Direitos do RGPD para corrigir ou eliminar registos clínicos

Os registos clínicos situam-se numa interseção de obrigações legais concorrentes. O Regulamento Geral sobre a Proteção de Dados (RGPD) confere aos doentes direitos significativos sobre os seus dados pessoais, incluindo o direito de corrigir informações inexatas e, em determinadas circunstâncias, de as eliminar. No entanto, a documentação clínica existe por razões que vão muito além da gestão de dados: sustenta a segurança do doente, a responsabilidade profissional e a defesa legal. Quando um doente apresenta um pedido para corrigir ou remover uma entrada do seu registo clínico, as regras aplicáveis não são simples. As consequências de uma resposta errada em qualquer direção podem ser graves. Este artigo explica o que a conformidade com o RGPD na área da saúde efetivamente exige nestas situações, que isenções se aplicam e o que os administradores clínicos precisam de fazer na prática.

Que dois direitos do RGPD desencadeiam pedidos de correção e eliminação

Dois artigos do RGPD são diretamente relevantes quando um doente contesta o conteúdo do seu registo clínico.

O Artigo 16 prevê o direito de retificação. Confere ao titular dos dados o direito de solicitar que um responsável pelo tratamento corrija dados pessoais inexatos e que complete dados incompletos, inclusive através de uma declaração complementar. A retificação pode ser efetuada alterando os dados diretamente, através de eliminação parcial ou total, ou adicionando informações para completar um registo incompleto.

O Artigo 17 prevê o direito ao apagamento, por vezes designado "direito a ser esquecido". Exige que os responsáveis pelo tratamento eliminem dados pessoais sem demora injustificada em circunstâncias específicas. Por exemplo, quando os dados já não são necessários para a finalidade para a qual foram recolhidos, ou quando o titular dos dados retira o consentimento e não se aplica nenhuma outra base jurídica.

Nenhum dos direitos é absoluto. Num contexto de saúde, ambos os direitos estão sujeitos a limitações significativas e bem definidas. Como afirma diretamente a Comissão Irlandesa para a Proteção de Dados: estes direitos "raramente se aplicam a dados pessoais como pareceres médicos, diagnósticos e notas de tratamento clínico". Compreender porquê exige analisar as isenções em detalhe.

Quando o direito ao apagamento do RGPD não se aplica aos registos clínicos

O Artigo 17 inclui exceções explícitas que são diretamente aplicáveis à área da saúde. Nos termos do Artigo 17.º, n.º 3, o direito ao apagamento não se aplica quando o tratamento é necessário:

• Para o cumprimento de uma obrigação legal ao abrigo do direito da UE ou de um Estado-Membro

• Por razões de interesse público no domínio da saúde pública ao abrigo do artigo 9.º, n.º 2, alínea i)

• Para fins de arquivo de interesse público, de investigação científica ou histórica ou para fins estatísticos

• Para efeitos de declaração, exercício ou defesa de um direito num processo judicial

Na prática, a exceção mais frequentemente aplicável em contextos clínicos é a obrigação legal de conservar registos. As organizações de saúde em todos os Estados-Membros da UE estão sujeitas a prazos mínimos de conservação previstos na lei. Em Inglaterra, por exemplo, o Código de Práticas de Gestão de Registos do NHS England exige que os registos de doentes adultos sejam conservados durante um mínimo de oito anos após a última entrada. Os registos de Médicos de Clínica Geral (GP) devem ser mantidos durante dez anos após a morte do doente, de acordo com as orientações atuais do NHS, embora os prazos de conservação possam variar consoante o tipo de registo. Existem obrigações equivalentes em todos os Estados-Membros da UE, embora os prazos específicos variem consoante a jurisdição.

Quando se aplica uma obrigação legal de conservação, um pedido de apagamento pode ser legalmente recusado. A organização não é obrigada a eliminar o registo simplesmente porque o doente o solicitou. A obrigação consiste em responder ao pedido, explicar a isenção aplicável e informar o doente do seu direito de apresentar queixa à autoridade de controlo competente.

