{"id":43532,"date":"2026-07-15T10:41:56","date_gmt":"2026-07-15T08:41:56","guid":{"rendered":"https:\/\/smartfense.com\/?p=43532"},"modified":"2026-07-15T10:42:05","modified_gmt":"2026-07-15T08:42:05","slug":"protecao-dados-saude-rgpd","status":"publish","type":"post","link":"https:\/\/smartfense.com\/pt-pt\/blog-pt-pt\/protecao-dados-saude-rgpd\/","title":{"rendered":"Prote\u00e7\u00e3o de dados de sa\u00fade: o que o RGPD exige no setor da sa\u00fade"},"content":{"rendered":"

Um processo cl\u00ednico diz muito mais do que um cart\u00e3o de cr\u00e9dito. Revela diagn\u00f3sticos, tratamentos, antecedentes familiares e h\u00e1bitos que acompanham uma pessoa toda a vida. Por isso o RGPD (Regulamento UE 2016\/679) n\u00e3o trata o dado de sa\u00fade como mais um. Coloca-o na categoria de dados mais protegida, com obriga\u00e7\u00f5es que v\u00e3o muito al\u00e9m do departamento jur\u00eddico ou dos sistemas de informa\u00e7\u00e3o.<\/p>\n

Numa cl\u00ednica, num hospital ou num laborat\u00f3rio, grande parte dessas obriga\u00e7\u00f5es acaba nas m\u00e3os de quem atende o balc\u00e3o, do enfermeiro que regista um epis\u00f3dio ou do administrativo que responde a um e-mail. Cumprir o RGPD na sa\u00fade \u00e9, antes de mais, uma quest\u00e3o de pessoas preparadas.<\/p>\n

O que s\u00e3o dados de sa\u00fade para o RGPD?<\/h2>\n

Os dados relativos \u00e0 sa\u00fade s\u00e3o os dados pessoais que revelam informa\u00e7\u00e3o sobre o estado de sa\u00fade f\u00edsico ou mental de uma pessoa, incluindo a presta\u00e7\u00e3o de cuidados de sa\u00fade. \u00c9 assim que o artigo 4.\u00ba do RGPD os define, e abrange tudo, do diagn\u00f3stico ao n\u00famero de processo cl\u00ednico, de um resultado laboratorial ao simples facto de algu\u00e9m ter ido a uma consulta.<\/p>\n

O artigo 9.\u00ba classifica-os como categoria especial de dados<\/strong>. A consequ\u00eancia pr\u00e1tica \u00e9 direta. O seu tratamento \u00e9 proibido, salvo se existir uma base espec\u00edfica que o permita, como o consentimento expl\u00edcito da pessoa ou a presta\u00e7\u00e3o de cuidados de sa\u00fade por um profissional sujeito a sigilo. A base geral que serve para outros dados pessoais n\u00e3o \u00e9 suficiente aqui.<\/p>\n

Esta distin\u00e7\u00e3o importa porque eleva o n\u00edvel de exig\u00eancia. O mesmo descuido (um e-mail enviado ao destinat\u00e1rio errado, uma pasta partilhada sem controlo) tem um impacto e uma responsabilidade muito diferentes quando o que circula \u00e9 informa\u00e7\u00e3o de sa\u00fade.<\/p>\n

O que exige o RGPD a uma organiza\u00e7\u00e3o de sa\u00fade?<\/h2>\n

O regulamento reparte a responsabilidade pelos dados por toda a organiza\u00e7\u00e3o. Tr\u00eas obriga\u00e7\u00f5es recaem de forma especialmente clara no dia a dia de quem trabalha com informa\u00e7\u00e3o de doentes.<\/p>\n

Seguran\u00e7a do tratamento como h\u00e1bito di\u00e1rio.<\/strong> O artigo 32.\u00ba obriga a aplicar medidas t\u00e9cnicas e organizativas adequadas ao risco. Num contexto de sa\u00fade isso inclui a cifragem e o controlo de acessos, mas tamb\u00e9m algo menos vis\u00edvel. Cada pessoa deve saber tratar a informa\u00e7\u00e3o com cuidado, n\u00e3o reutilizar palavras-passe, verificar a quem envia uma mensagem e compreender porque \u00e9 registado o acesso a um processo cl\u00ednico.<\/p>\n

Responsabilidade proativa.<\/strong> O artigo 5.\u00ba pede que se consiga demonstrar o cumprimento, n\u00e3o apenas cumprir. Para uma organiza\u00e7\u00e3o de sa\u00fade significa que a forma\u00e7\u00e3o, as pol\u00edticas e os registos t\u00eam de estar documentados e dispon\u00edveis, porque o \u00f3nus da prova recai sobre o respons\u00e1vel pelo tratamento.<\/p>\n

Avalia\u00e7\u00e3o de impacto quando o risco \u00e9 elevado.<\/strong> O tratamento em larga escala de dados de sa\u00fade exige normalmente uma avalia\u00e7\u00e3o de impacto sobre a prote\u00e7\u00e3o de dados (artigo 35.\u00ba). Essa an\u00e1lise identifica os riscos do tratamento e as medidas para os mitigar, e mostra com frequ\u00eancia que o maior risco est\u00e1 no comportamento di\u00e1rio das pessoas mais do que na tecnologia.<\/p>\n

Como se deteta e notifica uma viola\u00e7\u00e3o de dados de sa\u00fade?<\/h2>\n

Quando ocorre uma viola\u00e7\u00e3o de seguran\u00e7a que afeta dados pessoais, o RGPD inicia um rel\u00f3gio. O artigo 33.\u00ba obriga a notific\u00e1-la \u00e0 autoridade de controlo no prazo de 72 horas<\/strong> a contar do momento em que se tem conhecimento dela. Se a viola\u00e7\u00e3o implicar um risco elevado para as pessoas afetadas, o artigo 34.\u00ba exige ainda comunic\u00e1-la diretamente \u00e0s mesmas.<\/p>\n

Esse prazo s\u00f3 se cumpre se a organiza\u00e7\u00e3o der por ela a tempo, e \u00e9 aqui que o fator humano volta ao centro. Segundo o relat\u00f3rio Verizon DBIR, o fator humano interv\u00e9m em cerca de 6 de cada 10 viola\u00e7\u00f5es de seguran\u00e7a. Na sa\u00fade, a pessoa que recebe um e-mail suspeito ou deteta um acesso invulgar \u00e9 muitas vezes a primeira linha capaz de dar o alerta.<\/p>\n

A diferen\u00e7a entre notificar dentro das 72 horas ou descobrir o incidente semanas depois quase nunca depende de uma ferramenta. Depende de quem viu algo estranho saber o que \u00e9 um incidente e a quem report\u00e1-lo sem receio de errar. Construir essa capacidade de dete\u00e7\u00e3o e reporte \u00e9 uma tarefa de sensibiliza\u00e7\u00e3o, n\u00e3o de infraestrutura.<\/p>\n

O que tem de conseguir demonstrar numa auditoria?<\/h2>\n

Perante uma inspe\u00e7\u00e3o ou uma auditoria, a pergunta n\u00e3o \u00e9 se a organiza\u00e7\u00e3o deu uma sess\u00e3o uma vez. \u00c9 se consegue provar que as pessoas certas receberam a forma\u00e7\u00e3o certa e que essa forma\u00e7\u00e3o se mant\u00e9m ao longo do tempo. Tr\u00eas evid\u00eancias fazem a diferen\u00e7a:<\/p>\n