Beruflich Dokumente
Kultur Dokumente
no setor da Sade
1
Privacidade da
Informao no setor
da Sade
Guia sobre o Regulamento Geral
de Privacidade de Dados
Conscientes de que este novo contexto digital acarreta um conjunto de novos cenrios de
risco com impactos cada vez mais relevantes na operacionalidade das Organizaes, a
SPMS, EPE., em alinhamento com o previsto na Estratgia Nacional para o Ecossistema
da Informao de Sade 2020 (ENESIS2020), tem vindo a colocar os temas da
Segurana de Informao, Cibersegurana e Privacidade dos dados no topo das suas
preocupaes, tendo lanado em 2016 o Programa de Melhoria do Risco e Segurana
da Informao, com o objetivo de promover a coordenao e partilha de boas prticas
relacionadas com os sistemas de informao do Ministrio da Sade. Em 2017, as
competncias da SPMS, EPE no contexto da cibersegurana foram reforadas com o
Despacho n1348/2017, em Dirio da Repblica n28/2017, Srie II de 2017-02-08, o
qual identifica um conjunto de novas competncias na coordenao, monitorizao da
implementao e operacionalizao das boas prticas de melhoria contnua da resposta
a ciber-riscos no setor da sade.
3
impactos concretos que o mesmo ter no ecossistema da Sade em Portugal. Seguir-se-
um guia de Boas prticas e passos concretos. Estes guias, bem como as ferramentas
de avaliao e iniciativas de formao e capacitao associadas, sero instrumentos
fundamentais para que todas as Entidades do Ministrios da Sade comecem, desde
j, a preparar os seus programas de resposta ao RGPD, analisando o nvel atual de
cumprimento, definindo as estratgias de resposta s situaes de desalinhamento
identificadas e implementando as solues de acordo com as suas necessidades e
possibilidades.
A SPMS, EPE, alm do compromisso com a melhoria contnua do seu ambiente interno
de controlo e gesto dos riscos relacionados com a cibersegurana e privacidade da
informao, com muitos desafios ainda por ultrapassar, ir continuar a apoiar as entidades
do Ministrio da Sade e a partilhar boas prticas, conhecimento e ferramentas para
que todas as Entidades possam garantir que os sistemas de informao contribuam
para a criao de valor e satisfao das necessidades dos Cidados.
Henrique Martins
4
ndice
Pg. 6
Nota introdutria
Pg. 7
mbito, objetivos e metodologia do Guia
Pg. 10
Contexto transformao digital no setor da sade
Pg. 15
Aspetos Crticos de Privacidade para a Gesto da
Informao no Setor da Sade
Pg. 17
Contexto Jurdico Atual da Privacidade da Informao
no setor da sade em Portugal
Pg. 22
RGPD: mudana de paradigma e principais
obrigaes setor da sade em Portugal
Pg. 33
Algumas boas prticas. Como estar preparado?
Por perfil profissional
Administradores Hospitalares
Profissionais de Sade
Profissionais TIC
Por tipo de Instituio
Entidades do Servio Nacional de Sade
Hospitais e Centros de Sade
Centros Hospitalares
Parcerias Pblico Privadas
Pg. 51
Prximos Passos Avalie a capacidade de resposta
da sua Organizao ao RGDP
Pg. 56
Glossrio
5
Nota Introdutria
A transformao digital no setor da sade uma realidade incontornvel e tem conhecido,
nos ltimos anos, um crescimento exponencial.
De facto, constatamos hoje um crescimento considervel tanto da oferta, pelo lado dos
prestadores de servios, como da procura, por parte dos utentes, de produtos e servios
tecnolgicos e digitais no setor da sade.
1 Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo proteo
das pessoas singulares no que diz respeito ao tratamento de dados pessoais e livre circulao desses dados e que
revoga a Diretiva 95/46/CE. O Regulamento foi publicado no Jornal Oficial da Unio Europeia no passado dia 4 de
maio de 2016.
6
mbito, Objetivos
e Metodologia do Guia
A SPMS Servios Partilhados do Ministrio da Sade, EPE (SPMS) tem como
misso a prestao de servios partilhados nas reas de compras e logstica, servios
financeiros, recursos humanos e sistemas e tecnologias de informao e comunicao
s Entidades com atividade especfica na rea da sade, de forma a centralizar, otimizar
e racionalizar a aquisio de bens e servios no SNS.
Pretende-se assim promover a evoluo dos atuais sistemas clnicos da SPMS para
um processo clnico eletrnico, permitindo, aos utentes, uma viso 360 da informao
centrada no utente, permitindo o acesso constante e integral a tal informao.
7
Os desafios decorrentes dos fluxos contnuos de dados pessoais, no contexto de
iniciativas da SPMS como o Registo de Sade Eletrnico, a Plataforma de Partilha
de Dados de Sade (PDS) e o Acesso dos Utentes aos seus dados de sade, assim
como a consagrao do princpio da portabilidade de informao de sade no mbito
da utilizao de Apps e de outras formas de interligao de sistemas de informao
com impacto na sade, tornam essencial o conhecimento das regras aplicveis ao
tratamento dos dados pessoais.
