Regulamentação e RGPD 8 de setembro de 2026 · 13 min de leitura

RGPD na ficha do paciente: o que guardar e por quanto tempo

Que dados podem constar na ficha do paciente, com que fundamento de licitude e como fixar prazos de conservação e acessos segundo o RGPD e a LOPDGDD espanhola.

Principais conclusões

A ficha do paciente pode incluir dados de saúde de categoria especial apenas se forem necessários para a prestação de cuidados e com um fundamento de licitude adequado, normalmente por obrigação sanitária.
O prazo de conservação do processo clínico não é fixado pelo RGPD de forma única: depende da normativa sanitária aplicável e de critérios documentados da clínica.
O direito de acesso do paciente obriga a responder com uma cópia e explicações compreensíveis, mas não implica entregar códigos internos, notas não clínicas ou dados de terceiros.
A forma mais segura de cumprir é separar os dados assistenciais dos dados administrativos, controlar as permissões por perfil e registar quem acede ou altera.

A ficha do paciente é o centro operacional da consulta: o que se regista na receção, o que o profissional vê e o que se usa para faturar. Com o RGPD, o objetivo não é «guardar menos por medo», mas sim guardar o necessário, durante o tempo justificado e com controlo de acessos.

O que é a «ficha do paciente» para efeitos do RGPD

Na clínica privada, a «ficha» costuma misturar três coisas que convém distinguir, porque não têm o mesmo enquadramento nem o mesmo uso:

Dados administrativos e de contacto

São os que permitem identificar e coordenar a prestação de cuidados: nome, DNI/NIE (documentos de identificação espanhóis), telefone, e-mail, morada, pessoa de contacto, forma de pagamento, seguradora, etc. Não são dados de saúde, mas continuam a ser dados pessoais e têm de ser tratados com ordem.

Ação aplicável (hoje): reveja o seu modelo de registo de pacientes e assinale com duas cores que campos são «administrativos» e quais são «assistenciais»; se estiverem misturados, separe-os.

Dados assistenciais (processo clínico)

Aqui entram os dados de que o profissional precisa para prestar cuidados: motivo da consulta, antecedentes relevantes, exame físico, evolução, exames complementares, relatórios, diagnósticos, tratamentos, consentimentos informados clínicos, etc. No RGPD, são dados de saúde de categoria especial.

Segundo o RGPD, os dados de saúde são uma categoria especial e exigem um fundamento reforçado para serem tratados.

Ação aplicável: defina por escrito que documentos fazem parte do processo clínico no seu centro (por exemplo: anamnese, notas de sessão, relatórios emitidos, consentimentos).

Dados de gestão interna (agenda, pagamentos, incidências)

A agenda, os lembretes, os pagamentos, as devoluções, as faltas («no show»), as mensagens da receção ou uma incidência («chegou atrasado, reagendar») costumam estar no mesmo sistema. Nem tudo isso é processo clínico, mas pode conter informação sensível se for mal redigido.

Exemplo realista da receção: em vez de «vem por ansiedade e medicação», na agenda basta «revisão» ou «consulta de seguimento». O detalhe assistencial deve ficar na parte clínica.

Ação aplicável: reveja 20 consultas ao acaso na agenda e verifique se há detalhes clínicos desnecessários no título ou em notas visíveis para toda a equipa.

Que dados se podem guardar: o critério da necessidade

A pergunta útil não é «posso guardar X?», mas sim «é necessário para prestar cuidados, cumprir obrigações ou gerir a relação com o paciente?». O RGPD exige minimização: guardar o que é adequado, pertinente e limitado.

Campos que costumam ser necessários

Identificação: nome e apelidos, documento de identificação se precisar dele para faturação/seguradoras.
Contacto: telefone e/ou e-mail para confirmar consultas e enviar documentação.
Dados de faturação: dados fiscais quando emite fatura.
Informação assistencial relevante: o que o profissional precisa para atender e dar continuidade.

Ação aplicável: no formulário de registo, acrescente em cada campo uma nota interna: «porque o pedimos». Se não o conseguir justificar numa frase, elimine-o ou torne-o opcional.