O contexto regulamentar também é relevante: os direitos de apagamento do RGPD estão sob escrutínio regulamentar ativo, com sanções por incumprimento que podem atingir até 20 milhões de euros ou 4% do volume de negócios anual global ao abrigo do artigo 83.º, n.º 5. Isto demonstra que os direitos de apagamento na área da saúde estão sob vigilância constante. Tanto as recusas injustificadas como as eliminações indevidas acarretam riscos reais.

O que "retificação" realmente significa num contexto clínico

A retificação ao abrigo do Artigo 16 aplica-se a dados factualmente inexatos. Uma data de nascimento incorreta, um nome mal escrito ou uma morada registada por engano são exemplos claros de situações a corrigir. Estes são erros objetivos. Corrigi-los é simultaneamente obrigatório e simples.

A situação torna-se mais complexa quando um doente contesta um juízo clínico, como um diagnóstico, uma avaliação documentada ou a opinião registada de um clínico sobre a sua apresentação ou comportamento. Estas entradas não são automaticamente "inexatas" ao abrigo do RGPD só porque o doente discorda delas.

A orientação da BMA sobre acesso a registos de saúde é clara neste ponto: "os doentes podem solicitar a correção de informações que consideram inexatas, mas o profissional de saúde não é obrigado a aceitar a opinião do doente. Deve garantir que as notas indicam a opinião do doente". O juízo profissional documentado de um clínico reflete a sua avaliação no momento em que foi feita. O simples desacordo do doente não torna o registo factualmente errado para efeitos do RGPD.

Quando um doente considera que um registo está incompleto, e não inexato, a Comissão Irlandesa para a Proteção de Dados confirma que o doente pode solicitar a adição de uma declaração complementar para completar o registo. Este é um direito importante, mas distinto do direito de ter a entrada original removida ou substituída.

A obrigação de registo de auditoria: o que deve ser registado quando uma entrada é alterada

Quando uma entrada de registo clínico é corrigida ou anotada, o registo de auditoria não é opcional. É um requisito essencial tanto ao abrigo do RGPD como das normas profissionais de documentação.

Um registo de auditoria adequado para uma alteração deve incluir:

• A entrada original, que deve permanecer visível e inalterada

• A data e hora de qualquer alteração

• A identidade da pessoa que efetuou a alteração

• O motivo da alteração, claramente documentado

A orientação da BMA afirma que "as alterações aos registos podem ser feitas desde que seja indicado o motivo da alteração, para que fique claro que os registos não foram adulterados". A orientação também confirma que "a informação pode ser removida da visualização, mas o registo de auditoria manterá sempre o registo completo".

Do ponto de vista técnico, os registos de auditoria devem ser invioláveis para servirem como prova credível durante investigações regulamentares ou processos judiciais. Cada entrada de registo deve captar a identidade do utilizador, o carimbo temporal e a ação executada. Substituir ou eliminar a entrada original, em vez de a anotar, cria tanto um risco de conformidade com o RGPD como um risco de responsabilidade profissional. Se um registo tiver sido alterado sem um registo de auditoria visível, pode ser impossível demonstrar que a alteração foi legítima e não uma tentativa de ocultar informação.

Como tratar um pedido de retificação sem alterar a entrada original

A abordagem clínica padrão para um pedido de retificação válido consiste em adicionar um adendo ou anotação datada junto à entrada original, em vez de a editar ou remover. Este método cumpre o princípio da exatidão do RGPD, preservando simultaneamente a integridade do registo original.

Uma anotação devidamente elaborada deve incluir:

• A data em que a anotação foi adicionada

• O nome e função da pessoa que a adicionou

• Uma declaração clara do que está a ser corrigido ou adicionado, e porquê

• Quando relevante, uma nota de que a alteração resulta de um pedido do doente ao abrigo do Artigo 16 do RGPD

Quando o doente contestou um juízo clínico e não um erro factual, a anotação deve registar a opinião do doente sem implicar que a entrada clínica original estava errada. Por exemplo: "O doente solicitou que fosse registado que contesta a avaliação acima. A sua opinião foi registada em conformidade com o seu direito de adicionar uma declaração complementar ao abrigo do Artigo 16 do RGPD".