O Guia tem, assim, como objetivo fornecer algumas informaes sobre as condies
de tratamento de dados pessoais, permitindo que as Entidades pblicas integrantes
do SNS, por um lado, realizem uma avaliao preliminar do nvel de adequao e
cumprimento das respetivas regras e, por outro lado, conheam as regras e impacto
3
que o RGPD e a Diretiva de Segurana das Redes e da Informao (Diretiva SRI) ter
nas Entidades.
4
Neste Guia encontrar tambm as principais regras acerca do tratamento de dados
pessoais em Portugal que regem, at 25 de maio de 2018 (data em que o RGPD ser
aplicvel) relativas quer aos procedimentos a adotar perante a Comisso Nacional de
5
Proteo de Dados (CNPD), quer s regras a observar para garantir os direitos dos
titulares dos dados (direitos com consagrao constitucional, como resulta do artigo 35.
da Constituio da Repblica Portuguesa). Atualmente, o regime jurdico de proteo
das pessoas singulares no que respeita ao tratamento e livre circulao dos dados
pessoais encontra-se consagrado, em termos genricos, na Lei de Proteo de Dados
6 7
Pessoais (LPDP), que transpe a Diretiva de Proteo de Dados Pessoais .
8
Existe tambm legislao especfica para o setor da sade, com impacto ao nvel da
proteo de dados, como o caso da Lei da Informao Gentica Pessoal e Informao
8 9
de Sade , da Lei da Investigao Clnica e do Regulamento arquivstico das Entidades
10
de sade e demais servios do Ministrio da Sade .
9
Contexto: A Transformao
digital das organizaes
e da sociedade
Em apenas umas curtas dcadas, as Tecnologias de Informao e Comunicaes (TIC)
deslocaram-se do back office, a 1 Plataforma, para o front office, a 2 Plataforma e,
finalmente, integraram-se em quase todos os aspetos das vidas profissionais e pessoais
das pessoas, alimentadas por tecnologias da 3 Plataforma, incluindo mobilidade,
social, cloud e big data e analtica. Esta nova era em que as tecnologias e processos
que as Organizaes implementam esto de tal forma ligadas aos seus clientes/utentes
e mercados, que as fronteiras entre as operaes internas da Organizao e o seu
ecossistema externo (clientes/utentes, mercados, concorrentes, parceiros, reguladores)
esto a desaparecer rapidamente.
10
O nmero e diversidade de dispositivos de interface pessoais um indicador de
vanguarda da chegada da Internet of Things (IoT), um indicador que representa todo
um novo desafio para a segurana empresarial, assim como as oportunidades de
marketing, prestao de servios, experincia social e comunicao. Estudos recentes
da IDC estimam que cada indivduo pode chegar a ter 24 identidades digitais. Se apenas
35% da populao mundial se inclui no comum digital, o Universo de Identidade Digital
(UID) mundial encontra-se em cerca de 55 bilies.
11
Impactos da transformao digital
no setor da sade
A revoluo digital nos servios de sade veio disponibilizar novas oportunidades para
o desenvolvimento da qualidade da prestao de cuidados, investigao de novos
tratamentos e uma melhor utilizao dos recursos. No entanto, na maioria dos pases, o
sistema de sade est fortemente pressionado por vrios fatores. O efeito conjugado de
uma maior esperana de vida e a prevalncia de doenas crnicas tem sido responsvel
pelo crescimento dos custos dos cuidados de sade e ameaam a sustentabilidade do
modelo tradicional de prestao de cuidados de sade em muitos dos pases. Assim,
novos modelos de atendimento suportados por novas tecnologias e pela digitalizao
tm vindo a aparecer como soluo para este cenrio.
12
Os processos de tratamento so operacionalizados atravs do ecossistema do
doente num ambiente de cuidados integrados, no qual todos os prestadores de
servios, incluindo os utentes, tm acesso aos dados dos utentes.
O tratamento dos utentes est cada vez mais dependente de dados e de
informao, como o caso da medicina de preciso ou de processos de cuidados
pessoais.
Os dados e informao so partilhados para outros objetivos que no o
tratamento direto dos utentes. Tal poder acontecer para investigao, gesto de
sade pblica ou gesto da procura.
Os dados e informao so utilizados juntamente com analtica, Big Data
e sistemas cognitivos para permitirem novos regimes de tratamento, melhor
otimizao dos riscos e melhor otimizao dos recursos.
Liderana
Os responsveis das EntidadesEntidades do setor da sade nem
sempre esto conscientes das oportunidades disponibilizados pelos
sistemas de informao e tecnologias, pelo que se torna difcil a
incorporao de uma viso da transformao digital na estratgia geral
das Entidades. Tambm ao nvel clnico, alguns mdicos so mais
vidos mudana do que outros, em particular no que diz respeito
ao relacionamento com os utentes. Assim, em algumas Entidades
comeam a aparecer funes de Chief Clinical Information Officer
(CCIO) ou Chief Medical Information Officer (CMIO). As Entidades
ainda esto muito focadas na conformidade TIC e difcil alterar os
modelos de funcionamento com tantos regulamentos em vigor.
