Violação de dados numa clínica: o que fazer nas primeiras 72 horas
Um email enviado ao destinatário errado, um acesso indevido ao software clínico ou o furto de um equipamento com fichas de pacientes podem constituir violação de dados pessoais. As 72 horas a que se refere o título são o prazo de notificação à autoridade portuguesa de proteção de dados (CNPD) quando essa notificação seja devida — não um prazo aplicável a todo e qualquer incidente. Nas primeiras horas, a ordem das decisões importa tanto quanto a decisão em si.
Este texto descreve, em termos gerais, uma sequência prudente de atuação. Não substitui consulta jurídica nem um plano interno adaptado à clínica. O enquadramento da área de prática está em proteção de dados (RGPD) para clínicas dentárias.
O que é uma violação de dados pessoais
Em termos gerais, há violação quando um incidente de segurança provoca, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais. Numa clínica, isso pode abranger fichas clínicas, radiografias, contactos, faturação ou comunicações com pacientes.
Nem todo o incidente técnico é automaticamente uma violação com dever de notificação. A qualificação e as consequências dependem dos factos, do tipo de dados, das medidas de proteção existentes e do risco para os titulares.
Primeiro: conter e preservar
Antes de comunicar externamente, a prioridade costuma ser conter o incidente: revogar acessos, isolar sistemas afetados, recuperar credenciais e impedir a continuação da exposição, sempre que possível sem destruir prova útil.
Em paralelo, deve preservar-se a cronologia: quando foi detetado, quem soube, que sistemas estão envolvidos e que categorias de dados podem ter sido afetadas. Notas improvisadas e incompletas dificultam a avaliação posterior e a demonstração de diligência.
Depois: avaliar o risco
A avaliação deve considerar a natureza dos dados (incluindo dados de saúde), o volume aproximado de titulares, a probabilidade de utilização indevida, a existência de encriptação ou outras medidas e o impacto potencial sobre direitos e liberdades.
Esta avaliação sustenta duas decisões distintas: se há dever de notificar a autoridade de controlo e se há dever de comunicar aos titulares. São juízos jurídicos e factuais; não devem basear-se apenas na urgência mediática do momento.
O prazo das 72 horas — o que significa na prática
O RGPD prevê, em certos casos, a notificação à autoridade de controlo sem demora injustificada e, quando aplicável, no prazo de 72 horas após o responsável ter tomado conhecimento da violação. Se a notificação não for feita nesse prazo, devem indicar-se os motivos do atraso, nos termos aplicáveis.
“Tomar conhecimento” não é o mesmo que ter já todas as respostas. Na prática, a clínica deve agir com diligência para confirmar o incidente e reunir informação essencial, sem adiar artificialmente o início da contagem. Quando a notificação for devida, pode ser atualizada à medida que novos elementos sejam conhecidos.
Nem todos os incidentes obrigam a notificação. Se for pouco provável que a violação implique um risco para os direitos e liberdades das pessoas singulares, a notificação à autoridade pode não ser exigida — mas a conclusão deve ficar documentada.
Comunicação aos pacientes e fornecedores
A comunicação aos titulares pode ser necessária quando exista elevado risco para os seus direitos e liberdades. O conteúdo e o momento dessa comunicação devem ser ponderados: informação clara sobre a natureza da violação, contactos úteis e, quando possível, recomendações para mitigar efeitos adversos.
Se o incidente envolver um subcontratante (por exemplo, o fornecedor do software clínico), a clínica deve articular-se com esse fornecedor segundo o contrato e as obrigações do RGPD, sem perder o controlo da cronologia e das decisões do responsável pelo tratamento.
Documentar e prevenir a repetição
Mesmo quando não há notificação, o registo interno do incidente — factos, avaliação, decisão e medidas — é elemento central da responsabilidade. Depois da contenção, importa corrigir causas: acessos, formação, contratos, cópias de segurança ou canais de envio de informação clínica.
Muitos erros que precedem incidentes estão descritos em os erros de RGPD mais comuns numa clínica dentária. A distinção entre apoio jurídico e função de Encarregado está em a sua clínica dentária precisa de um Encarregado de Proteção de Dados?.
Perguntas frequentes
O RGPD prevê, em certos casos, a notificação à autoridade portuguesa de proteção de dados (CNPD) sem demora injustificada e, quando aplicável, no prazo de 72 horas após o responsável ter tomado conhecimento da violação. Nem todo o incidente obriga a notificação; a avaliação do risco é decisiva.
Em termos gerais, um incidente de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.
A comunicação aos titulares pode ser obrigatória quando a violação seja suscetível de implicar um elevado risco para os seus direitos e liberdades. A decisão depende da avaliação do incidente; não deve ser automática nem precipitada sem critérios.
Convém registar factos, cronologia, dados afetados, medidas de contenção, avaliação de risco e decisão sobre notificação. A documentação ajuda a demonstrar responsabilidade, mesmo quando se conclui que a notificação não é devida.
Para conhecer a área de prática de consultoria e auditoria RGPD para clínicas dentárias, consulte a página dedicada ou os contactos do escritório.
Nota informativa
A informação nesta página é geral e informativa. Não substitui consulta jurídica nem um plano de resposta a incidentes adaptado à clínica. O escritório presta consultoria e auditoria jurídica em proteção de dados, com emissão de parecer; não exerce a função de Encarregado de Proteção de Dados.