# RGPD para clínicas: o mínimo que tens de cumprir (explicado sem jargão jurídico) Source: https://baqueiro.es/pt/seguridad-y-juridico/rgpd-clinicas-minimo-cumprir/ Published: 2025-04-09T07:41:00+00:00 Updated: 2025-04-09T07:41:00+00:00 Author: Baqueiro Desarrollo Web Language: pt-PT Usage: Attribution required: quoting allowed with a visible link back --- **TL;DR** - Os dados de saúde são uma categoria especial do RGPD: exige-se mais proteção e as infrações são mais graves. - 5 requisitos mínimos: registo de atividades, informação ao paciente, consentimentos onde se aplicam, segurança e um procedimento para responder aos direitos. - Para atender um paciente não precisas do consentimento RGPD; precisas para marketing ou testemunhos. - O básico põe-se em prática num prazo de 2 a 4 semanas. ## A carta da AEPD Chega uma notificação da Agência Espanhola de Proteção de Dados (AEPD) com o teu nome. Talvez um pedido de informação porque um paciente apresentou uma reclamação. Talvez o início de um processo sancionatório. Não é assim tão raro. O setor da saúde aparece com regularidade nas decisões da AEPD, e muitas reclamações nascem de algo banal: um relatório enviado para o email errado ou um pedido de acesso ao processo clínico sem resposta. As coimas mais graves do RGPD chegam aos 20 milhões de euros ou a 4 % da faturação. A uma pequena clínica ninguém vai pedir isso, mas alguns milhares de euros e o golpe na reputação já fazem estragos. A boa notícia: o básico não exige ser advogado. Exige conhecer 5 obrigações, aplicá-las com rigor e mantê-las atualizadas. > **Aviso importante:** isto é orientação geral, não aconselhamento jurídico. Para casos concretos, fala com um advogado especializado ou com o teu Encarregado da Proteção de Dados (EPD). ## O RGPD em contexto: porque se aplica à tua clínica? ### O que é o RGPD? O Regulamento Geral sobre a Proteção de Dados (Regulamento UE 2016/679) aplica-se a qualquer organização que trate dados pessoais, de um hospital a um consultório com uma única profissional. Em Espanha é complementado pela Lei Orgânica 3/2018 (LOPDGDD) e, na saúde, pela Lei 41/2002 de autonomia do paciente, que regula o processo clínico. ### Porque é que a saúde é um setor “especial”? O RGPD classifica os dados de saúde como **categoria especial** (artigo 9.º). Isto significa: - O seu tratamento é proibido, salvo em situações concretas (a prestação de cuidados de saúde é uma delas). - Exige-se mais proteção. - As infrações são mais graves. - Pode haver obrigação de designar um EPD. São dados de saúde os diagnósticos, o historial, os exames e, conforme a especialidade, até o facto de alguém ser teu paciente: num consultório de psicologia, a própria marcação já diz muito. ## Os 5 requisitos mínimos do RGPD para clínicas ### 1. Registo das Atividades de Tratamento (RAT) **O que é?** Um documento interno que descreve que dados tratas, para quê, onde estão, quem lhes acede e como os proteges. A isenção para empresas com menos de 250 trabalhadores não vale se tratares dados de saúde. **Conteúdo mínimo:** - Responsável: o teu nome ou o da sociedade, com os contactos. - Finalidades: cuidados de saúde, faturação, marcações… - Categorias de dados: identificação, contacto, saúde… - Destinatários: seguradoras, laboratórios, outros especialistas… - Transferências internacionais: se algum dado sai da UE, por exemplo através de um serviço na nuvem. - Prazos de conservação. - Resumo das medidas de segurança. Numa clínica pequena, normalmente basta uma tabela com uma linha por tratamento. ### 2. Informação ao paciente (transparência) Tens de explicar ao paciente, com clareza, como usas os seus dados. A AEPD recomenda fazê-lo por camadas: um resumo breve e um documento com o detalhe. **Onde a disponibilizar:** - Na primeira consulta (em papel ou por email). - No