Omni-Experincia
Os utentes tm expectativas de ter o mesmo tipo de experincia,
independentemente do modo como interagem com os prestadores
de cuidados de sade (online ou pessoalmente). Existe uma
vasta gama de atividades (alm das administrativas) que podem
ser automatizadas ou transformadas para permitir um melhor
envolvimento com os utentes.
13
Gesto de Talentos
Os profissionais de sade necessitam de se concentrar naquilo
que importante: a qualidade dos servios prestados e uma
melhor experincia dos utentes. Presentemente, a conformidade
regulamentar e a burocracia absorvem imenso tempo e as TIC no
tm aliviado esse trabalho. Assim, a experincia dos utilizadores e
a usabilidade dos sistemas de informao clnicos muitas vezes
colocada em causa. Muitos dos sistemas precisam de mobilidade mas
tecnologias como a IoT no so utilizadas corretamente para resolver
problemas transacionais e de segurana dos utentes. As Entidades
de sade necessitam de ser cada vez menos autorreferenciais, sendo
necessrio aumentar o foco nos fluxos de processos centrados nos
utentes (ex., disponibilizando visibilidade atravs do sistema para
possibilitar a calendarizao de pessoas e recursos).
Modelo Operacional
A coordenao entre o interior e exterior das Entidades de sade
um fator crtico. Existe cada vez mais a necessidade de se
alterar o foco para os fluxos de processo centrados nos utentes e
ajustar as operaes para terem condies de dar respostas mais
adequadas. Por exemplo a analtica de dados em tempo real
essencial para a otimizao dos processos, sendo que esta ou outras
boas prticas necessitam de ser partilhadas para que possam ser
escaladas. Os projetos bem-sucedidos no devem ser mantidos ao
nvel departamental e devem ser explorados modelos de inovao
que promovam uma verdadeira integrao e colaborao entre as
diferentes partes interessadas no ecossistema.
Informao
As Entidades de sade esto sobrecarregadas de informao. No
se trata apenas de implementar sistemas de informao clnica,
sistemas de analtica ou semelhantes, mas, igualmente, de desenhar
e implementar estruturas e referencias que permitam extrair e
desenvolver o valor e a utilidade da informao relativa aos utentes,
servios, ativos fsicos e experincias. As Entidades de sade devem,
cada vez mais, tratar os dados e a informao como qualquer outro
ativo. Existem ainda desafios relacionados com problemas tcnicos
relacionados com a integrao e interoperabilidade (ex. sistemas
legados), assim como receios de implementao de uma cultura de
deciso baseada na evidncia dos factos. As Entidades de sade
necessitam de adotar uma cultura de transparncia e a gesto que
garanta que todas as partes interessadas reconheam os benefcios
relacionados com a valorizao do ativo informao.
14
Aspetos crticos de
segurana e privacidade
no processo
de transformao digital
Num ambiente moderno e integrado de cuidados de sade personalizados, a qualidade
da informao ganha uma importncia crtica, destacando-se requisitos fundamentais,
tais como:
Confidencialidade;
Integridade;
Disponibilidade;
Conformidade legal e normativa, nomeadamente a Privacidade.
15
Quando os tratamentos so baseados em grandes quantidades de dados e as equipas
clnicas so mveis, a acessibilidade aos dados crucial. No somente num cenrio
crtico relacionado com Electronic Medical Records (EMR) ou Electronic Health Records
(EHR), mas tambm quando um especialista mdico supervisiona outra enfermaria ou
quando o pessoal clnico visita o utente na sua residncia ou, ainda, quando realizam
tratamentos aos utentes atravs de equipamentos de telemedicina.
O estudo da IDC European Industry Solutions and Insights Survey realizado no terceiro
trimestre de 2016, que contou com a participao de107 hospitais e 69 prestadores de
cuidados de sade da Europa Ocidental, identificou a segurana e a proteo dos dados
entre as principais prioridades operacionais de 2016, sem que isso afete diretamente a
experincia dos utentes ou a eficincia geral da prestao e servios de sade. Os CIO
reconhecem a segurana das TIC como estratgica e planeiam implementar iniciativas
nos prximos anos, pelo que mecanismos inapropriados de proteo de dados e de
privacidade no constituem barreiras para o crescimento e transformao.
neste contexto que este Guia pretende abordar as vertentes jurdica e legal envolvidas
no tratamento de dados pessoais no mbito da prestao de cuidados de sade,
elucidando o leitor sobre os diversos aspetos a ter em conta aquando do tratamento de
dados pessoais.
16
Contexto jurdico atual da
proteo de dados no setor
da sade em Portugal
A transformao digital no sector da sade em Portugal ter, naturalmente, de
acompanhar as exigncias de proteo dos dados pessoais dos intervenientes neste
setor, em particular dos utentes e dos profissionais de sade.
Para alm das obrigaes gerais que decorrem da LPDP, as Entidades integrantes do
SNS devero ainda assegurar o cumprimento das demais regras previstas na legislao
e/ou disposies regulamentares especficas do sector da sade, as quais regulam
a propriedade, o acesso e a legitimidade do tratamento da informao de sade dos
utentes.
