RGPD para clínicas: o mínimo que tens de cumprir (explicado sem jargão jurídico)

A carta da AEPD

Chega uma notificação da Agência Espanhola de Proteção de Dados (AEPD) com o teu nome. Talvez um pedido de informação porque um paciente apresentou uma reclamação. Talvez o início de um processo sancionatório.

Não é assim tão raro. O setor da saúde aparece com regularidade nas decisões da AEPD, e muitas reclamações nascem de algo banal: um relatório enviado para o email errado ou um pedido de acesso ao processo clínico sem resposta. As coimas mais graves do RGPD chegam aos 20 milhões de euros ou a 4 % da faturação. A uma pequena clínica ninguém vai pedir isso, mas alguns milhares de euros e o golpe na reputação já fazem estragos.

A boa notícia: o básico não exige ser advogado. Exige conhecer 5 obrigações, aplicá-las com rigor e mantê-las atualizadas.

Aviso importante: isto é orientação geral, não aconselhamento jurídico. Para casos concretos, fala com um advogado especializado ou com o teu Encarregado da Proteção de Dados (EPD).

O RGPD em contexto: porque se aplica à tua clínica?

O que é o RGPD?

O Regulamento Geral sobre a Proteção de Dados (Regulamento UE 2016/679) aplica-se a qualquer organização que trate dados pessoais, de um hospital a um consultório com uma única profissional. Em Espanha é complementado pela Lei Orgânica 3/2018 (LOPDGDD) e, na saúde, pela Lei 41/2002 de autonomia do paciente, que regula o processo clínico.

Porque é que a saúde é um setor “especial”?

O RGPD classifica os dados de saúde como categoria especial (artigo 9.º). Isto significa:

• O seu tratamento é proibido, salvo em situações concretas (a prestação de cuidados de saúde é uma delas).
• Exige-se mais proteção.
• As infrações são mais graves.
• Pode haver obrigação de designar um EPD.

São dados de saúde os diagnósticos, o historial, os exames e, conforme a especialidade, até o facto de alguém ser teu paciente: num consultório de psicologia, a própria marcação já diz muito.

Os 5 requisitos mínimos do RGPD para clínicas

1. Registo das Atividades de Tratamento (RAT)

O que é? Um documento interno que descreve que dados tratas, para quê, onde estão, quem lhes acede e como os proteges. A isenção para empresas com menos de 250 trabalhadores não vale se tratares dados de saúde.

Conteúdo mínimo:

• Responsável: o teu nome ou o da sociedade, com os contactos.
• Finalidades: cuidados de saúde, faturação, marcações…
• Categorias de dados: identificação, contacto, saúde…
• Destinatários: seguradoras, laboratórios, outros especialistas…
• Transferências internacionais: se algum dado sai da UE, por exemplo através de um serviço na nuvem.
• Prazos de conservação.
• Resumo das medidas de segurança.

Numa clínica pequena, normalmente basta uma tabela com uma linha por tratamento.

2. Informação ao paciente (transparência)

Tens de explicar ao paciente, com clareza, como usas os seus dados. A AEPD recomenda fazê-lo por camadas: um resumo breve e um documento com o detalhe.

Onde a disponibilizar:

• Na primeira consulta (em papel ou por email).
• No teu site, na política de privacidade e junto a cada formulário.
• Na receção, com um aviso visível.

Conteúdo obrigatório:

• Quem é o responsável (e o EPD, se existir) e como o contactar.
• Para que usas os dados, com que fundamento jurídico, a quem os comunicas e durante quanto tempo os guardas.
• Os seus direitos e a possibilidade de apresentar reclamação à AEPD.

Modelos: o guia da AEPD sobre o dever de informar inclui modelos. Adapta-os ao que a tua clínica faz.

3. Consentimentos documentados, só onde se aplicam

Um dos erros mais comuns é pôr o paciente a assinar um “consentimento para o tratamento de dados” como condição para o atender. Para prestar cuidados de saúde, o fundamento jurídico é a própria prestação de cuidados e a obrigação legal de manter o processo clínico, não o consentimento.

Também não o confundas com o consentimento informado clínico da Lei 41/2002, que é uma obrigação diferente.

Quando precisas mesmo de consentimento RGPD:

• Comunicações comerciais ou newsletters.
• Fotografias, vídeos ou testemunhos do paciente.
• Comunicações a terceiros que nem a lei nem o próprio serviço exijam.
• Utilizações secundárias sem outro fundamento legal, como alguns inquéritos.

Requisitos do consentimento:

• Livre: sem fazer depender o atendimento da sua aceitação.
• Específico: para uma finalidade concreta.
• Informado: depois de explicar para que serve.
• Explícito: nunca uma caixa pré-assinalada.
• Documentado: tens de o conseguir demonstrar.

Forma: assinatura em papel ou caixa digital com registo de data e hora. O paciente pode retirá-lo quando quiser.

4. Medidas de segurança básicas

O que é? Proteger os dados contra acessos indevidos, perda ou destruição, com medidas adequadas a um risco que aqui é elevado.

Para dados digitais:

• Palavras-passe: longas, únicas e, sempre que possível, com autenticação de dois fatores.
• Acesso restrito: um utilizador por pessoa e só ao que precisa.
• Cifragem: discos cifrados (BitLocker, FileVault) e ligações HTTPS.
• Cópias de segurança: automáticas, cifradas, uma fora da clínica e testadas de vez em quando.
• Antivírus e firewall: ativos e atualizados.
• Atualizações: sistema, programas e site em dia.

