Se o seu negócio trata dados de saúde, as regras que se aplicam a si são mais exigentes
Há uma categoria de informação que a lei protege de forma especial: os dados de saúde. E há muito mais negócios a tratá-los do que aqueles que se reconhecem como tal.
Uma clínica sabe que trata dados de saúde. Mas um lar que gere a medicação dos residentes, uma farmácia que cruza receituário com o cartão de cliente, um centro de imagiologia com milhares de exames — todos tratam dados de saúde, muitas vezes sem terem organizado a sua atividade em torno dessa realidade.
E isso tem consequências, porque os dados de saúde são, por definição legal, uma categoria especial de dados pessoais, com obrigações reforçadas e fiscalização prioritária.
Porque é que isto é levado a sério
A Comissão Nacional de Proteção de Dados (CNPD) concentra a supervisão onde há maior risco para os titulares — e os tratamentos de dados de saúde e de pessoas vulneráveis estão no topo dessa lista.
As coimas não são simbólicas: para as infrações mais graves, a lei prevê valores que podem ir até 20 milhões de euros ou 4% do volume de negócios anual. A estes soma-se o dano reputacional — particularmente grave num negócio que vive de confiança.
As obrigações comuns a todos
Independentemente do tipo de negócio, quem trata dados de saúde tem de responder a um conjunto de exigências. Estas são as mais frequentemente falhadas:
- Distinguir dois consentimentos que não são o mesmo. O consentimento clínico (para realizar um tratamento ou procedimento) e o consentimento para o tratamento de dados pessoais são instrumentos juridicamente distintos e devem ser recolhidos separadamente.
- Contratar corretamente quem acede aos dados. Software de gestão, informática, cloud, laboratórios, contabilidade — sempre que um terceiro acede aos dados, é obrigatório um contrato de subcontratação.
- Saber reagir a uma violação em 72 horas. Um incidente que ponha em risco os dados pode obrigar a notificar a CNPD no prazo de 72 horas. Sem procedimento preparado, descobre-se tarde demais.
- Conservar apenas o necessário, pelo tempo necessário. Uma política de conservação evita acumular informação que só aumenta o risco.
- Formar quem lida com os dados. A maioria das violações resulta de erro humano; a formação é, por isso, uma medida de conformidade em si mesma.
- Avaliar se precisa de um Encarregado de Proteção de Dados e garantir que as políticas no papel correspondem ao que se faz na prática.
O que muda conforme o seu negócio
As obrigações comuns são o mínimo. Depois, cada atividade tem o seu ponto de maior exposição:
| O seu negócio | O risco que lhe é próprio |
|---|---|
| Clínica médica / imagiologia / análises | Tratamento em grande escala: Encarregado de Proteção de Dados e avaliação de impacto obrigatórios |
| Lar / apoio domiciliário | Titulares vulneráveis (idosos) — fiscalização prioritária e questões próprias de representação |
| Farmácia | Receituário cruzado com identificação e faturação, em grande escala |
| Clínica dentária / fisioterapia / nutrição | Processo clínico, exames e histórico — o núcleo dos dados de saúde |
| Medicina do trabalho | Dados de saúde de trabalhadores, com limites estritos ao que o empregador pode saber |
O que fazemos
Somos um escritório de advogados. Prestamos consultoria e auditoria jurídica em proteção de dados, com um parecer final e um plano de adequação. Não exercemos a função de Encarregado de Proteção de Dados — aconselhamos, avaliamos e preparamos; a gestão corrente fica consigo.
O trabalho típico: uma auditoria ao que trata, como trata e onde estão os riscos; um parecer que identifica as não conformidades por ordem de gravidade; e um plano concreto para as corrigir — documentos, contratos, políticas, consentimentos e formação. Adaptado ao seu negócio, não um modelo genérico.
O que este serviço é — e o que não é
- É uma avaliação jurídica do seu tratamento de dados e um caminho para o pôr em conformidade.
- Não é uma garantia de que nunca terá um incidente ou uma coima — reduz o risco e demonstra diligência, mas ninguém honesto promete imunidade.
- Não é a assunção da função de Encarregado de Proteção de Dados.
- Não é um serviço informático — trabalhamos com o seu fornecedor de TI, não o substituímos.
Perguntas frequentes
Sim. A aplicação não depende da dimensão, mas da atividade. Uma clínica com três pessoas que trata dados de saúde tem as obrigações reforçadas na mesma.
Um software ajuda, mas não substitui a análise jurídica do seu tratamento concreto nem os contratos, consentimentos e políticas que a lei exige. A conformidade não é um produto que se instala.
Depende da natureza e da escala do que trata. Faz parte da avaliação inicial determiná-lo — e nem sempre a resposta é sim.
Depende da dimensão e da complexidade do seu tratamento. O valor é fechado e comunicado por escrito após uma avaliação inicial, antes de qualquer trabalho.
Avaliação inicial
Analisamos o seu caso e dizemos-lhe, com franqueza, onde estão os seus riscos e o que faz sentido fazer — incluindo quando está mais perto da conformidade do que pensava.
O envio de pedido inicial não cria, por si só, relação advogado-cliente nem substitui consulta jurídica.
Nota informativa
Esta página tem natureza informativa. Não substitui consulta jurídica, não dispensa análise documental e não representa promessa de resultado. O escritório presta consultoria e auditoria jurídica em proteção de dados, com emissão de parecer; não exerce a função de Encarregado de Proteção de Dados. A atuação concreta depende dos factos, da documentação, da verificação de conflitos de interesses e da aceitação de mandato.
Leituras relacionadas
- Clínicas de estrutura — quando o RGPD aperta com a dimensão
- Lares e ERPI — os dados mais sensíveis das pessoas mais vulneráveis
- Farmácias — a obrigação de ter Encarregado de Proteção de Dados
- Clínicas dentárias — o guia dedicado ao setor
- A sua clínica precisa de um Encarregado de Proteção de Dados?
- Os erros de RGPD mais comuns no setor
- ← Voltar a Empresas