17
para a prossecuo das finalidades da recolha/tratamento (garantido o cumprimento
das Deliberaes da CNPD aplicveis);
5. So disponibilizadas ao titular dos dados todas as informaes relacionadas
com o tratamento efetuado, concedendo-lhe o direito de acesso e retificao dos
seus dados;
6. obtido o consentimento do titular para o tratamento dos seus dados, exceto
nos casos em que tal consentimento dispensado nos termos da lei, como o
caso do tratamento de dados para a finalidade de proteo de interesses vitais do
seu titular;
7. So postas em prtica as medidas tcnicas e organizativas adequadas para
proteger os dados pessoais, designadamente contra a sua destruio acidental
ou ilcita, a perda acidental, a alterao, a difuso ou o acesso no autorizado
(nomeadamente quando o tratamento implicar a sua transmisso por rede) e
qualquer outra forma de tratamento ilcito;
8. O tratamento dos dados encontra-se devidamente notificado CNPD e,
quando legalmente exigido, obtida a respetiva autorizao prvia.
Contudo, se houver tratamento de outros dados (v.g. raa, f religiosa ou outros dados
da vida privada toxicodependncia, comportamento de risco, hbitos alcolicos,
problemas sociais de integrao, etc.), se os dados de sade, da vida sexual ou
genticos forem utilizados para finalidades diversas (v.g. para fins de investigao
cientfica) ou forem tratados em circunstncias distintas das referidas, as Entidades
integrantes do SNS devem submeter tal tratamento a controlo prvio, submetendo
um pedido de autorizao CNPD.
18
c) O consentimento
O tratamento de dados pessoais pressupe, em regra, o consentimento dos titulares
dos dados, exceto nas situaes previstas na LPDP. Desde logo, quando o tratamento
de dados necessrio, para a execuo de um contrato entre o responsvel pelo
tratamento e o titular dos dados (como sucede, por exemplo, no contrato de trabalho),
para cumprimento de obrigao legal ou para a prossecuo de interesses legtimos.
Quando esto em causa dados sensveis (por exemplo, dados de sade ou genticos),
a regra a da proibio. Isto , o tratamento de tais dados genericamente proibido,
exceto se o tratamento decorrer de disposio legal, o titular dos dados tiver dado
o seu consentimento e a CNPD tiver autorizado ou o tratamento for indispensvel
ao exerccio das atribuies legais ou estatutrias do responsvel. Alm disso, o
tratamento de dados sensveis ainda permitido, por exemplo, para proteo
de interesses vitais do titular ou de uma outra pessoa e o titular estiver fsica ou
legalmente incapaz de dar o seu consentimento.
Os titulares dos dados (colaboradores, utentes, entre outros) tm, em regra, o direito
a aceder aos dados pessoais que as Entidades dispem sobre eles; porm quando
a informao contem dados de sade, o acesso sempre efetuado atravs de um
profissional de sade.
19
e) A utilizao de dados de sade para investigao cientfica
Os dados de sade recolhidos no mbito da prestao de cuidados de sade podero
ser utilizados para fins de investigao cientfica, contanto que os titulares dos dados
tenham sido informados acerca dessa possibilidade e prestado o seu consentimento
para o efeito.
20
g) Implementao de especiais medidas de segurana
Sempre que esteja em causa o tratamento de dados sensveis, as Entidades do SNS
devero adotar medidas especiais de segurana, atenta sensibilidade dos dados
em causa. Estas medidas visam reforar o controlo de entradas nas instalaes, o
acesso aos dados e suportes de dados, o controlo da utilizao dos sistemas de
tratamento automatizados por pessoas no autorizadas ou o controlo da transmisso
dos dados.
No que diz respeito aos dados de sade, deve ser assegurada a implementao
de medidas destinadas a impedir o acesso indevido de terceiros aos processos
clnicos e aos sistemas informticos que contenham informao de sade, incluindo
as respetivas cpias de segurana, assim como a separao lgica entre dados de
sade e dados administrativos.
h) Consequncias do incumprimento
O desrespeito por algumas das regras constantes da LPDP constitui uma
contraordenao, punvel com coima que poder atingir os 29.927,88 (sendo as
sanes aplicadas s contraordenaes cumuladas materialmente).
Para alm dos custos jurdicos e financeiros, o incumprimento da lei tem ainda outros
custos associados que podem ter um impacto negativo muito significativo para as
Entidades integrantes do SNS: os custos de imagem e de reputao.
21
RGPD:
Mudana de paradigma
e principais obrigaes
O RGPD ir alterar profundamente a forma como os organismos pblicos, incluindo
as Entidades integrantes do SNS, tratam dados pessoais. Trata-se de um instrumento
legislativo que implica, por um lado, um reforo claro dos direitos dos titulares dos dados
e, por outro lado, uma ampliao das obrigaes das Organizaes em matria de
privacidade.
