As obrigações do Regulamento Geral sobre a Proteção de Dados (RGPD) aplicam-se a todas as pessoas que tratam dados de doentes, não apenas às equipas de governação da informação ou aos departamentos jurídicos. Para os clínicos que trabalham em cuidados de saúde primários, cuidados secundários e prática privada, atividades rotineiras como escrever notas clínicas, enviar referenciações ou utilizar um assistente médico de IA de terceiros acarretam responsabilidades legais específicas. Compreender essas responsabilidades de forma prática é fundamental, especialmente à medida que as ferramentas de saúde digital, as consultas remotas e os fluxos transfronteiriços de dados se tornam características habituais do trabalho clínico.

Porque é que os dados de saúde recebem proteção especial ao abrigo do RGPD

Ao abrigo do Artigo 9.º do RGPD, os dados de saúde são classificados como uma "categoria especial" de dados pessoais. Esta classificação reflete a sensibilidade particular da informação médica e o potencial de danos graves, incluindo discriminação, estigma ou desvantagem financeira, caso sejam divulgados sem autorização. Os dados de saúde recebem um nível de proteção jurídica superior ao dos dados pessoais comuns, como nome ou morada.

Na prática, isto significa que o tratamento de dados de saúde exige não só uma base legal ao abrigo do Artigo 6.º (aplicável a todos os dados pessoais), mas também uma condição adicional e separada ao abrigo do Artigo 9.º, n.º 2. Para os clínicos, as condições mais relevantes são o tratamento médico e a saúde pública. A exigência de cumprir ambas as camadas simultaneamente é uma obrigação de conformidade fundamental que se aplica a cada encontro clínico.

A Autoridade Europeia para a Proteção de Dados tem enfatizado consistentemente que o estatuto de categoria especial também exige que as organizações implementem princípios de privacidade desde a conceção e salvaguardas robustas. Isto aplica-se não só para evitar o uso indevido ativo, mas também para prevenir a criação de perfis discriminatórios e proteger os dados ao longo de todo o seu ciclo de vida, incluindo em processos como ensaios clínicos e aplicações de saúde móvel.

Uma análise comparativa revista por pares publicada em 2025 confirmou que o RGPD exige medidas de responsabilização abrangentes para dados médicos. A informação de saúde está sujeita a salvaguardas éticas e profissionais adicionais, para além das exigidas para dados pessoais comuns ao abrigo de quadros comparáveis como a HIPAA (Health Insurance Portability and Accountability Act).

As bases legais que os clínicos realmente utilizam

A maioria do tratamento de dados clínicos em contextos de cuidados diretos baseia-se numa de duas bases legais principais:

• Artigo 9.º, n.º 2, alínea h), do RGPD — tratamento necessário para fins de medicina preventiva ou do trabalho, diagnóstico médico, prestação de cuidados de saúde ou sociais ou tratamento, ou gestão de sistemas de saúde ou de cuidados sociais. Esta é a base principal para documentação clínica de rotina, referenciações e discussões de equipas multidisciplinares.

• Artigo 6.º, n.º 1, alínea c) — tratamento necessário para o cumprimento de uma obrigação legal (por exemplo, notificação obrigatória de doenças de declaração obrigatória).

• Artigo 6.º, n.º 1, alínea e) — tratamento necessário ao exercício de funções de interesse público, que se aplica principalmente ao Serviço Nacional de Saúde e a organizações de saúde financiadas publicamente.

Como observa a orientação de conformidade da heyData para práticas médicas, o consentimento explícito nem sempre é necessário. A necessidade médica e a obrigação legal são alternativas válidas e apropriadas na maioria dos cenários de cuidados diretos. Os clínicos não precisam de obter um formulário de consentimento RGPD separado de um doente antes de escrever uma nota clínica ou enviar um resumo de alta a outro clínico que presta tratamento.

Consentimento do doente em contextos clínicos: quando é necessário e quando não é

Um dos equívocos mais persistentes em contextos clínicos é que o RGPD exige consentimento explícito do doente para todo o tratamento de dados. Nos cuidados diretos, não é esse o caso. O guia de conformidade em saúde da Drata deixa claro que o consentimento é apenas uma de várias bases legais válidas. Em muitos contextos clínicos não é a mais apropriada.

