AEPD: acesso ao histórico e direitos em clínicas privadas

A AEPD (Agencia Española de Protección de Datos, a autoridade espanhola de proteção de dados) adotou um critério interpretativo que reconhece o direito dos cidadãos a conhecer a identidade exata das pessoas singulares que acedem aos seus dados de saúde eletrónicos, segundo a informação publicada pelo elEconomista. Em paralelo, a própria AEPD mantém ativos os seus canais e formulários para o exercício de direitos em matéria de proteção de dados, no quadro do Regulamento Geral sobre a Proteção de Dados (RGPD) e da Lei Orgânica espanhola 3/2018 (LOPDGDD), segundo o seu site oficial. Para as clínicas e consultórios privados em Espanha, o efeito imediato é operacional: rever como se registam os acessos ao processo clínico, como se responde aos pedidos de acesso e que informação se entrega quando o paciente pede rastreabilidade.

O que mudou: identidade do pessoal nos acessos a dados de saúde

A nova abordagem divulgada pelo elEconomista centra-se no acesso eletrónico a dados de saúde: o cidadão teria direito a conhecer a identidade exata das pessoas singulares que acederam à sua informação clínica, segundo o referido meio, ao referir-se ao critério interpretativo adotado pela AEPD. Para uma clínica privada, isto afeta qualquer sistema que faça a gestão do processo clínico eletrónico, visualizadores de exames, agendas com anotações clínicas ou repositórios onde existam dados de saúde.

Na prática, a medida obriga a repensar o alcance da «informação de acessos» fornecida quando o paciente exerce o seu direito de acesso. Até agora, muitas organizações respondiam com listagens genéricas (perfil, serviço, função ou departamento). Se o critério se consolidar tal como o descreve o elEconomista, será necessário identificar a pessoa concreta que acedeu (não apenas a sua função), além de manter a rastreabilidade do que foi consultado e quando, de acordo com a abordagem de responsabilidade proativa que exige o RGPD, publicado no BOE (Boletín Oficial del Estado, o jornal oficial espanhol).

A AEPD não apresenta este critério como uma recomendação técnica, mas como uma interpretação do direito dos cidadãos sobre os dados de saúde, segundo a cobertura do elEconomista. Por isso, a clínica deve tratá-lo como um ponto de conformidade a rever, e não como uma melhoria opcional.

Impacto direto na clínica: auditoria de acessos e resposta a pedidos

A consequência para a gerência e a direção clínica é dupla: (1) garantir que o sistema guarda registos de acesso suficientes e (2) definir um procedimento interno para responder aos pedidos de exercício de direitos com a informação correta.

A AEPD disponibiliza informação sobre o exercício de direitos — acesso, retificação, apagamento, etc. — e modelos e formulários para os tramitar, segundo as suas páginas «Ejerce tus derechos» (exerça os seus direitos) e «Modelos y formularios» (modelos e formulários). Isso implica que uma clínica pode receber pedidos normalizados e deve ter um circuito para os registar, verificar e responder.

Além disso, o RGPD (publicado no BOE) define o quadro geral: o responsável pelo tratamento deve garantir que o titular dos dados pode exercer os seus direitos e receber uma resposta conforme a norma. A gestão dos acessos a dados de saúde, pela sua natureza especialmente sensível, exige controlos e provas reforçados em caso de reclamação junto da AEPD, segundo o esquema geral do RGPD.

Passando a tarefas concretas de gestão, nas clínicas privadas isto traduz-se em:

• Rever se o registo de acessos identifica um utilizador nominal (nome e apelidos ou um identificador inequívoco atribuído a uma pessoa singular) e não apenas um perfil genérico, de acordo com o critério divulgado pelo elEconomista.
• Verificar que não existem contas partilhadas, já que dificultam demonstrar quem acedeu a que dados e quando, em linha com a necessidade de rastreabilidade subjacente ao critério da AEPD citado pelo meio.
• Alinhar o procedimento de resposta aos pedidos de exercício de direitos com os formulários da AEPD, para evitar respostas incompletas ou fora do padrão documental esperado pela Agência.

Direitos do paciente: o que mais se pede e como se encaminha

A AEPD recorda, na sua secção «Ejerce tus derechos», que a normativa permite ao cidadão dirigir-se ao responsável pelo tratamento para exercer os seus direitos. Publica também «Modelos y formularios» para o direito de acesso e outros, segundo o seu site oficial.