teu site, na política de privacidade e junto a cada formulário. - Na receção, com um aviso visível. **Conteúdo obrigatório:** - Quem é o responsável (e o EPD, se existir) e como o contactar. - Para que usas os dados, com que fundamento jurídico, a quem os comunicas e durante quanto tempo os guardas. - Os seus direitos e a possibilidade de apresentar reclamação à AEPD. **Modelos:** o guia da AEPD sobre o dever de informar inclui modelos. Adapta-os ao que a tua clínica faz. ### 3. Consentimentos documentados, só onde se aplicam Um dos erros mais comuns é pôr o paciente a assinar um “consentimento para o tratamento de dados” como condição para o atender. Para prestar cuidados de saúde, o fundamento jurídico é a própria prestação de cuidados e a obrigação legal de manter o processo clínico, não o consentimento. Também não o confundas com o consentimento informado clínico da Lei 41/2002, que é uma obrigação diferente. **Quando precisas mesmo de consentimento RGPD:** - Comunicações comerciais ou newsletters. - Fotografias, vídeos ou testemunhos do paciente. - Comunicações a terceiros que nem a lei nem o próprio serviço exijam. - Utilizações secundárias sem outro fundamento legal, como alguns inquéritos. **Requisitos do consentimento:** - Livre: sem fazer depender o atendimento da sua aceitação. - Específico: para uma finalidade concreta. - Informado: depois de explicar para que serve. - Explícito: nunca uma caixa pré-assinalada. - Documentado: tens de o conseguir demonstrar. **Forma:** assinatura em papel ou caixa digital com registo de data e hora. O paciente pode retirá-lo quando quiser. ### 4. Medidas de segurança básicas **O que é?** Proteger os dados contra acessos indevidos, perda ou destruição, com medidas adequadas a um risco que aqui é elevado. **Para dados digitais:** - **Palavras-passe:** longas, únicas e, sempre que possível, com autenticação de dois fatores. - **Acesso restrito:** um utilizador por pessoa e só ao que precisa. - **Cifragem:** discos cifrados (BitLocker, FileVault) e ligações HTTPS. - **Cópias de segurança:** automáticas, cifradas, uma fora da clínica e testadas de vez em quando. - **Antivírus e firewall:** ativos e atualizados. - **Atualizações:** sistema, programas e site em dia. **Para dados em papel:** - Arquivos fechados à chave. - Acesso apenas para pessoal autorizado. - Destruição segura quando forem eliminados. **Com os teus fornecedores:** o software de processos clínicos, o alojamento do site ou os lembretes por SMS lidam com dados de pacientes. Com cada um precisas de um contrato de subcontratação (artigo 28.º do RGPD) e de saber [onde ficam realmente guardados os dados](https://baqueiro.es/pt/seguridad-y-juridico/onde-ficam-dados-clientes-fornecedor-web/). **Em caso de violação de dados:** - Notificá-la à AEPD no prazo de 72 horas, salvo se for improvável que represente um risco. - Comunicá-la aos pacientes se o risco for elevado. - Documentar todas as violações, incluindo as não notificadas. ### 5. Procedimento para responder aos direitos do paciente **O que é?** Saber quem responde, e como, quando um paciente exerce os seus direitos. **Direitos do paciente (artigos 15.º a 22.º do RGPD):** - **Acesso:** saber que dados tens e como os usas (no caso do processo clínico, aplica-se também a Lei 41/2002). - **Retificação:** corrigir dados inexatos. - **Apagamento:** eliminar dados, salvo obrigação legal de os conservar. Em Espanha, o processo clínico conserva-se pelo menos 5 anos após a alta de cada episódio, e algumas comunidades autónomas fixam prazos maiores. - **Oposição:** opor-se a determinadas utilizações, como o marketing. - **Limitação:** que os seus dados sejam conservados sem serem usados temporariamente. - **Portabilidade:** quando se aplique, receber os seus dados num formato estruturado. **Procedimento mínimo:** 1. Identificar o requerente. 