Campos que costumam gerar problemas

«Observações» abertas sem controlo: transformam-se num saco onde cabe tudo.
Dados de terceiros (companheiro, familiares) introduzidos como texto livre.
Fotografias ou documentos carregados sem etiqueta nem motivo.
Cópias de documentos desnecessários (por exemplo, guardar sistematicamente o DNI digitalizado quando não é preciso).

Prática operacional: se precisar de uma autorização de um familiar para acompanhar o paciente ou tratar de assuntos por ele, crie um documento específico; não a coloque como «nota» na ficha do paciente.

Como redigir notas sem se expor

A maioria das violações de privacidade internas não vem de piratas informáticos, mas de notas demasiado descritivas em campos visíveis para perfis não clínicos.

Receção: regista o estritamente necessário para gerir a consulta («prefere à tarde», «precisa de acessibilidade»), não o motivo clínico.
Profissional: deixa o detalhe clínico na secção clínica, com acesso restrito.

Ação aplicável: crie uma regra interna: «Se a receção o pode ler, não deve conter diagnóstico nem medicação».

Fundamento de licitude: porque pode tratar esses dados

Numa clínica, o fundamento de licitude não é uma frase para o aviso de privacidade; é a razão pela qual pode recolher, usar e conservar dados. Para dados de saúde, além do fundamento geral do artigo 6.º do RGPD, precisa de uma exceção do artigo 9.º do RGPD.

Prestação de cuidados de saúde: na maioria dos casos, não é «consentimento»

Para o tratamento assistencial, o habitual é apoiar-se em obrigações e finalidades sanitárias, e não pedir um consentimento RGPD para tudo. O consentimento RGPD deve ser livre e revogável; se o usar como fundamento para a prestação de cuidados, mete-se num beco sem saída: o que acontece se o paciente o retirar?

A normativa sanitária espanhola aplicável (das comunidades autónomas e do Estado) e o RGPD enquadram o tratamento assistencial nas condições específicas para dados de saúde. No quadro espanhol, a LOPDGDD (a lei orgânica de proteção de dados de Espanha) complementa o RGPD.

Ação aplicável: reveja o seu texto de «consentimento de proteção de dados» no registo. Se misturar a prestação de cuidados de saúde com comunicações comerciais ou lembretes, separe-o em caixas de verificação e finalidades distintas.

Gestão, faturação e obrigações

Faturação e contabilidade: costumam apoiar-se em obrigações legais e na relação contratual.
Consultas e lembretes: costumam enquadrar-se na relação com o paciente (gestão do serviço) e em interesses legítimos bem ponderados, conforme o caso. Se enviar lembretes por WhatsApp ou SMS, documente o canal e a preferência do paciente.

Ação aplicável: defina uma política de comunicações: o que envia (confirmação, alterações, comprovativos), por que canal e com que texto-padrão sem dados clínicos.

Investigação, ensino, marketing: finalidades distintas

Se quiser reutilizar dados para investigação, ensino interno, publicações, testemunhos ou marketing, isso já é outro terreno. Precisa de fundamentos, garantias e, muitas vezes, anonimização ou consentimento específico. Não o misture com a ficha operacional.

Ação aplicável: crie um campo separado «autorizações» com data, finalidade e forma como foi obtida; evite notas livres do tipo «ok para tudo».

Ecrã com a ficha do paciente e permissões

Prazo de conservação do processo clínico: quanto tempo e porquê

O RGPD não dá um número único para conservar processos clínicos; exige que os conserve durante o tempo necessário para a finalidade e que o justifique. Em Espanha, o prazo de conservação do processo clínico apoia-se na normativa sanitária e nos critérios clínicos e legais aplicáveis.

Não confundir: «bloqueio» não é «apagamento»

Em Espanha, a LOPDGDD introduz o conceito de bloqueio: quando já não precisa de tratar os dados, pode conservá-los bloqueados para responder a responsabilidades legais ou reclamações, limitando o acesso.

Ação aplicável: pergunte ao seu consultor ou ao encarregado da proteção de dados (EPD) se o seu procedimento distingue «ativo» de «bloqueado» e como se implementa no seu sistema (permissões, exportação, auditoria).