Esta abordagem garante que o registo permanece completo, a entrada original é preservada para fins clínicos e legais, e o direito do doente de ter a sua perspetiva documentada é respeitado. Também cria um rasto documental claro para qualquer revisão regulamentar posterior.

O papel do Encarregado da Proteção de Dados e do Caldicott Guardian

Nem todos os pedidos de retificação ou apagamento precisam de ser escalados, mas saber quando envolver funções especializadas é importante.

Ao abrigo do RGPD, as organizações de saúde que tratam dados de categorias especiais (o que inclui todos os dados de saúde) são obrigadas a designar um Encarregado da Proteção de Dados (DPO). O DPO deve ser envolvido em qualquer situação em que a resposta a um pedido de titular de dados seja juridicamente incerta, quando está a ser emitida uma recusa, ou quando o pedido envolve uma potencial violação do princípio da exatidão que possa afetar a segurança do doente.

Nos contextos do Serviço Nacional de Saúde (NHS) e da saúde do Reino Unido, o Caldicott Guardian desempenha um papel relacionado, mas distinto: é responsável por proteger a confidencialidade da informação dos doentes e apoiar a partilha adequada de informação. Quando um pedido de retificação ou eliminação levanta questões sobre a adequação clínica de divulgar ou alterar o conteúdo de registos, o Caldicott Guardian deve ser consultado juntamente com o DPO.

Para pedidos de rotina (como corrigir um erro factual óbvio, como uma morada errada), um gestor de consultório ou um administrador clínico sénior pode normalmente tratar a resposta diretamente, desde que a alteração siga o procedimento correto de registo de auditoria. Para qualquer situação que envolva uma entrada clínica contestada, uma recusa de eliminação ou um pedido que envolva diagnósticos sensíveis ou informação de salvaguarda, o escalonamento para o DPO é o passo apropriado.

Responder ao doente: prazos, formato e o que dizer quando se recusa

O RGPD estabelece um prazo firme para responder a pedidos de titulares de dados. A resposta deve ser fornecida no prazo de um mês após a receção do pedido. Em casos complexos, este período pode ser prorrogado por mais dois meses, mas apenas se o titular dos dados for notificado da prorrogação e dos respetivos motivos dentro do prazo original de um mês. Sem essa notificação, o prazo de um mês mantém-se.

O silêncio ou a demora constitui, por si só, uma falha de conformidade. Não responder dentro do prazo é considerado uma recusa injustificada. O doente pode apresentar queixa diretamente à autoridade de controlo competente.

Ao recusar um pedido (seja de apagamento ou de retificação), a resposta deve:

• Ser redigida em linguagem simples e acessível (sem jargão jurídico)

• Identificar claramente a isenção específica ou base jurídica para a recusa

• Informar o doente do seu direito de apresentar queixa à autoridade de controlo nacional (por exemplo, o Information Commissioner's Office (ICO) no Reino Unido, a Data Protection Commission (DPC) na Irlanda ou a Commission Nationale de l'Informatique et des Libertés (CNIL) em França)

• Informar o doente do seu direito de recorrer judicialmente

Antes de agir sobre qualquer pedido, o responsável pelo tratamento deve confirmar que o requerente é o próprio titular dos dados, ou alguém com autoridade para agir em seu nome. Este passo de verificação é especialmente importante na área da saúde, onde os registos contêm informação altamente sensível.

Como as obrigações de correção e eliminação diferem entre os Estados-Membros da UE

O RGPD estabelece a linha de base, mas permite explicitamente que os Estados-Membros introduzam condições adicionais para o tratamento de dados de saúde. O artigo 9.º, n.º 4, permite que os Estados-Membros "mantenham ou introduzam condições suplementares, incluindo limitações, no que diz respeito ao tratamento de dados genéticos, dados biométricos ou dados relativos à saúde".

