encarregado de Proteção de Dados e avaliações de impacto? Os acessos ao processo clínico estão limitados por função? Analisamos a sua estrutura e dizemos-lhe o que é prioritário.
O envio de pedido inicial não cria, por si só, relação advogado-cliente nem substitui consulta jurídica.
Nota informativa
Esta página tem natureza informativa. Não substitui consulta jurídica, não dispensa análise documental e não representa promessa de resultado. O escritório presta consultoria e auditoria jurídica em proteção de dados, com emissão de parecer; não exerce a função de Encarregado de Proteção de Dados. A atuação concreta depende dos factos, da documentação, da verificação de conflitos de interesses e da aceitação de mandato.