O consentimento ao abrigo do RGPD deve ser dado livremente, de forma específica, informada e inequívoca. Numa relação clínica, onde existe um desequilíbrio de poder inerente entre doente e clínico, basear-se no consentimento como base legal primária para tratamento de dados de rotina pode ser problemático. Os doentes podem sentir-se incapazes de recusar sem afetar os seus cuidados.

O consentimento é a base legal apropriada quando:

• Tratar dados para fins de investigação não abrangidos por um quadro de ética de investigação separado

• Utilizar dados de doentes para marketing ou comunicações comerciais

• Partilhar dados identificáveis com terceiros fora da equipa de cuidados diretos para fins não relacionados com o tratamento

• Implementar ferramentas de saúde digital opcionais que processem dados pessoais para além do que é clinicamente necessário

Para documentação clínica de rotina, referenciações, resumos de alta e comunicação multidisciplinar, o Artigo 9.º, n.º 2, alínea h), fornece a base legal sem exigir consentimento separado, desde que o tratamento seja necessário e proporcional ao objetivo clínico.

O que conta como violação do RGPD num contexto clínico

Uma violação de dados pessoais é definida pelo RGPD como qualquer destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais, acidental ou ilícito. Na área da saúde, as violações muitas vezes não resultam de ciberataques externos, mas de fluxos de trabalho clínicos do dia a dia.

Exemplos comuns reconhecíveis na prática clínica incluem:

• Cartas de doentes mal direcionadas — enviar uma carta contendo informação clínica para a morada errada ou anexar os registos do doente errado a um e-mail

• Acesso não seguro ao sistema de registos médicos — deixar uma estação de trabalho clínica com sessão iniciada e sem vigilância num ambiente partilhado

• Divulgações verbais em espaços públicos — discutir informação identificável de doentes em corredores, salas de espera ou ao telefone onde outros possam ouvir

• Partilha de registos sem autorização — encaminhar dados de doentes para terceiros (incluindo familiares) sem uma base legal documentada

• Utilização de ferramentas de comunicação não conformes — plataformas de consumo como Zoom ou WhatsApp não são adequadas para transmitir informação clínica identificável, pois não cumprem os requisitos de segurança e acordo de tratamento de dados do RGPD

Ao abrigo do RGPD, as violações suscetíveis de resultar num risco para os indivíduos devem ser notificadas à autoridade de controlo relevante no prazo de 72 horas após a organização tomar conhecimento das mesmas. As violações que representem um risco elevado para os indivíduos também devem ser comunicadas diretamente aos afetados. A orientação para a saúde do GDPR Register observa que este prazo de 72 horas começa quando a organização, não necessariamente o clínico individual, toma conhecimento pela primeira vez. Isto torna essencial a notificação interna imediata.

Partilha de dados de doentes: referenciações, resumos de alta e terceiros

A partilha de dados de doentes dentro de uma equipa de cuidados diretos, incluindo entre médicos de clínica geral, especialistas, enfermeiros e profissionais de saúde aliados envolvidos no tratamento de um doente, é geralmente legal ao abrigo do Artigo 9.º, n.º 2, alínea h), desde que a partilha seja necessária e proporcional ao objetivo clínico. O princípio operativo é "necessidade de saber": apenas a informação relevante para o papel do clínico recetor nos cuidados do doente deve ser partilhada.

Na prática, isto significa:

• Uma carta de referenciação deve conter a informação clínica de que o especialista recetor necessita, não todo o historial médico do doente

• Um resumo de alta deve ser enviado ao médico de clínica geral e aos membros relevantes da equipa de cuidados, não distribuído mais amplamente sem justificação clínica

• A partilha de registos com o empregador, seguradora ou advogado de um doente requer consentimento explícito do doente ou uma base legal separada

Ao partilhar dados com sistemas de terceiros, incluindo sistemas de registos médicos, laboratórios de diagnóstico ou serviços de telemedicina, deve existir um Acordo de Tratamento de Dados (DPA) antes de quaisquer dados serem transferidos. Este é um requisito contratual ao abrigo do Artigo 28.º do RGPD. A ausência de um Acordo de Tratamento de Dados constitui uma falha de conformidade, independentemente de ocorrer ou não uma violação.

A notificação ao doente geralmente não é necessária para partilha dentro da equipa de cuidados diretos, desde que o aviso de privacidade da organização, recebido pelos doentes no registo ou primeiro contacto, descreva com precisão como os seus dados são utilizados para fins de tratamento.

