A sua farmácia é obrigada a ter Encarregado de Proteção de Dados. E o resto?
Atualizado em
Comecemos pela afirmação que apanha a maioria das farmácias desprevenida: por tratarem dados de saúde de forma regular e em grande escala, as farmácias estão obrigadas a designar um Encarregado de Proteção de Dados. Não é uma recomendação — é uma obrigação legal, e o seu incumprimento é, em si mesmo, uma infração.
Se a sua farmácia não tem essa figura designada, é a primeira lacuna a corrigir. Mas raramente é a única — porque uma farmácia trata mais dados sensíveis, e por mais vias, do que a sua rotina deixa transparecer.
Uma farmácia trata dados de saúde o dia inteiro
No quotidiano, a farmácia trata dados de saúde em várias frentes:
- Dispensar um medicamento sujeito a receita — que revela uma condição clínica
- Registar o histórico de compras associado a um cartão de cliente
- Gerir a comparticipação e a faturação ao SNS e aos subsistemas
- Prestar serviços: medição de tensão, glicémia, colesterol, vacinas, nutrição
- Preparar medicação individualizada
- Manter fichas de utentes para acompanhamento
Em cada momento, a farmácia liga uma pessoa identificável a uma informação sobre a sua saúde. É o tipo de dado com a proteção mais elevada que a lei prevê.
O ponto sensível: o cartão de cliente
O cartão de fidelização é uma ferramenta comercial legítima. Mas numa farmácia levanta uma questão que num supermercado não existe: ao registar o que cada cliente compra, a farmácia está a construir um perfil de saúde.
Saber que um cliente adquire regularmente determinada medicação é saber algo sobre a sua condição clínica. Usar essa informação para fins comerciais exige uma base legal sólida e transparência total. É uma das áreas onde a linha entre o marketing legítimo e o tratamento indevido de dados de saúde é mais ténue.
As outras exposições típicas
- A partilha com terceiros. Software, faturação, contabilidade, informática, plataformas de comparticipação — cada um exige um contrato de subcontratação.
- O balcão sem privacidade. A confidencialidade da informação de saúde é uma obrigação; a organização do espaço e do atendimento faz parte do seu cumprimento.
- A videovigilância. Legítima para segurança, mas não pode captar a informação de saúde nos ecrãs nem o som das conversas ao balcão.
- A conservação. Durante quanto tempo se guardam fichas, históricos e registos de serviços? A resposta tem de existir e estar documentada.
O que uma farmácia deve ter organizado
- Um Encarregado de Proteção de Dados designado e comunicado
- Uma base legal clara para cada tratamento, com cuidado especial no uso comercial do cartão de cliente
- Contratos de subcontratação com todos os terceiros que acedem aos dados
- Regras de confidencialidade no atendimento
- Um procedimento de violação de dados com resposta em 72 horas
- Política de conservação
- Formação da equipa
O que fazemos
Analisamos os fluxos de dados da farmácia — dispensa, cartão de cliente, faturação, serviços, partilha com terceiros; verificamos a designação do Encarregado de Proteção de Dados e as bases legais; preparamos os contratos, políticas e procedimentos em falta; e entregamos um plano de adequação por ordem de prioridade.
Prestamos consultoria, auditoria e parecer; não exercemos a função de Encarregado de Proteção de Dados. Não prometemos imunidade a coimas — asseguramos que a farmácia deixa de ter lacunas evidentes e passa a poder demonstrar diligência.
Esta é uma das obrigações que se aplicam a quem trata dados de saúde.
Avaliação da sua farmácia
Tem Encarregado de Proteção de Dados designado? Usa o histórico do cartão de cliente para comunicações? Analisamos e dizemos-lhe o que ajustar.
O envio de pedido inicial não cria, por si só, relação advogado-cliente nem substitui consulta jurídica.
Artigo de Luís Correia Crespo, advogado inscrito na Ordem dos Advogados (cédula n.º 67709L), com escritório na Lourinhã.
Nota informativa
Esta página tem natureza informativa. Não substitui consulta jurídica, não dispensa análise documental e não representa promessa de resultado. O escritório presta consultoria e auditoria jurídica em proteção de dados, com emissão de parecer; não exerce a função de Encarregado de Proteção de Dados. A atuação concreta depende dos factos, da documentação, da verificação de conflitos de interesses e da aceitação de mandato.