Isto significa que os administradores clínicos que trabalham em diferentes jurisdições da UE podem encontrar variações em:

• Prazos de conservação: A legislação nacional determina os prazos mínimos de conservação, e estes diferem significativamente. Alemanha, França, Irlanda e Países Baixos têm cada um os seus próprios quadros legais que determinam quanto tempo diferentes categorias de registo clínico devem ser conservadas.

• Procedimentos de alteração: Alguns Estados-Membros têm requisitos processuais específicos sobre como as alterações aos registos de saúde devem ser documentadas ou notificadas ao doente.

• Extensão dos direitos dos doentes: Certas jurisdições alargaram os direitos dos doentes para além da linha de base do RGPD no contexto dos registos de saúde.

O quadro do RGPD descrito neste artigo aplica-se em toda a UE, mas não substitui aconselhamento jurídico local. Os administradores clínicos que operam em qualquer Estado-Membro devem verificar a orientação nacional aplicável (normalmente emitida pela autoridade nacional de proteção de dados ou pelo ministério da saúde competente) antes de responder a pedidos que possam envolver legislação local.

Um quadro de decisão prático para administradores clínicos

Quando chega um pedido de titular de dados sobre um registo clínico, o seguinte percurso de decisão fornece um ponto de partida estruturado. Não substitui aconselhamento jurídico em casos complexos, mas cobre a maioria dos cenários que um administrador clínico enfrentará.

Passo 1: Identificar o tipo de pedido
O doente está a solicitar a correção de um erro factual (Artigo 16), a conclusão de um registo incompleto (Artigo 16) ou a eliminação do registo (Artigo 17)? As regras aplicáveis diferem.

Passo 2: Verificar a identidade do requerente
Confirme que o pedido provém do titular dos dados ou de um representante autorizado antes de tomar qualquer ação ou partilhar qualquer informação.

Passo 3: Verificar as isenções aplicáveis
Para pedidos de apagamento: aplica-se uma obrigação legal de conservação? Os dados são necessários para fins de saúde pública, ações judiciais ou arquivo? Se sim, o pedido pode ser recusado. Para pedidos de retificação: os dados contestados são factualmente inexatos ou trata-se de um juízo clínico com o qual o doente discorda? Se for este último caso, a entrada original não precisa de ser alterada, mas a opinião do doente deve ser registada como declaração complementar.

Passo 4: Determinar a ação apropriada

• Erro factual: corrigir a entrada usando uma alteração com registo de auditoria

• Registo incompleto: adicionar uma declaração complementar datada

• Juízo clínico contestado: adicionar uma anotação registando a opinião do doente, sem alterar a entrada original

• Pedido de apagamento sujeito a uma isenção de conservação: preparar uma resposta de recusa citando a base jurídica aplicável

Passo 5: Documentar a decisão
Registe que pedido foi recebido, que decisão foi tomada, que isenção ou base jurídica foi aplicada e quem esteve envolvido na tomada da decisão. Esta documentação é, por si só, parte da obrigação de responsabilização da organização ao abrigo do RGPD.

Passo 6: Responder dentro do prazo
Envie uma resposta por escrito no prazo de um mês. Se o pedido for recusado, inclua a base jurídica específica, o direito do doente de apresentar queixa à autoridade de controlo e o seu direito a recurso judicial. Use linguagem simples em toda a comunicação.

Passo 7: Escalar se contestado ou incerto
Se o doente contestar a recusa, se o pedido envolver categorias sensíveis de informação como salvaguarda ou registos de saúde mental, ou se houver incerteza jurídica genuína sobre a isenção aplicável, escale para o DPO. Nos contextos do NHS, consulte o Caldicott Guardian quando a confidencialidade do doente estiver em causa.