Para dados em papel:

• Arquivos fechados à chave.
• Acesso apenas para pessoal autorizado.
• Destruição segura quando forem eliminados.

Com os teus fornecedores: o software de processos clínicos, o alojamento do site ou os lembretes por SMS lidam com dados de pacientes. Com cada um precisas de um contrato de subcontratação (artigo 28.º do RGPD) e de saber onde ficam realmente guardados os dados.

Em caso de violação de dados:

• Notificá-la à AEPD no prazo de 72 horas, salvo se for improvável que represente um risco.
• Comunicá-la aos pacientes se o risco for elevado.
• Documentar todas as violações, incluindo as não notificadas.

5. Procedimento para responder aos direitos do paciente

O que é? Saber quem responde, e como, quando um paciente exerce os seus direitos.

Direitos do paciente (artigos 15.º a 22.º do RGPD):

• Acesso: saber que dados tens e como os usas (no caso do processo clínico, aplica-se também a Lei 41/2002).
• Retificação: corrigir dados inexatos.
• Apagamento: eliminar dados, salvo obrigação legal de os conservar. Em Espanha, o processo clínico conserva-se pelo menos 5 anos após a alta de cada episódio, e algumas comunidades autónomas fixam prazos maiores.
• Oposição: opor-se a determinadas utilizações, como o marketing.
• Limitação: que os seus dados sejam conservados sem serem usados temporariamente.
• Portabilidade: quando se aplique, receber os seus dados num formato estruturado.

Procedimento mínimo:

1. Identificar o requerente.
2. Responder no prazo de 1 mês, prorrogável por mais 2 meses em casos complexos.
3. Responder gratuitamente, salvo pedidos manifestamente infundados ou excessivos.
4. Documentar o pedido e a resposta.

Modelo de resposta: tem-no preparado. Quando chega um pedido, o prazo já está a contar.

Precisas de um Encarregado da Proteção de Dados (EPD)?

O artigo 37.º do RGPD exige um EPD a quem trata em grande escala categorias especiais de dados. Como “grande escala” não tem um número definido, a LOPDGDD espanhola concretiza-o no seu artigo 34.º:

• Os centros de saúde legalmente obrigados a manter processos clínicos devem designá-lo.
• Ficam excluídos os profissionais que exercem a título individual.

Se trabalhas por conta própria, não és obrigado. Se a tua clínica é um centro com vários profissionais, provavelmente és, e a designação é comunicada à AEPD no prazo de 10 dias. Em casos duvidosos, pergunta a um especialista.

O EPD pode ser interno ou externo, e o seu papel é aconselhar, supervisionar o cumprimento e servir de ponto de contacto com os pacientes e a AEPD.

Checklist de cumprimento mínimo

Documentação

• Tens o RAT atualizado?
• Informas os pacientes e a informação está visível no teu site?
• Pedes consentimento só onde se aplica, e documenta-lo?
• Tens um procedimento para responder aos direitos?
• Tens contrato de subcontratação com cada fornecedor?

Segurança básica

• Cada pessoa tem o seu utilizador e palavra-passe?
• O software de processos clínicos exige início de sessão?
• Há cópias automáticas e já experimentaste restaurá-las?
• O papel está fechado à chave?
• Há uma forma segura de destruir papel sensível?

Procedimentos

• Como respondes se um paciente pedir o seu processo clínico?
• E se pedir para apagar os seus dados?
• O que farias perante uma fuga (um portátil roubado, um email enviado à pessoa errada)?

Formação

• Conheces os direitos dos pacientes e os respetivos prazos?
• A tua equipa sabe que não deve comentar casos na receção nem enviar relatórios pelo WhatsApp pessoal?

Implementação passo a passo (4 semanas)

Semana 1: inventário

• Faz a lista dos dados que tens: pacientes, agenda, faturação, pessoal.
• Anota onde estão (computadores, papel, nuvem, telemóveis) e quem lhes acede.
• Identifica que fornecedores intervêm.
• Começa o RAT.

Semana 2: documentação

• Completa o RAT.
• Adapta o modelo de informação da AEPD.
• Retira os consentimentos que sobram e acrescenta os que faltam.
• Prepara o procedimento de direitos.

Semana 3: segurança

• Muda as palavras-passe fracas e ativa a autenticação de dois fatores.
• Verifica as cópias e faz um teste de restauro.
• Retira os acessos de quem já não trabalha contigo.
• Organiza o arquivo e reúne os contratos com fornecedores.

Semana 4: arranque

• Entrega a informação aos novos pacientes.
• Atualiza o site e os seus formulários.
• Explica as mudanças à equipa.
• Agenda uma revisão a cada 6 ou 12 meses.

Recursos úteis

• AEPD: em aepd.es há guias gratuitos (dever de informar, violações de dados, saúde) e canais de atendimento.
• Ordens e associações profissionais: muitas oferecem guias ou aconselhamento básico aos seus membros.

Conclusão: cumprir é um hábito, não um evento

O RGPD não é um projeto que se termina: exige revisões periódicas. Mas o básico está ao alcance de qualquer profissional: organização, documentação e respeito pelos dados de quem confia em ti. Começa pela checklist. O básico bem feito vale mais do que o avançado feito pela metade.

Se queres saber como está a tua clínica, fazemos uma revisão de 30 minutos, sem compromisso, da parte técnica (site, formulários, fornecedores e cópias) e dizemos-te por onde começar. Conta-nos o teu caso.