Se o seu negócio trata dados de saúde, as regras que se aplicam a si são mais exigentes
Atualizado em
Há uma categoria de informação que a lei protege de forma especial: os dados de saúde. E há muito mais negócios a tratá-los do que aqueles que se reconhecem como tal.
Uma clínica sabe que trata dados de saúde. Mas um lar que gere a medicação dos residentes, uma farmácia que cruza receituário com o cartão de cliente, um centro de imagiologia com milhares de exames — todos tratam dados de saúde, muitas vezes sem terem organizado a sua atividade em torno dessa realidade.
E isso tem consequências, porque os dados de saúde são, por definição legal, uma categoria especial de dados pessoais, com obrigações reforçadas e fiscalização prioritária.
Porque é que isto é levado a sério
A Comissão Nacional de Proteção de Dados (CNPD) concentra a supervisão onde há maior risco para os titulares — e os tratamentos de dados de saúde e de pessoas vulneráveis estão no topo dessa lista.
As coimas não são simbólicas: para as infrações mais graves, a lei prevê valores que podem ir até 20 milhões de euros ou 4% do volume de negócios anual. A estes soma-se o dano reputacional — particularmente grave num negócio que vive de confiança.
As obrigações comuns a todos
Independentemente do tipo de negócio, quem trata dados de saúde tem de responder a um conjunto de exigências. Estas são as mais frequentemente falhadas:
- Distinguir dois consentimentos que não são o mesmo. O consentimento clínico (para realizar um tratamento ou procedimento) e o consentimento para o tratamento de dados pessoais são instrumentos juridicamente distintos e devem ser recolhidos separadamente.
- Contratar corretamente quem acede aos dados. Software de gestão, informática, cloud, laboratórios, contabilidade — sempre que um terceiro acede aos dados, é obrigatório um contrato de subcontratação.
- Saber reagir a uma violação em 72 horas. Um incidente que ponha em risco os dados pode obrigar a notificar a CNPD no prazo de 72 horas. Sem procedimento preparado, descobre-se tarde demais.
- Conservar apenas o necessário, pelo tempo necessário. Uma política de conservação evita acumular informação que só aumenta o risco.
- Formar quem lida com os dados. A maioria das violações resulta de erro humano; a formação é, por isso, uma medida de conformidade em si mesma.
- Avaliar se precisa de um Encarregado de Proteção de Dados e garantir que as políticas no papel correspondem ao que se faz na prática.
O que muda conforme o seu negócio
As obrigações comuns são o mínimo. Depois, cada atividade tem o seu ponto de maior exposição:
| O seu negócio | O risco que lhe é próprio |
|---|---|
| Clínica médica / imagiologia / análises | Tratamento em grande escala: Encarregado de Proteção de Dados e avaliação de impacto obrigatórios |
| Lar / apoio domiciliário | Titulares vulneráveis (idosos) — fiscalização prioritária e questões próprias de representação |
| Farmácia | Receituário cruzado com identificação e faturação, em grande escala |
| Clínica dentária / fisioterapia / nutrição | Processo clínico, exames e histórico — o núcleo dos dados de saúde |
| Medicina do trabalho | Dados de saúde de trabalhadores, com limites estritos ao que o empregador pode saber |
O que fazemos
Somos um escritório de advogados. Prestamos consultoria e auditoria jurídica em proteção de dados, com um parecer final e um plano de adequação. Não exercemos a função de Encarregado de Proteção de Dados — aconselhamos, avaliamos e preparamos; a gestão corrente fica consigo.
O trabalho típico: uma auditoria ao que trata, como trata e onde estão os riscos; um parecer que identifica as não conformidades por ordem de gravidade; e um plano concreto para as corrigir — documentos, contratos, políticas, consentimentos e formação. Adaptado ao seu negócio, não um modelo genérico.
O que este serviço é — e o que não é
- É uma avaliação jurídica do seu tratamento de dados e um caminho para o pôr em conformidade.
- Não é uma garantia de que nunca terá um incidente ou uma coima — reduz o risco e demonstra diligência, mas ninguém honesto promete imunidade.
- Não é a assunção da função de Encarregado de Proteção de Dados.
- Não é um serviço informático — trabalhamos com o seu fornecedor de TI, não o substituímos.
Perguntas frequentes
Sim. A aplicação não depende da dimensão, mas da atividade. Uma clínica com três pessoas que trata dados de saúde tem as obrigações reforçadas na mesma.
Um software ajuda, mas não substitui a análise jurídica do seu tratamento concreto nem os contratos, consentimentos e políticas que a lei exige. A conformidade não é um produto que se instala.
Depende da natureza e da escala do que trata. Faz parte da avaliação inicial determiná-lo — e nem sempre a resposta é sim.
Depende da dimensão e da complexidade do seu tratamento. O valor é fechado e comunicado por escrito após uma avaliação inicial, antes de qualquer trabalho.
Avaliação inicial
Analisamos o seu caso e dizemos-lhe, com franqueza, onde estão os seus riscos e o que faz sentido fazer — incluindo quando está mais perto da conformidade do que pensava.
O envio de pedido inicial não cria, por si só, relação advogado-cliente nem substitui consulta jurídica.
Artigo de Luís Correia Crespo, advogado inscrito na Ordem dos Advogados (cédula n.º 67709L), com escritório na Lourinhã.
Nota informativa
Esta página tem natureza informativa. Não substitui consulta jurídica, não dispensa análise documental e não representa promessa de resultado. O escritório presta consultoria e auditoria jurídica em proteção de dados, com emissão de parecer; não exerce a função de Encarregado de Proteção de Dados. A atuação concreta depende dos factos, da documentação, da verificação de conflitos de interesses e da aceitação de mandato.
Leituras relacionadas
- Clínicas de estrutura — quando o RGPD aperta com a dimensão
- Lares e ERPI — os dados mais sensíveis das pessoas mais vulneráveis
- Farmácias — a obrigação de ter Encarregado de Proteção de Dados
- Clínicas dentárias — o guia dedicado ao setor
- A sua clínica precisa de um Encarregado de Proteção de Dados?
- Os erros de RGPD mais comuns no setor
- ← Voltar a Empresas
- Todos os artigos e guias