Uma limitação importante a reconhecer: o quadro acima reflete a linha de base do RGPD e as normas gerais de documentação clínica. Não contempla todas as variações nacionais. Não aborda a complexidade técnica da eliminação em sistemas clínicos modernos, especialmente quando os registos são replicados em cópias de segurança, arquivos e responsáveis pelo tratamento terceiros. Implementar a eliminação verificável de dados em conjuntos de dados clínicos encriptados continua a ser tecnicamente desafiante. As obrigações de apagamento estendem-se a cópias de segurança e cópias arquivadas detidas por responsáveis pelo tratamento. Quando uma eliminação é legalmente exigida, as equipas de tecnologia da informação e de governança da informação terão de ser envolvidas para garantir que é executada completamente.

Perguntas frequentes

▶ Os doentes têm o direito de eliminar os seus registos clínicos ao abrigo do RGPD?

Não, na maioria das situações. O Artigo 17 do Regulamento Geral sobre a Proteção de Dados concede um direito ao apagamento, mas este direito não se aplica quando existe uma obrigação legal de conservar registos. As organizações de saúde em todos os Estados-Membros da UE estão sujeitas a prazos mínimos de conservação previstos na lei. Em Inglaterra, por exemplo, o NHS England exige que os registos de doentes adultos sejam mantidos durante um mínimo de oito anos após a última entrada. Quando tal obrigação se aplica, um pedido de apagamento pode ser legalmente recusado, desde que a organização responda por escrito, explique a isenção e informe o doente do seu direito de apresentar queixa à autoridade de controlo competente.

▶ Pode um doente solicitar a correção de um diagnóstico clínico com o qual discorda?

Um doente pode solicitar a correção, mas o clínico não é obrigado a alterar um juízo profissional documentado apenas porque o doente o contesta. O direito de retificação ao abrigo do Artigo 16 aplica-se a dados factualmente inexatos, como uma data de nascimento errada ou um nome mal escrito. Um diagnóstico ou avaliação clínica reflete a opinião profissional do clínico no momento em que foi registada. Discordar dessa opinião não torna a entrada inexata para efeitos do RGPD. Quando um doente contesta um juízo clínico, a resposta adequada é adicionar uma declaração complementar registando a opinião do doente, sem alterar a entrada original.

▶ O que deve incluir um registo de auditoria quando um registo clínico é alterado?

Quando uma entrada de registo clínico é corrigida ou anotada, o registo de auditoria deve incluir quatro elementos: a entrada original (que deve permanecer visível e inalterada), a data e hora da alteração, a identidade da pessoa que efetuou a alteração e o motivo da alteração. Substituir ou eliminar a entrada original, em vez de a anotar, cria tanto um risco de conformidade com o RGPD como um risco de responsabilidade profissional. Se um registo tiver sido alterado sem um registo de auditoria visível, pode ser impossível demonstrar que a alteração foi legítima.

▶ Como deve um administrador clínico tratar um pedido de retificação sem alterar a entrada original?

A abordagem padrão consiste em adicionar um adendo ou anotação datada junto à entrada original. Uma anotação devidamente elaborada deve incluir a data em que foi adicionada, o nome e função da pessoa que a adicionou, uma declaração clara do que está a ser corrigido ou adicionado e porquê e, quando relevante, uma nota de que a alteração resulta de um pedido do doente ao abrigo do Artigo 16 do RGPD. Quando um doente contestou um juízo clínico em vez de um erro factual, a anotação deve registar a opinião do doente sem implicar que a entrada original estava errada.

▶ Qual é o prazo para responder ao pedido de correção ou eliminação de um doente?

O RGPD exige uma resposta no prazo de um mês após a receção do pedido. Em casos complexos, este período pode ser prorrogado por mais dois meses, mas apenas se o doente for notificado da prorrogação e dos respetivos motivos dentro do prazo original de um mês. O silêncio ou a demora constitui, por si só, uma falha de conformidade. Não responder dentro do prazo é considerado uma recusa injustificada. O doente pode apresentar queixa diretamente à autoridade de controlo competente.