RGPD e ferramentas clínicas de IA: o que os clínicos devem perguntar antes de as utilizar

A implementação de assistentes médicos de IA, tecnologia de voz ambiente (AVT) e outro software clínico de terceiros introduz obrigações específicas do RGPD que os clínicos e as suas organizações precisam de abordar antes da adoção, não depois.

Qualquer ferramenta que processe dados de doentes em nome de uma organização de saúde é considerada um subcontratante ao abrigo do RGPD. Isto significa que a organização de saúde (como responsável pelo tratamento) deve assegurar que:

• Está em vigor um Acordo de Tratamento de Dados com o fornecedor

• O fornecedor processa dados apenas mediante instruções documentadas do responsável pelo tratamento

• Estão implementadas medidas técnicas e organizativas de segurança apropriadas, incluindo encriptação, controlos de acesso e registo de auditoria

• A residência dos dados está claramente estabelecida, o que é particularmente relevante para organizações sediadas na UE, onde os dados de doentes processados por um fornecedor com servidores fora do Espaço Económico Europeu (EEE) podem exigir salvaguardas de transferência adicionais

Uma revisão revista por pares de dispositivos de saúde alimentados por IA concluiu que os quadros de governação para IA clínica devem abordar a minimização de dados, a limitação de finalidade e os mecanismos de responsabilização como requisitos fundamentais.

A investigação sobre implementação de IA com preservação da privacidade em contextos clínicos demonstrou que sistemas de IA locais e offline podem cumprir requisitos rigorosos de proteção de dados mantendo a utilidade clínica. Esta abordagem pode reduzir os riscos de transferência transfronteiriça associados ao processamento baseado na nuvem, dependendo da arquitetura específica e do modelo de implementação da ferramenta em questão.

Antes de adotar qualquer ferramenta clínica de IA, os clínicos e as suas organizações devem perguntar:

• Onde são processados e armazenados os dados dos doentes? É dentro do EEE, ou o processamento envolve transferências para países terceiros?

• O fornecedor possui certificação ISO 27001 ou uma norma de segurança reconhecida equivalente? A ISO 27001 é uma norma internacionalmente reconhecida para gestão da segurança da informação.

• Foi concluída uma Avaliação de Impacto sobre a Proteção de Dados (DPIA)? O RGPD exige uma DPIA, uma avaliação estruturada dos riscos de privacidade, para qualquer tratamento suscetível de resultar em risco elevado, o que inclui o tratamento em grande escala de dados de saúde por sistemas de IA.

• Qual é a política de retenção e eliminação de dados do fornecedor? Os dados podem ser eliminados mediante pedido, e isto está documentado?

• A ferramenta está registada como dispositivo médico quando aplicável ao abrigo do Regulamento de Dispositivos Médicos da UE (MDR)?

A orientação da Drata observa que uma DPIA deve ser tratada como um documento vivo, revisto e atualizado sempre que a atividade de tratamento mude de forma relevante, não apenas concluído uma vez na aquisição e arquivado.

Muitos ambientes clínicos operam sob pressões de tempo e recursos que dificultam uma diligência devida rigorosa dos fornecedores. Nestes contextos, as organizações podem precisar de priorizar uma abordagem baseada no risco, aplicando o escrutínio mais rigoroso às ferramentas que processam os dados mais sensíveis e em maior escala.

Direitos dos doentes que os clínicos provavelmente encontrarão

Os doentes têm um conjunto definido de direitos ao abrigo do RGPD que as organizações de saúde são legalmente obrigadas a garantir. Os direitos mais frequentemente encontrados na prática clínica são:

Direito de acesso (Pedido de Acesso do Titular dos Dados): Os doentes têm direito a receber uma cópia dos seus dados pessoais, incluindo registos clínicos, no prazo de um mês após fazer o pedido. Este período pode ser prorrogado por mais dois meses para pedidos complexos ou numerosos, com notificação ao doente. Os clínicos devem estar cientes de que os pedidos de acesso devem ser cumpridos mesmo quando a informação é clinicamente sensível, embora a informação de terceiros (como detalhes sobre outro doente) deva ser ocultada.