O novo RGPD vem criar um modelo que obriga as Entidades a tomarem em considerao
as preocupaes e os riscos de privacidade desde o momento inicial da conceo de um
dado projeto, em vez de apenas considerar esses riscos posteriormente privacy by default
e privacy by design. Espera-se que este novo paradigma contribua para que os projetos
levados a cabo pelas Entidades que tratam dados pessoais tenham o mnimo de impacto
possvel na privacidade dos titulares dos dados.
22
De uma forma geral, estas medidas devero ser desenhadas e implementadas tendo
em considerao os requisitos locais das Entidades do SNS mas tambm os modelos
de governana e gesto do sistema de informao da sade (eSIS) em vigor.
1. Governana
dos Dados
5. Poder
2. Consentimento
Sancionrio NOVO
QUADRO
LEGAL
3. Direitos
4. Segurana
dos Titulares
23
(ii) Privacy by default (privacidade por defeito) o que implica que as Entidades
devem assegurar que so colocados em prtica, dentro da sua Organizao,
mecanismos para garantir que, por defeito, apenas a quantidade necessria de
dados pessoais recolhida, utilizada e conservada para cada tarefa, tanto em
termos da quantidade de dados recolhidos, como do tempo pelo qual eles so
mantidos (minimizao, pseudonimizao e transparncia).
O RGPD prev que a CNPD elabore e torne pblica uma lista dos tipos de operaes
de tratamento sujeitos ao requisito de realizao de PIAs.
Ainda que se tenha que aguardar pela emisso de orientaes especficas nesta
matria, ser expectvel que, entre outras, sejam consideradas de risco, por
exemplo, as operaes que envolvam o tratamento de dados de sade ou dados
genticos e que utilizem novas tecnologias.
24
14
De entre as suas vrias responsabilidades , destaca-se a monitorizao do
cumprimento das regras de proteo de dados pessoais, a gesto e registo de toda
a documentao relevante, assim como o acompanhamento regular dos projetos
que tenham um impacto na privacidade.
Ou seja, o registo interno dever replicar a informao que, pelo menos atualmente,
deve constar dos pedidos de notificao e autorizao submetidos CNPD.
25
Esta maior responsabilizao conjugada com a sujeio dos subcontratantes
aos termos do RGPD. Isto , pela primeira vez os subcontratantes so regulados
diretamente, passando a estar sujeitos a uma srie de obrigaes e tambm
sanes at agora apenas impostas aos responsveis pelo tratamento.
15Existem j diversas Entidades certificadas no mercado que, aps um processo de avaliao rigoroso das atividades
de uma organizao ou de um determinado projeto, atribuem um selo ou marca de conformidade com a legislao
europeia em privacidade e proteo de dados pessoais.
26
2. Consentimento
O RGPD vem clarificar as condies que devem ser verificadas para que o consentimento
do titular dos dados seja considerado vlido e, como tal, um fundamento legal para o
tratamento de dados.
Prev-se agora expressamente que o titular dos dados tenha o direito de retirar o seu
consentimento a qualquer momento (o que no afeta a licitude do tratamento feito at
ao momento), devendo ser to fcil de retirar quanto de dar direito ao esquecimento.
Estes dados podem ser tratados para os fins acima referidos, contanto que sejam tratados
por ou sob a responsabilidade de um profissional sujeito obrigao de sigilo profissional,
ou por outra pessoa igualmente sujeita a uma obrigao de confidencialidade.
16 Espera-se tambm que a Diretiva e-Privacy e, por conseguinte, a Lei n. 41/2004, de 18 de agosto (alterada pela Lei
n. 46/2012, de 29 de agosto), venha a sofrer alteraes de forma a ser compatibilizada com o RGPD.
27
3. Direitos dos Titulares dos Dados
Devero, ainda, ser adotados mecanismos que permitam agilizar o exerccio dos
direitos dos titulares dos dados (incluindo meios para pedidos eletrnicos e de
resposta aos titulares num determinado prazo).
28
(ii) O direito limitao do tratamento que prev que o titular dos dados possa
opor-se ao apagamento dos seus dados pessoais e solicitar, em contrapartida, a
18
limitao do tratamento dos seus dados . Nesta tica, as Entidades integrantes do
SNS devero comunicar a cada destinatrio a quem os dados pessoais tenham
sido transmitidos e qualquer limitao do tratamento que tenham efetuado;
(iii) O direito portabilidade dos dados passando o titular dos dados a ter direito:
A receber os dados pessoais que lhe digam respeito e que tenha fornecido s
Entidades integrantes do SNS, num formato estruturado, de uso corrente e de
leitura automtica;
Se o tratamento for realizado por meios automatizados, a transmitir esses dados a
outro responsvel pelo tratamento. A transmisso deve ocorrer diretamente de um
sistema de processamento eletrnico de um responsvel para outro, sempre que
tal seja tecnicamente possvel.
4. Segurana
17Este direito afastado na medida em que o tratamento se revele necessrio por motivos de interesse pblico no
domnio da sade pblica, nos termos previstos no RGPD.
18Esta operao definida pelo RGPD como a insero de uma marca nos dados pessoais conservados com o
objetivo de limitar o seu tratamento no futuro.