O que conservar durante mais tempo e o que depurar antes

Documentação clínica relevante para a continuidade dos cuidados: costuma exigir conservação prolongada.
Duplicados e rascunhos: não deveriam transformar-se num «arquivo eterno».
Documentos entregues pelo paciente: conserve o que for relevante; o resto, depure-o com critério.

Exemplo de depuração mensal: PDF repetidos (o mesmo relatório carregado duas vezes), fotografias sem etiqueta, documentos de outro paciente carregados por engano (este último caso é, além disso, um incidente de segurança).

Ação aplicável: crie uma revisão mensal de «anexos por classificar» e uma regra: todo o anexo deve ter tipo (relatório, consentimento, exame, fatura) e data.

Critérios práticos para definir a sua política de conservação

Defina categorias: processo clínico, consentimentos, faturas, comunicações, incidências.
Para cada categoria: finalidade, responsável, acesso, conservação e destino (apagamento ou bloqueio).
Documente a decisão no seu Registo das Atividades de Tratamento (RAT), de acordo com o RGPD.

Ação aplicável: se não tiver uma tabela interna de conservação, crie uma primeira versão numa folha: cinco categorias, uma frase de finalidade e o responsável por revê-la.

Direito de acesso do paciente: o que deve entregar e como

O direito de acesso do paciente implica que, se o paciente o pedir, deve confirmar-lhe se trata os seus dados e dar-lhe acesso aos mesmos, com informação complementar. No contexto da saúde existe, além disso, o acesso à documentação clínica previsto na normativa sanitária.

O que costuma incluir uma resposta correta

Cópia dos dados pessoais do paciente no seu sistema (administrativos e clínicos, conforme se aplique).
Informação sobre finalidades, categorias, destinatários, prazos previstos ou critérios, e direitos.
Se houver relatórios emitidos pela sua clínica, entregá-los num formato compreensível.

Ação aplicável: prepare um modelo interno de resposta ao exercício de direitos: quem o trata, como se verifica a identidade, como se exporta a informação e quem revê antes de enviar.

Limites habituais: terceiros e notas internas

Se no processo aparecerem dados de terceiros (por exemplo, um familiar), é preciso protegê-los.
Notas internas não clínicas ou comentários de gestão podem exigir revisão para não revelar informação de funcionários ou de outros pacientes.

Prática operacional: evite escrever na ficha coisas que não defenderia se amanhã o paciente as pedisse. Se for um incidente laboral (por exemplo, «paciente agressivo»), faça a gestão do risco com um procedimento interno, mas redija com factos e sem juízos de valor.

Como gerir pedidos na receção sem bloquear a agenda

Um pedido de acesso costuma chegar por e-mail ou ao balcão. O erro típico é improvisar: «Envio-lhe isso esta tarde» e depois não há rastreabilidade.

Fluxo simples:

A receção regista o pedido (data, canal).
Verificação da identidade (presencialmente com documento ou por canal seguro).
O responsável (gerência/EPD) valida o âmbito.
Exportação a partir do sistema e revisão de dados de terceiros.
Entrega pelo canal acordado e registo da entrega.

Ação aplicável: estabeleça uma caixa de correio única (por exemplo, privacidade@oseudominio) e proíba a gestão de direitos por WhatsApp.

Acessos, permissões e rastreabilidade dentro da clínica

O RGPD não trata apenas do «que guarda», mas de quem o vê e o que pode alterar. Na clínica, isto decide-se por perfis e por circuitos.

Perfis típicos e o que deveriam ver

Receção/administração: contacto, agenda, faturação, consentimentos administrativos; não o detalhe clínico.
Profissionais de saúde: processo clínico completo dos seus pacientes e, se for o caso, acesso partilhado pela equipa assistencial.
Gerência: dados agregados e faturação; acesso clínico apenas se estiver justificado e documentado.
Fornecedores externos: acesso mínimo e ao abrigo de um contrato de subcontratante.

Isto liga-se ao princípio da «necessidade de conhecer».