Direito de retificação: Os doentes podem solicitar a correção de dados pessoais inexatos. Num contexto clínico, isto pode significar corrigir um erro factual num registo, mas não dá direito ao doente de alterar a opinião profissional ou o julgamento clínico de um profissional de saúde.

Direito ao apagamento ("direito a ser esquecido"): Este direito é significativamente limitado na área da saúde. A orientação setorial do GDPR Register confirma que o direito ao apagamento não se aplica quando o tratamento é necessário para a prestação de cuidados de saúde ou quando a retenção é exigida por lei, o que para registos clínicos é quase sempre o caso. Os doentes não podem exigir a eliminação dos seus registos médicos durante o período de retenção aplicável.

Direito à portabilidade dos dados: Os doentes têm o direito de receber os seus dados num formato estruturado, de uso comum e de leitura automática. Isto é relevante em contextos de saúde digital e cada vez mais importante à medida que os portais e aplicações voltados para o doente se tornam mais comuns.

Minimização de dados na documentação clínica

O princípio da minimização de dados, estabelecido no Artigo 5.º, n.º 1, alínea c), do RGPD, exige que os dados pessoais sejam adequados, relevantes e limitados ao que é necessário em relação às finalidades para as quais são tratados. Para os clínicos, isto tem implicações diretas na forma como as notas clínicas são escritas e estruturadas.

Na prática, a minimização de dados significa:

• Registar a informação clínica necessária para apoiar cuidados seguros e contínuos, evitando detalhes biográficos ou sociais extensos que não sejam clinicamente relevantes

• Evitar a inclusão rotineira de informação de terceiros (como detalhes sobre membros da família), a menos que diretamente relevante para o quadro clínico

• Utilizar modelos estruturados que solicitem apenas campos relevantes, em vez de entradas de texto livre que possam capturar informação pessoal desnecessária

• Rever quais dados são pré-preenchidos ou capturados automaticamente pelos sistemas de registos médicos e garantir que refletem uma necessidade clínica genuína

O guia de saúde de 2025 da DPO Consulting identifica a minimização de dados, juntamente com a limitação de finalidade, como dois dos princípios mais frequentemente negligenciados em contextos clínicos, especialmente em organizações em transição de registos em papel para digitais, onde a facilidade de capturar dados adicionais pode ultrapassar a justificação clínica para o fazer.

Períodos de retenção para registos clínicos em toda a Europa

O RGPD não prescreve períodos de retenção específicos para registos clínicos. Estes são determinados pela legislação nacional de saúde, que tem precedência nesta matéria. O RGPD exige que os dados não sejam mantidos por mais tempo do que o necessário para a sua finalidade, e que os períodos de retenção sejam documentados no Registo de Atividades de Tratamento (RoPA) da organização.

Os requisitos nacionais de retenção ilustrativos incluem:

• Inglaterra (NHS): Os registos de doentes adultos devem geralmente ser retidos por um mínimo de oito anos após a última entrada. Os registos relativos a crianças devem ser mantidos até ao 25.º aniversário do doente ou oito anos após a morte, o que for posterior.

• Alemanha: Os registos clínicos estão sujeitos a obrigações de retenção ao abrigo do §630f BGB (dez anos para registos médicos) e regras setoriais adicionais. A análise de 2026 da Kiteworks observa que a Alemanha também impõe responsabilidade criminal ao abrigo do §203 StGB pela divulgação ilegal de dados de doentes por profissionais de saúde.

• França: Os registos são retidos ao abrigo do Code de la Santé Publique, com um mínimo geral de vinte anos a partir do último episódio de cuidados.

• Países Baixos: A WGBO (Wet op de geneeskundige behandelingsovereenkomst) exige retenção por um mínimo de vinte anos a partir da data de registo.

A consequência prática para os clínicos é que o direito ao apagamento, mesmo quando validamente invocado por um doente, não pode sobrepor-se às obrigações legais de retenção. Um doente que solicite a eliminação dos seus registos clínicos durante o período de retenção aplicável pode ser legalmente recusado com base nisto, desde que a recusa seja comunicada claramente e dentro do prazo exigido.

A investigação da Kiteworks documentou ações corretivas por reguladores nacionais de saúde em toda a Europa nos últimos anos decorrentes de lacunas de conformidade que o RGPD por si só não aborda, um lembrete de que a legislação nacional deve ser compreendida em conjunto com o próprio Regulamento.