19Tratamento de dados pessoais de forma a que deixem de poder ser atribudos a um titular de dados especfico sem
recorrer a informaes suplementares, desde que essas informaes suplementares sejam mantidas separadamente
e sujeitas a medidas tcnicas e organizativas para assegurar que os dados pessoais no possam ser atribudos a uma
pessoa singular identificada ou identificvel.
29
(iii) A capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais
de forma atempada no caso de um incidente fsico ou tcnico;
(iv) Um processo para testar, apreciar e avaliar regularmente a eficcia das medidas
tcnicas e organizativas para garantir a segurana do tratamento.
Em geral, o RGPD trar um reforo dos recursos e dos poderes de fiscalizao das
autoridades nacionais de proteo de dados em Portugal, da CNPD.
A par do reforo dos poderes das autoridades reguladoras, o RGPD estabelece sanes
consideravelmente mais gravosas do que o atual quadro legal, podendo ascender os
20 milhes de Euros (por exemplo, por incumprimento das regras de consentimento).
30
Os Estados-Membros podem ainda prever normas que permitam determinar se e em
que medida as coimas podem ser aplicadas s autoridades e organismos pblicos
estabelecidos no seu territrio.
20 Atualmente encontram-se previstas na LPDP a possibilidade de aplicao das seguintes sanes acessrias, as
quais possvel que transitem para o novo quadro legal: (i) a proibio temporria ou definitiva do tratamento, o
bloqueio, o apagamento ou a destruio total ou parcial dos dados, (ii) a publicidade da sentena condenatria, ou (iii)
a advertncia ou censura pblicas do responsvel pelo tratamento.
31
Resumo das Obrigaes
a cumprir pelas Entidades:
32
Algumas boas prticas.
Como estar preparado?
Governance das matrias Maior responsabilizao das Entidades na verificao
do cumprimento do RGPD e da existncia de
de dados pessoais documentao que evidencie tal cumprimento
Com isto, e com vista a responder aos desafios decorrentes, existe um conjunto de boas
prticas que devero ser implementadas pelas Entidades pblicas integrantes do SNS
at 25 de maio de 2018.
33
GESTORES HOSPITALARES
Equipa Afeta
implementao do RGPD
Os primeiros passos devero ser o alinhamento da estratgia da Entidade com a
estratgia global do sistema de informao da sade bem como com o ENESIS
2020. Dever ainda assegurar-se a constituio de uma equipa de projeto temporria
responsvel pelo acompanhamento e garantia da implementao dos requisitos da
RGPD. A equipa dever ser multidisciplinar, de forma a cobrir todas as variantes desde
logo, com elementos do departamento jurdico, do departamento de recursos humanos,
da direo de compras, da rea mdica, e do IT. Ser essencial que o DPO integre,
naturalmente, esta equipa e coordene os trabalhos de implementao do RGPD na
Entidade.
Esta equipa dever efetuar um levantamento do tratamento de dados existentes,
identificando aspetos como, at data, os dados esto a ser tratados, para que,
posteriormente, se possam identificar as reas que carecem de alterao de forma a
assegurar o cumprimento do RGPD.
Governana
Tendo em considerao as obrigaes que impendem sobre as Entidades integrantes
do SNS, essencial que, dentro de cada Entidade e em alinhamento com os modelos
de governana e gesto do sistema de informao da sade e do eSIS, se defina a
estrutura de governana da proteo de dados pessoais e se identifique um DPO. O
DPO ser responsvel pelo acompanhamento dos temas de proteo de dados dentro
de cada Entidade.
34
Consciencializao e Sensibilizao
Processos e Procedimentos
A mudana de paradigma introduzida pelo RGPD implica uma maior responsabilizao das
Entidades integrantes do SNS, pelo que ser fundamental adaptar e/ou criar processos
e procedimentos internos que evidenciem o cumprimento das novas disposies legais.
A partilha de boas prticas entre as Entidades do sistema de informao da sade ser
uma mais valia para a garantia de um ambiente de controlo adequado em todo o SNS.
Os processos devero ainda incluir regras sobre a criao de ficheiros e bases prprias
pelos colaboradores e prestadores de servios, estipulando, nomeadamente, que no
devero ser criados ficheiros que repliquem a informalo constante das bases de
dados e aplicaes em utilizao na Entidade integrante do SNS.
Dever ser assegurado que qualquer contratao de terceiros que, no mbito da prestao
de servios, tenham acesso a dados pessoais da responsabilidade da Entidade, dever
ser precedida de uma anlise das garantias de cumprimento da legislao de proteo
de dados pessoais e da implementao de medidas de segurana por parte de tais
terceiros.
Os contratos a celebrar com estas entidades devero, assim, incluir clusulas especficas
de proteo de dados que, desde logo, limitem o tratamento dos dados execuo do
contrato e s instrues da Entidade.