2. Responder no prazo de 1 mês, prorrogável por mais 2 meses em casos complexos. 3. Responder gratuitamente, salvo pedidos manifestamente infundados ou excessivos. 4. Documentar o pedido e a resposta. **Modelo de resposta:** tem-no preparado. Quando chega um pedido, o prazo já está a contar. ## Precisas de um Encarregado da Proteção de Dados (EPD)? O artigo 37.º do RGPD exige um EPD a quem trata em grande escala categorias especiais de dados. Como “grande escala” não tem um número definido, a LOPDGDD espanhola concretiza-o no seu artigo 34.º: - Os **centros de saúde** legalmente obrigados a manter processos clínicos devem designá-lo. - Ficam excluídos os **profissionais que exercem a título individual**. Se trabalhas por conta própria, não és obrigado. Se a tua clínica é um centro com vários profissionais, provavelmente és, e a designação é comunicada à AEPD no prazo de 10 dias. Em casos duvidosos, pergunta a um especialista. O EPD pode ser interno ou externo, e o seu papel é aconselhar, supervisionar o cumprimento e servir de ponto de contacto com os pacientes e a AEPD. ## Checklist de cumprimento mínimo ### Documentação - Tens o RAT atualizado? - Informas os pacientes e a informação está visível no teu site? - Pedes consentimento só onde se aplica, e documenta-lo? - Tens um procedimento para responder aos direitos? - Tens contrato de subcontratação com cada fornecedor? ### Segurança básica - Cada pessoa tem o seu utilizador e palavra-passe? - O software de processos clínicos exige início de sessão? - Há cópias automáticas e já experimentaste restaurá-las? - O papel está fechado à chave? - Há uma forma segura de destruir papel sensível? ### Procedimentos - Como respondes se um paciente pedir o seu processo clínico? - E se pedir para apagar os seus dados? - O que farias perante uma fuga (um portátil roubado, um email enviado à pessoa errada)? ### Formação - Conheces os direitos dos pacientes e os respetivos prazos? - A tua equipa sabe que não deve comentar casos na receção nem enviar relatórios pelo WhatsApp pessoal? ## Implementação passo a passo (4 semanas) ### Semana 1: inventário - Faz a lista dos dados que tens: pacientes, agenda, faturação, pessoal. - Anota onde estão (computadores, papel, nuvem, telemóveis) e quem lhes acede. - Identifica que fornecedores intervêm. - Começa o RAT. ### Semana 2: documentação - Completa o RAT. - Adapta o modelo de informação da AEPD. - Retira os consentimentos que sobram e acrescenta os que faltam. - Prepara o procedimento de direitos. ### Semana 3: segurança - Muda as palavras-passe fracas e ativa a autenticação de dois fatores. - Verifica as cópias e faz um teste de restauro. - Retira os acessos de quem já não trabalha contigo. - Organiza o arquivo e reúne os contratos com fornecedores. ### Semana 4: arranque - Entrega a informação aos novos pacientes. - Atualiza o site e os seus formulários. - Explica as mudanças à equipa. - Agenda uma revisão a cada 6 ou 12 meses. ## Recursos úteis - **AEPD:** em aepd.es há guias gratuitos (dever de informar, violações de dados, saúde) e canais de atendimento. - **Ordens e associações profissionais:** muitas oferecem guias ou aconselhamento básico aos seus membros. ## Conclusão: cumprir é um hábito, não um evento O RGPD não é um projeto que se termina: exige revisões periódicas. Mas o básico está ao alcance de qualquer profissional: organização, documentação e respeito pelos dados de quem confia em ti. Começa pela checklist. O básico bem feito vale mais do que o avançado feito pela metade. Se queres saber como está a tua clínica, fazemos uma revisão de 30 minutos, sem compromisso, da parte técnica (site, formulários, fornecedores e cópias) e dizemos-te por onde começar. [Conta-nos o teu caso](https://baqueiro.es/pt/contacto/).