A sua farmácia é obrigada a ter Encarregado de Proteção de Dados. E o resto?
Comecemos pela afirmação que apanha a maioria das farmácias desprevenida: por tratarem dados de saúde de forma regular e em grande escala, as farmácias estão obrigadas a designar um Encarregado de Proteção de Dados. Não é uma recomendação — é uma obrigação legal, e o seu incumprimento é, em si mesmo, uma infração.
Se a sua farmácia não tem essa figura designada, é a primeira lacuna a corrigir. Mas raramente é a única — porque uma farmácia trata mais dados sensíveis, e por mais vias, do que a sua rotina deixa transparecer.
Uma farmácia trata dados de saúde o dia inteiro
No quotidiano, a farmácia trata dados de saúde em várias frentes:
- Dispensar um medicamento sujeito a receita — que revela uma condição clínica
- Registar o histórico de compras associado a um cartão de cliente
- Gerir a comparticipação e a faturação ao SNS e aos subsistemas
- Prestar serviços: medição de tensão, glicémia, colesterol, vacinas, nutrição
- Preparar medicação individualizada
- Manter fichas de utentes para acompanhamento
Em cada momento, a farmácia liga uma pessoa identificável a uma informação sobre a sua saúde. É o tipo de dado com a proteção mais elevada que a lei prevê.
O ponto sensível: o cartão de cliente
O cartão de fidelização é uma ferramenta comercial legítima. Mas numa farmácia levanta uma questão que num supermercado não existe: ao registar o que cada cliente compra, a farmácia está a construir um perfil de saúde.
Saber que um cliente adquire regularmente determinada medicação é saber algo sobre a sua condição clínica. Usar essa informação para fins comerciais exige uma base legal sólida e transparência total. É uma das áreas onde a linha entre o marketing legítimo e o tratamento indevido de dados de saúde é mais ténue.
As outras exposições típicas
- A partilha com terceiros. Software, faturação, contabilidade, informática, plataformas de comparticipação — cada um exige um contrato de subcontratação.
- O balcão sem privacidade. A confidencialidade da informação de saúde é uma obrigação; a organização do espaço e do atendimento faz parte do seu cumprimento.
- A videovigilância. Legítima para segurança, mas não pode captar a informação de saúde nos ecrãs nem o som das conversas ao balcão.
- A conservação. Durante quanto tempo se guardam fichas, históricos e registos de serviços? A resposta tem de existir e estar documentada.
O que uma farmácia deve ter organizado
- Um Encarregado de Proteção de Dados designado e comunicado
- Uma base legal clara para cada tratamento, com cuidado especial no uso comercial do cartão de cliente
- Contratos de subcontratação com todos os terceiros que acedem aos dados
- Regras de confidencialidade no atendimento
- Um procedimento de violação de dados com resposta em 72 horas
- Política de conservação
- Formação da equipa
O que fazemos
Analisamos os fluxos de dados da farmácia — dispensa, cartão de cliente, faturação, serviços, partilha com terceiros; verificamos a designação do Encarregado de Proteção de Dados e as bases legais; preparamos os contratos, políticas e procedimentos em falta; e entregamos um plano de adequação por ordem de prioridade.
Prestamos consultoria, auditoria e parecer; não exercemos a função de Encarregado de Proteção de Dados. Não prometemos imunidade a coimas — asseguramos que a farmácia deixa de ter lacunas evidentes e passa a poder demonstrar diligência.
Esta é uma das obrigações que se aplicam a quem trata dados de saúde.
Avaliação da sua farmácia
Tem Encarregado de Proteção de Dados designado? Usa o histórico do cartão de cliente para comunicações? Analisamos e dizemos-lhe o que ajustar.
O envio de pedido inicial não cria, por si só, relação advogado-cliente nem substitui consulta jurídica.
Nota informativa
Esta página tem natureza informativa. Não substitui consulta jurídica, não dispensa análise documental e não representa promessa de resultado. O escritório presta consultoria e auditoria jurídica em proteção de dados, com emissão de parecer; não exerce a função de Encarregado de Proteção de Dados. A atuação concreta depende dos factos, da documentação, da verificação de conflitos de interesses e da aceitação de mandato.