35
Estratgia de Comunicao
Polticas e Condutas
de Cdigos Internos
36
PROFISSIONAIS DE SADE
Destacam-se as seguintes:
Recolha de Consentimento
e Prestao de Informao
37
Se o titular est ou no obrigado a fornecer os dados, e consequncias do no
fornecimento;
Existncia de decises automatizadas (i.e. indicao se o titular dos dados fica
sujeito a qualquer deciso tomada exclusivamente com base no tratamento
automatizado dos seus dados).
Dever ainda ser obtido o consentimento para o tratamento dos dados, exceto nas
situaes previstas no RGPD (nomeadamente, para proteo de interesses vitais do
titular). No caso de menores, o consentimento dever ser prestado pelos titulares das
responsabilidades parentais do menor.
Registo e Acesso
Informao Clnica
O registo da informao clnica dos utentes deve ser efetuado, diretamente, pelo
profissional da rea de sade. Apenas devem ser recolhidos e, consequentemente,
registados os dados estritamente necessrios para assegurar a prestao de cuidados
mdicos.
O registo deve ser efetuado nas aplicaes e sistemas aprovados no contexto do eSIS,
no devendo, assim, ser registados quaisquer dados em dispositivos ou equipamentos
da propriedade do profissional e/ou no aprovados.
38
Partilha da Informao Clnica
A informao clnica no deve ser partilhada com terceiros, exceto para assegurar a
continuidade da prestao de cuidados de sade. Nessa situao, o profissional deve
garantir que a partilha efetuada, de forma segura e confidencial, a outro profissional
sujeito obrigao de confidencialidade e sigilo e que se tem todos os cuidados com
esta partilha de informao.
Sempre que tal suceda, devero ser adotadas medidas de segurana especiais, de
forma a assegurar que a informao no acedida por terceiros de forma indevida (em
particular, a informao dever ser anonimizada e/ou encriptada).
39
Utilizao dos Dados
para Finalidades Prprias
O profissional da rea da sade no pode tratar os dados recolhidos no mbito da
prestao de cuidados de sade para finalidades prprias. Caso pretenda utilizar
os dados para fins acadmicos ou de investigao, dever obter a aprovao dos
responsveis da Instituio do SNS, devendo recolher o consentimento do utente para
o efeito, prestando-lhe a informao necessria acerca dos termos em que os dados
iro ser utilizados.
Nesta situao, o profissional ser considerado responsvel pelo tratamento dos dados.
Comunicao de Violaes
de Dados Pessoais
Caso ocorra qualquer falha ou incidente que envolva dados pessoais, os profissionais
de sade devero comunicar de imediato ao responsvel de Proteo de Dados (DPO),
de acordo com os procedimentos estabelecidos para o efeito.
40
PROFISSIONAIS TIC
O RGPD poder ter um impacto acentuado ao nvel dos sistemas de informao das
Organizaes.
41
Avaliaes de Risco
e Vulnerabilidade
Dever ser assegurado que os sistemas e aplicaes permitem, desde logo, as seguintes
funcionalidades:
Portabilidade dos dados;
Interoperabilidade;
Anonimizao, pseudonimizao e encriptao;
Segurana dos dados;
O acesso, retificao e apagamento dos dados;
Sistemas de alerta em caso de incidente de segurana;
Registo de operaes de tratamento;
Auditorias;
Rastreabilidade dos dados comunicados a terceiros;
Controlo de acessos.
42
Partilha de Informao de Segurana
Por forma a criar maior awareness, devero ser partilhadas informaes e dicas de
segurana da informao por todos os intervenientes no ciclo de vida do tratamento de
dados pessoais, ou de uma forma mais alargada por todas as Entidades integrantes do
eSIS.
Mecanismos de Alerta
43
ENTIDADES DO SERVIO
NACIONAL DE SADE
De facto, nas diferentes reas de atuao das Entidades do Servio Nacional de Sade,
so recolhidos e tratados dados pessoais no s da respponsabilidade das Entidades do
Servio Naiconal de Sade (i.e., dados pessoais que a entidade trata em nome prprio,
determinando as finalidades e termos do tratamento), mas tambm dados a que acede
no mbito da prestao de servios a terceiros (, desde logo, o caso do tratamento de
dados no mbito dos servios e da implementao de plataformas disponibilizadas s
Entidades integrantes do SNS).
Produtos (Exemplificativo)
44
Destacam-se, em particular, algumas aes
a desencadear pelas Entidades do Servio
Nacional de Sade em diferentes vertentes:
Definio de regras
internas de controlo de
acessos
45
ENTIDADES DE SADE
HOSPITAIS E CENTROS DE SADE
Nessa medida, atuam como Entidades responsveis, para efeitos da LPDP e do futuro
RGPD, recaindo sobre as Entidades de sade as obrigaes identificadas neste Guia.
46
Existem outras obrigaes e boas prticas que devero ser implementadas num
contexto geogrfico mais global e no local. De facto, e ainda que, em regra, cada
Entidades de sade tenha personalidade jurdica autnoma, recaindo, sobre cada um
deles, todas as obrigaes do RGPD e da Diretiva SRI, existem algumas obrigaes de
cariz organizativo e governana, que poder fazer sentido uma metodologia diferente,
nomeadamente no contexto do eSIS.