▶ O que deve incluir uma carta de recusa ao declinar o pedido de apagamento ou retificação de um doente?

Uma resposta de recusa deve ser escrita em linguagem simples e acessível. Deve identificar claramente a isenção específica ou base jurídica para a recusa, informar o doente do seu direito de apresentar queixa à autoridade de controlo nacional (como o Information Commissioner's Office no Reino Unido, a Data Protection Commission na Irlanda ou a Commission Nationale de l'Informatique et des Libertés em França) e informar o doente do seu direito de recorrer judicialmente. O jargão jurídico não é suficiente. O doente deve ser capaz de compreender por que razão o pedido foi recusado e o que pode fazer a seguir.

▶ Quando deve um Encarregado da Proteção de Dados ser envolvido no tratamento de um pedido de registo clínico?

As organizações de saúde que tratam dados de saúde são obrigadas, ao abrigo do RGPD, a designar um Encarregado da Proteção de Dados. O Encarregado da Proteção de Dados deve ser envolvido quando a resposta a um pedido é juridicamente incerta, quando está a ser emitida uma recusa ou quando o pedido envolve uma potencial violação do princípio da exatidão que possa afetar a segurança do doente. Pedidos de rotina (como corrigir um erro factual óbvio, como uma morada errada) podem normalmente ser tratados por um gestor de consultório ou administrador clínico sénior, desde que a alteração siga o procedimento correto de registo de auditoria. Qualquer situação que envolva uma entrada clínica contestada, uma recusa de eliminação ou informação sensível como salvaguarda ou registos de saúde mental deve ser escalada para o Encarregado da Proteção de Dados.

▶ As regras de correção e eliminação do RGPD diferem entre os Estados-Membros da UE?

O RGPD estabelece a linha de base, mas permite explicitamente que os Estados-Membros introduzam condições adicionais para o tratamento de dados de saúde ao abrigo do artigo 9.º, n.º 4. Isto significa que os administradores clínicos que trabalham em diferentes jurisdições da UE podem encontrar variações nos prazos legais de conservação, procedimentos de alteração e direitos dos doentes que vão além da linha de base do RGPD. Alemanha, França, Irlanda e Países Baixos têm cada um os seus próprios quadros legais que determinam quanto tempo diferentes categorias de registo clínico devem ser conservadas. Os administradores clínicos que operam em qualquer Estado-Membro devem verificar a orientação nacional aplicável (normalmente emitida pela autoridade nacional de proteção de dados ou pelo ministério da saúde competente) antes de responder a pedidos que possam envolver legislação local.

▶ O direito ao apagamento do RGPD estende-se a cópias de segurança e cópias arquivadas de registos clínicos?

Sim. Quando uma eliminação é legalmente exigida, a obrigação estende-se a cópias de segurança e cópias arquivadas detidas por responsáveis pelo tratamento, não apenas ao registo primário. Implementar a eliminação verificável de dados em conjuntos de dados clínicos encriptados é tecnicamente desafiante, especialmente quando os registos são replicados em cópias de segurança, arquivos e responsáveis pelo tratamento terceiros. Quando uma eliminação é legalmente exigida, as equipas de tecnologia da informação e de governança da informação terão de ser envolvidas para garantir que é executada completamente.

▶ Qual é a diferença entre o direito de retificação e o direito de adicionar uma declaração complementar?

O direito de retificação ao abrigo do Artigo 16 do RGPD abrange a correção de dados factualmente inexatos e a conclusão de dados incompletos. Quando um doente considera que um registo está incompleto, pode solicitar a adição de uma declaração complementar para completar o registo. Este é um direito importante, mas distinto do direito de ter a entrada original removida ou substituída. A Comissão Irlandesa para a Proteção de Dados confirma esta distinção: a declaração complementar fica junto à entrada original em vez de a substituir.