Quem é responsável: responsável pelo tratamento vs. subcontratante na área da saúde

Compreender a distinção entre responsável pelo tratamento e subcontratante é essencial para a responsabilização e para tomar decisões informadas sobre seleção de fornecedores e adoção de ferramentas clínicas.

Responsável pelo tratamento: A entidade que determina as finalidades e os meios de tratamento de dados pessoais. Na área da saúde, isto é tipicamente o trust do NHS, consultório de clínica geral, hospital ou clínica privada, não o clínico individual. O responsável pelo tratamento tem a responsabilidade legal primária pela conformidade com o RGPD.

Subcontratante: Qualquer entidade que processe dados pessoais em nome do responsável pelo tratamento. Isto inclui fornecedores de sistemas de registos médicos, laboratórios de diagnóstico, fornecedores de armazenamento na nuvem, fornecedores de ferramentas de IA e plataformas de telemedicina. Os subcontratantes devem agir apenas mediante instruções documentadas do responsável pelo tratamento e estão sujeitos a obrigações contratuais vinculativas ao abrigo do Artigo 28.º do RGPD.

A distinção é importante por várias razões práticas:

• Responsabilização: Se um subcontratante sofrer uma violação, o responsável pelo tratamento ainda pode ser responsabilizado se não tiver realizado a devida diligência ou garantido que as salvaguardas contratuais apropriadas estavam em vigor.

• Seleção de fornecedores: Escolher um subcontratante que possua certificação ISO 27001, tenha uma política clara de residência de dados e possa demonstrar conformidade com as obrigações de subcontratante do RGPD é uma responsabilidade do responsável pelo tratamento.

• Subsubcontratantes: Os subcontratantes podem contratar subsubcontratantes (por exemplo, um fornecedor de infraestrutura na nuvem utilizado por um fornecedor de IA), mas apenas com a autorização do responsável pelo tratamento, e o subcontratante permanece responsável pela conformidade do subsubcontratante.

A lista de verificação de 2026 da Accountable HQ recomenda que as organizações mantenham um registo de fornecedores atualizado e realizem revisões periódicas de todos os Acordos de Tratamento de Dados ativos, incluindo procedimentos de desvinculação de fornecedores para garantir que os dados são eliminados ou devolvidos quando um contrato termina.

Passos práticos que os clínicos podem tomar para se manterem em conformidade no dia a dia

A conformidade com o RGPD na prática clínica não requer conhecimentos jurídicos. Exige hábitos consistentes e consciência de onde reside o risco. Os seguintes passos refletem as obrigações mais diretamente relevantes para clínicos individuais.

Acesso seguro e autenticação

• Terminar sempre a sessão ou bloquear as estações de trabalho clínicas ao sair, mesmo que brevemente

• Nunca partilhar credenciais de login com colegas, mesmo em situações de alta pressão

• Utilizar apenas dispositivos e redes aprovados pela organização para aceder a registos de doentes

Partilha de dados e comunicação

• Partilhar apenas a informação mínima necessária ao referenciar, escalar ou comunicar com colegas

• Não utilizar contas de e-mail pessoais, aplicações de mensagens de consumo ou plataformas não aprovadas para transmitir dados de doentes

• Verificar o destinatário antes de enviar qualquer comunicação de doente, pois a correspondência mal direcionada é um dos tipos de violação mais comuns na área da saúde

Tratamento de pedidos de direitos dos doentes

• Estar ciente de que os doentes podem fazer Pedidos de Acesso do Titular dos Dados verbalmente ou por escrito, e registar e escalar estes pedidos prontamente para o contacto de governação da informação relevante

• Não ignorar ou atrasar pedidos de acesso. O prazo de resposta de um mês começa imediatamente

• Compreender que os pedidos de eliminação podem geralmente ser recusados para registos clínicos durante o período de retenção legal, mas devem ser respondidos formalmente

Avaliação de novas ferramentas clínicas

• Antes de adotar qualquer software de terceiros que processe dados de doentes, confirmar que está em vigor um Acordo de Tratamento de Dados e que foi concluída uma DPIA

• Perguntar diretamente aos fornecedores sobre residência de dados, subsubcontratantes e certificações de segurança

• Escalar para o seu responsável pela governação da informação ou encarregado da proteção de dados se estas questões não puderem ser respondidas claramente