47
ENTIDADES DE SADE
CENTROS HOSPITALARES
Na medida em que o volume de dados a tratar ser, em regra, superior ao tratado por
um hospital individualmente considerado, existiro algumas medidas que devero ser
ponderadas pelos Centros Hospitalares, de forma a responder aos desafios do RGPD
e da Diretiva SRI.
Assim, e para alm das aes e boas prticas identificadas anteriormente para os
gestores hospitalares, profissionais de sade e tcnicos TIC, destacam-se, de seguida,
medidas suscetveis de implementao pelos centros hospitalares.
48
ENTIDADES DE SADE
PARCERIAS PBLICO PRIVADAS
Sem prejuzo das aes e boas prticas identificadas anteriormente para os gestores
hospitalares, profissionais de sade e tcnicos TIC, destacam-se, de seguida, algumas
medidas a implementar pelas PPPs.
49
RESUMO DE RECOMENDAES
VETORES
50
PRXIMOS PASSOS:
AVALIE A CAPACIDADE
DE RESPOSTA DA SUA
ORGANIZAO AO RGDP
Para alm do presente Guia, desenvolvido com o objetivo de a dar a conhecer, s
21
Entidades pblicas integrantes do SNS , as condies a que se encontram sujeitas em
relao ao tratamento de dados pessoais em Portugal no contexto do RGPD e da Diretiva
SRI, a SPMS ir disponibilizar uma ferramenta online para autoavaliao preliminar do
nvel de adequao e cumprimento das respetivas regras (RGDP Ferramenta para
Autoavaliao Preliminar do Cumprimento das Regras).
Os resultados obtidos pelas Entidades devem ser utilizados apenas como uma avaliao
preliminar. A ferramenta tem como principal objetivo identificar as reas, mais ou menos
crticas, a serem endereadas pela Instituio no sentido de estarem preparadas para
cumprir as regras do RGDP a partir de maio de 2018.
51
As questes foram mapeadas com os cinco vetores de mudana principais do RGPD
descritas neste Guia, permitindo desta forma implementar um processo de melhoria
contnua que vai alm da conformidade legal e normativa:
Governana dos Dados;
Consentimento;
Direitos dos titulares;
Segurana;
Poder Sancionatrio.
52
GRUPO QUESTO SIM NO COMENTRIOS
REQ.DAD.06 - H na Instituio um
processo, mesmo que manual, para rever a
utilidade
REQ.DAD.08 - H na Instituio um
processo que identifica os dados que podem
ser removidos e que posteriormente envolve
equipas individuais para remoo?
53
GRUPO QUESTO SIM NO COMENTRIOS
REQ.PRO.05 - H na Instituio
processos de consentimento que integram
especificao, tais como: autorizao
de uso; durao de consentimento; e
consentimento dado de livre vontade?
54
GRUPO QUESTO SIM NO COMENTRIOS
REQ.TEC.04 - H na Instituio um
processo implementado, mesmo que
manual, para efetuar a portabilidade de
dados pessoais?
55
GLOSSRIO
As definies abaixo foram adaptadas do texto do RGPD.
GRUPO QUESTO
Tratamento de Dados Pessoais Qualquer operao ou conjunto de operaes efetuados sobre dados
(tratamento) pessoais, com ou sem meios automatizados, tais como a recolha, o
registo, a organizao, a conservao, a adaptao ou alterao, a
recuperao, a consulta, a utilizao, a divulgao por transmisso,
por difuso ou por qualquer outra forma de disponibilizao, a
comparao ou interconexo, bem como a limitao, apagamento ou
destruio.
22
Subcontratante A pessoa singular ou coletiva, a autoridade pblica, a agncia ou
qualquer outro organismo que trate os dados pessoais por conta do
responsvel pelo tratamento destes.
22Na traduo para portugus da expresso data processor, denominou-se esta Entidade como subcontratante, em
vez de subcontratado em todo o caso, ambas as expresses tm o mesmo significado.
56
GRUPO QUESTO
Dados Pessoais relativos O RGPD define-os expressamente como dados pessoais relacionados
Sade com a sade fsica ou mental de uma pessoa singular, no passado,
presente e no futuro, incluindo a inscrio e prestao de servios de
sade, que revelem informaes sobre o seu estado de sade.
Limitao do Tratamento Insero de uma marca nos dados pessoais conservados com o
objetivo de limitar o seu tratamento no futuro.
57
GRUPO QUESTO
Data minimisation Significa que os dados pessoais recolhidos devem ser limitados ao que
(minimizao dos dados) necessrio relativamente s finalidades para as quais so tratados.
Violao de dados pessoais Violao da segurana que provoque, de modo acidental ou ilcito,
a destruio, a perda, a alterao, a divulgao ou o acesso no
autorizado, a dados pessoais transmitidos, conservados ou sujeitos a
qualquer outro tipo de tratamento.
Violao de segurana Evento com um efeito adverso real na segurana das redes e dos
(incidentes de segurana) sistemas de informao, tal como um acesso no autorizado ao
sistema de informao.
58
60