Para uma clínica, isto significa que os pedidos podem chegar por várias vias (presencialmente, por correio, por canais digitais), mas o conteúdo tende a convergir: acesso a dados, cópia de informação, esclarecimentos sobre tratamentos ou identificação de acessos. Dado o critério divulgado pelo elEconomista sobre a identidade exata de quem acede, é previsível que aumentem os pedidos do tipo «quem viu o meu processo clínico», pelo que convém preparar respostas que incluam o que o critério exige e separar claramente que parte são dados do paciente e que parte é informação associada à rastreabilidade dos acessos.

A AEPD disponibiliza modelos para organizar estes pedidos, segundo a sua própria secção de formulários, o que facilita ao responsável pelo tratamento encaminhar o pedido sem improvisar modelos internos que omitam informação relevante.

Pessoal, controlo interno e gravações: lições de resoluções recentes

Embora não sejam do âmbito da saúde, algumas atuações e resoluções da AEPD servem de aviso prático sobre práticas intrusivas no ambiente de trabalho.

Por um lado, o Confilegal noticia uma sanção da AEPD a uma empresa por gravar conversas de trabalhadores para justificar um despedimento, e menciona que a AEPD cita a sentença SAN 4102/2025 da Audiencia Nacional espanhola, de 29 de setembro, sobre o caráter intrusivo da gravação de voz e a necessidade de uma justificação reforçada de idoneidade, necessidade e proporcionalidade. Numa clínica privada, isto afeta qualquer ideia de gravar áudio no balcão, num call center interno ou em zonas de trabalho: antes de o implementar, a direção deve exigir fundamento e justificação documentados, além de informar adequadamente, segundo a abordagem descrita pelo Confilegal.

Por outro, o Confilegal publicou também um caso em que a AEPD censura que não tenha sido atendido um pedido de apagamento de dados, recordando que a ausência temporária (férias) não dispensa de tratar os pedidos, segundo o referido meio. Para uma clínica com uma estrutura pequena, isto é especialmente relevante: é preciso prever substituições e uma caixa de correio operacional para os direitos, porque a obrigação de resposta recai sobre o responsável pelo tratamento, e não sobre uma pessoa concreta.

Em matéria de videovigilância, o elEconomista noticia uma sanção da AEPD por câmaras no interior de uma habitação arrendada, um contexto diferente do da saúde, mas útil para recordar que a instalação de câmaras em espaços privados ou não justificados pode ser ilícita. Nas clínicas, isto traduz-se em rever localizações (nunca em zonas onde se comprometa a intimidade) e finalidades, e em documentar a análise de proporcionalidade quando a instalação possa afetar trabalhadores ou pacientes, em coerência com os critérios habituais da AEPD.

Quadro normativo aplicável e o que rever agora

O quadro geral continua a ser o RGPD, publicado no BOE, e a LOPDGDD, segundo a AEPD na sua secção de perguntas frequentes, onde remete para o artigo 7.º em matéria de menores (embora centrado na educação, é uma referência direta à LOPDGDD e à sua estrutura). Numa clínica privada, o tratamento de dados de saúde exige uma atenção especial pela categoria dos dados e pela obrigação de limitar os acessos ao pessoal autorizado.

Com a informação disponível em fontes públicas, a revisão prioritária para a direção e a gerência passa por:

• Rastreabilidade nominal dos acessos ao processo clínico: o que se regista e o que se pode comunicar ao paciente, segundo o critério interpretativo divulgado pelo elEconomista.
• Procedimento de direitos: canal, registo interno, responsáveis pela resposta e uso dos formulários da AEPD, segundo as suas páginas de direitos e de modelos.
• Controlos internos laborais: evitar medidas especialmente intrusivas (como a gravação de voz) sem justificação reforçada, à luz do que publicou o Confilegal.
• Cobertura operacional durante as ausências: garantir a continuidade na resposta aos pedidos de exercício de direitos, segundo o caso noticiado pelo Confilegal.

Referências e ligações

• Critério da AEPD sobre a identidade nos acessos ao processo clínico (publicado pelo elEconomista).
• Quadro do RGPD no BOE.
• Página da AEPD para exercer direitos.
• Modelos e formulários da AEPD para pedidos.
• Caso sobre um pedido de apagamento e a obrigação de responder (Confilegal).
• Sanção por gravação de conversas no trabalho (Confilegal).
• Referência do elEconomista a uma sanção por videovigilância no interior de uma habitação.

Este artigo resume informação pública do setor. Não constitui aconselhamento jurídico nem fiscal.