Documentação e formação

• Familiarizar-se com o aviso de privacidade e a política de retenção de dados da sua organização, pois estes definem os limites do tratamento legal no seu contexto

• Participar em formação sobre proteção de dados, incluindo exercícios baseados em cenários que cubram identificação e resposta a violações

• Se não tiver certeza se uma atividade específica de partilha ou tratamento de dados é legal, procurar orientação do Encarregado da Proteção de Dados da sua organização antes de prosseguir

O panorama regulamentar para dados de saúde continua a evoluir, com o quadro do Espaço Europeu de Dados de Saúde a introduzir novos instrumentos para partilha de dados e governação que irão interagir com as obrigações existentes do RGPD de formas que os reguladores nacionais e os tribunais ainda estão a interpretar. Manter-se informado sobre desenvolvimentos tanto ao nível da UE como nacional é cada vez mais parte da prática clínica responsável, não uma tarefa que possa ser delegada inteiramente às equipas de conformidade.

Perguntas frequentes

▶ Porque é que os dados de saúde recebem proteção mais forte ao abrigo do RGPD do que outros dados pessoais?

Ao abrigo do Artigo 9.º do Regulamento Geral sobre a Proteção de Dados, os dados de saúde são classificados como uma "categoria especial" de dados pessoais. Isto reflete a sensibilidade particular da informação médica e o potencial de danos graves, incluindo discriminação, estigma ou desvantagem financeira, caso sejam divulgados sem autorização. O tratamento de dados de saúde requer satisfazer uma base legal ao abrigo do Artigo 6.º e uma condição adicional separada ao abrigo do Artigo 9.º, n.º 2. Os dados pessoais comuns, como nome ou morada, apenas requerem a base do Artigo 6.º.

▶ Os clínicos precisam do consentimento do doente antes de escrever notas clínicas ou enviar uma referenciação?

Não. Para documentação clínica de rotina, referenciações, resumos de alta e comunicação multidisciplinar, o Artigo 9.º, n.º 2, alínea h), do RGPD fornece uma base legal sem exigir consentimento separado do doente. O consentimento ao abrigo do RGPD deve ser dado livremente, de forma específica, informada e inequívoca. Numa relação clínica, onde existe um desequilíbrio de poder inerente, basear-se no consentimento como base primária para tratamento de dados de rotina pode ser problemático. O consentimento é mais apropriado para investigação, marketing ou partilha de dados com terceiros fora da equipa de cuidados diretos para fins não relacionados com o tratamento.

▶ O que conta como violação do RGPD num contexto clínico?

Uma violação de dados pessoais abrange qualquer destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais, acidental ou ilícito. Na área da saúde, exemplos comuns incluem enviar uma carta de doente para a morada errada, deixar uma estação de trabalho clínica com sessão iniciada e sem vigilância, discutir informação identificável de doentes num corredor ou sala de espera, e utilizar plataformas de consumo como Zoom ou WhatsApp para transmitir informação clínica. As violações suscetíveis de resultar num risco para os indivíduos devem ser notificadas à autoridade de controlo relevante no prazo de 72 horas após a organização tomar conhecimento das mesmas.

▶ Que obrigações do RGPD se aplicam ao partilhar dados de doentes com outros clínicos?

A partilha de dados de doentes dentro de uma equipa de cuidados diretos é geralmente legal ao abrigo do Artigo 9.º, n.º 2, alínea h), desde que a partilha seja necessária e proporcional ao objetivo clínico. O princípio operativo é "necessidade de saber": apenas a informação relevante para o papel do clínico recetor deve ser partilhada. Uma carta de referenciação deve conter o que o especialista recetor necessita, não todo o historial médico do doente. A partilha de registos com o empregador, seguradora ou advogado de um doente requer consentimento explícito do doente ou uma base legal separada.

▶ Que verificações do RGPD devem os clínicos realizar antes de adotar um assistente médico de IA?

Qualquer ferramenta que processe dados de doentes em nome de uma organização de saúde é um subcontratante ao abrigo do RGPD. Antes da adoção, os clínicos e as suas organizações devem confirmar que está em vigor um Acordo de Tratamento de Dados com o fornecedor, que os dados dos doentes são processados apenas mediante instruções documentadas, e que estão implementadas medidas de segurança apropriadas, incluindo encriptação e controlos de acesso. Também é importante estabelecer onde os dados dos doentes são processados e armazenados, se o fornecedor possui certificação ISO 27001, se foi concluída uma Avaliação de Impacto sobre a Proteção de Dados, e se a ferramenta está registada como dispositivo médico quando aplicável ao abrigo do Regulamento de Dispositivos Médicos da UE.