Ação aplicável: faça a lista da sua equipa e atribua um perfil de acesso por pessoa (não por «secção»). Reveja entradas e saídas: quando alguém sai, o acesso é revogado no próprio dia.

Registo de acessos e alterações

Numa inspeção ou num incidente, a pergunta é simples: «consegue demonstrar quem acedeu?». Um sistema com rastreabilidade ajuda, mas também precisa de um procedimento.

Ação aplicável: verifique semanalmente (10 minutos) se há acessos a partir de contas genéricas ou partilhadas. Se existirem, plano de eliminação: cada utilizador, a sua conta.

Subcontratantes: contabilidade, laboratório, alojamento, mensagens

Se um fornecedor trata dados por sua conta, tem de haver um contrato de subcontratante e medidas. Isto aplica-se a serviços de e-mail, mensagens, armazenamento e suporte informático.

Ação aplicável: peça a cada fornecedor que lide com dados pessoais: contrato de subcontratante, localização dos dados, subcontratantes ulteriores e procedimento em caso de incidentes.

Como aplicar isto na sua clínica

Gerência: esta semana, marque uma reunião de 30 minutos e defina três categorias de informação no seu sistema: administrativa, clínica e de gestão interna; deixe por escrito um exemplo de cada uma.
Verificação: qualquer pessoa da equipa consegue classificar 10 campos sem hesitar.
Receção/administração: reveja o formulário de registo e elimine ou torne opcionais os campos sem justificação operacional.
Verificação: o registo pode ser concluído sem escrever texto livre em «observações».
Direção clínica ou responsável clínico: defina que documentos fazem parte do processo clínico e onde são registados (não na agenda).
Verificação: numa auditoria interna a 5 processos, as notas clínicas estão na secção clínica, não nas marcações.
Responsável pela proteção de dados/assessoria (ou gerência, se não houver EPD): redija uma tabela simples de conservação por categorias e decida o que se bloqueia e o que se elimina.
Verificação: existe um documento interno com versão, data e responsável, ainda que seja uma primeira versão.
Responsável de sistemas ou fornecedor de informática: configure permissões por perfil e proíba contas partilhadas; defina o circuito de desativação de utilizadores.
Verificação: é possível listar os utilizadores ativos e o seu perfil; as saídas de pessoal refletem-se nos acessos no próprio dia.
Toda a equipa: prepare um modelo de resposta ao direito de acesso e um canal único para pedidos.
Verificação: a receção sabe onde registar o pedido e o que não prometer; a clínica consegue exportar a informação sem improvisar.

Perguntas frequentes

Posso usar o consentimento para tratar toda a ficha?

Não é o habitual na prestação de cuidados de saúde. O fundamento de licitude costuma apoiar-se na prestação de serviços de saúde e nas obrigações aplicáveis, e o consentimento fica reservado para finalidades separadas. Se o usar para tudo, uma retirada deixa-o sem fundamento para continuar a tratar dados necessários.

O que acontece se um paciente pedir cópia de tudo?

Deve responder ao direito de acesso do paciente e facultar-lhe os seus dados e a documentação que se aplique, com revisão dos dados de terceiros. Não tem de entregar informação que afete outros pacientes nem dados internos que não lhe digam respeito. Defina um circuito de verificação da identidade e de entrega segura.

A receção pode ver as notas clínicas no sistema?

Só se estiver justificado por funções concretas e documentadas e, mesmo assim, convém limitá-lo. A prática mais segura é a receção ver dados administrativos e de agenda, não o detalhe assistencial. Ajuste as permissões por perfil e evite escrever informação clínica em campos visíveis.

Como fixo o prazo de conservação sem me enganar?

Documente critérios por tipo de documento e apoie-se na normativa sanitária aplicável e, em Espanha, na LOPDGDD quanto ao bloqueio. Não procure um número único «para tudo»; defina categorias e reveja a política periodicamente. Se tiver dúvidas, valide o critério com o seu consultor ou EPD.

Este artigo é informativo e não constitui aconselhamento jurídico nem fiscal. Consulte o seu consultor antes de tomar uma decisão.

Ligações externas

Etiquetas RGPD ficha do paciente processo clínico AEPD