▶ Um doente pode solicitar a eliminação dos seus registos clínicos ao abrigo do RGPD?

O direito ao apagamento é significativamente limitado na área da saúde. Não se aplica quando o tratamento é necessário para a prestação de cuidados de saúde ou quando a retenção é exigida por lei. Para registos clínicos, as obrigações legais de retenção quase sempre se aplicam. Um doente que solicite a eliminação durante o período de retenção aplicável pode ser legalmente recusado com base nisto, desde que a recusa seja comunicada claramente e dentro do prazo exigido. Os períodos de retenção variam por país: Inglaterra exige um mínimo de oito anos após a última entrada para registos de adultos, França exige vinte anos a partir do último episódio de cuidados, e os Países Baixos exigem vinte anos a partir da data de registo.

▶ Qual é a diferença entre responsável pelo tratamento e subcontratante na área da saúde?

Um responsável pelo tratamento determina as finalidades e os meios de tratamento de dados pessoais. Na área da saúde, isto é tipicamente o trust do NHS, consultório de clínica geral, hospital ou clínica privada. Um subcontratante trata dados pessoais em nome do responsável pelo tratamento. Isto inclui fornecedores de sistemas de registos médicos, laboratórios de diagnóstico, fornecedores de ferramentas de IA e plataformas de telemedicina. O responsável pelo tratamento tem a responsabilidade legal primária pela conformidade com o RGPD. Se um subcontratante sofrer uma violação, o responsável pelo tratamento ainda pode ser responsabilizado se não tiver realizado a devida diligência ou garantido que as salvaguardas contratuais apropriadas estavam em vigor.

▶ O que significa minimização de dados para a forma como os clínicos escrevem notas clínicas?

O Artigo 5.º, n.º 1, alínea c), do RGPD exige que os dados pessoais sejam adequados, relevantes e limitados ao que é necessário para as finalidades para as quais são tratados. Para os clínicos, isto significa registar a informação necessária para apoiar cuidados seguros e contínuos, em vez de detalhes biográficos ou sociais extensos que não sejam clinicamente relevantes. Também significa evitar a inclusão rotineira de informação de terceiros, como detalhes sobre membros da família, a menos que diretamente relevante para o quadro clínico. Utilizar modelos estruturados que solicitem apenas campos relevantes pode ajudar a evitar capturar informação pessoal desnecessária.

▶ Que direitos dos doentes ao abrigo do RGPD os clínicos provavelmente encontrarão?

Os direitos mais frequentemente encontrados na prática clínica são o direito de acesso, o direito de retificação, o direito ao apagamento e o direito à portabilidade dos dados. Os doentes que fazem um Pedido de Acesso do Titular dos Dados têm direito a receber uma cópia dos seus dados pessoais, incluindo registos clínicos, no prazo de um mês. O direito de retificação permite aos doentes solicitar a correção de inexatidões factuais, mas não dá direito ao doente de alterar a opinião profissional de um clínico. O direito ao apagamento é significativamente limitado em contextos de saúde onde se aplicam obrigações legais de retenção.

▶ Que passos práticos podem os clínicos individuais tomar para se manterem em conformidade com o RGPD no dia a dia?

Hábitos consistentes reduzem a maior parte do risco de não conformidade no dia a dia. Terminar sempre a sessão ou bloquear as estações de trabalho clínicas ao sair, mesmo que brevemente. Nunca partilhar credenciais de login com colegas. Partilhar apenas a informação mínima necessária ao referenciar ou comunicar com colegas. Não utilizar contas de e-mail pessoais ou aplicações de mensagens de consumo para transmitir dados de doentes. Verificar o destinatário antes de enviar qualquer comunicação de doente. Registar e escalar Pedidos de Acesso do Titular dos Dados prontamente, pois o prazo de resposta de um mês começa imediatamente. Antes de adotar qualquer software de terceiros que processe dados de doentes, confirmar que está em vigor um Acordo de Tratamento de Dados e que foi concluída uma Avaliação de Impacto sobre a Proteção de Dados.