Sebenta · Implementar o regime de proteção de dados pessoais (RGPD) na farmácia (UC03490)

Introdução

Esta sebenta prepara-te para implementar o regime de proteção de dados pessoais no dia a dia de uma farmácia. Não é uma disciplina de direito abstrato: é uma competência prática, tão real como pesar um medicamento ou conferir uma receita, porque a farmácia trata, todos os dias, um dos tipos de dados mais protegidos que existem, os dados de saúde dos seus utentes.

O Regulamento Geral sobre a Proteção de Dados, o RGPD, Regulamento (UE) 2016/679, de 27 de abril de 2016, é aplicável em toda a União Europeia desde 25 de maio de 2018. Em Portugal, é complementado pela Lei n.º 58/2019, de 8 de agosto, que assegura a sua execução na ordem jurídica nacional. A autoridade nacional que fiscaliza o seu cumprimento é a CNPD, a Comissão Nacional de Proteção de Dados.

Objetivos de aprendizagem (referencial): identificar os aspetos gerais do RGPD; perceber a sua importância e conhecer a sua aplicabilidade nas farmácias, com enfoque nas atividades de tratamento de dados pessoais dos utentes; conhecer os papéis do responsável pelo tratamento, do subcontratante e do encarregado de proteção de dados; cumprir o RGPD na atividade profissional; e reconhecer e apoiar a implementação de ações concretas, incluindo a sua revisão periódica.

Ao longo dos doze capítulos seguintes, percorremos os princípios do RGPD, as bases legais que permitem tratar dados, os papéis dos vários intervenientes, os direitos dos utentes, e a aplicação concreta destas regras a cada ponto de contacto da farmácia com os dados pessoais, do balcão ao arquivo.

1. O RGPD e a proteção de dados pessoais

O que é e a quem se aplica

O RGPD é um regulamento europeu, o que significa que é de aplicação direta em todos os Estados-membros da União Europeia, sem necessidade de ser transposto por uma lei nacional específica, ao contrário de uma diretiva. Em Portugal, a Lei n.º 58/2019, de 8 de agosto, complementa-o, definindo alguns aspetos de execução na ordem jurídica interna, como o regime sancionatório e as competências da CNPD.

O RGPD aplica-se a qualquer entidade, pública ou privada, que trate dados pessoais de pessoas singulares, incluindo uma farmácia, seja ela um estabelecimento independente ou parte de um grupo.

Porque a farmácia é um caso especialmente sensível

Poucas atividades comerciais lidam, diariamente, com dados tão sensíveis como uma farmácia:

• Receitas médicas, eletrónicas ou em papel, que associam um nome a uma medicação e, indiretamente, a uma patologia.
• Histórico de compras e de medicação, muitas vezes revelador de doenças crónicas.
• Cartões de fidelização, com perfis de consumo.
• Entregas ao domicílio, com moradas e disponibilidade horária.
• Videovigilância da loja.

A combinação de volume (muitos utentes, todos os dias) e sensibilidade (dados de saúde) coloca a farmácia entre os estabelecimentos comerciais com maior responsabilidade em proteção de dados.

Exemplo resolvido · identificar o enquadramento

Uma auxiliar de farmácia recebe uma receita eletrónica ao balcão, consulta o histórico de medicação do utente no sistema e regista a venda.

1. Existe tratamento de dados pessoais? Sim: nome do utente, medicação, histórico de compras.
2. Envolve dados de saúde? Sim: a medicação e a receita revelam informação clínica.
3. Aplica-se o RGPD? Sim, integralmente, com o regime reforçado do artigo 9.º para dados de saúde.
4. Conclusão: cada venda com receita é, em simultâneo, um ato de dispensa farmacêutica e um ato de tratamento de dados pessoais sujeito ao RGPD.

2. Dados pessoais e dados de saúde

O que conta como dado pessoal

Um dado pessoal é qualquer informação relativa a uma pessoa singular identificada ou identificável, direta ou indiretamente. A identificação pode ser direta (nome, NIF, número de utente de saúde) ou indireta, através da combinação de vários elementos que, juntos, apontam para uma pessoa concreta (morada, idade e medicação, por exemplo).

O suporte é irrelevante: papel, sistema informático, gravação de videovigilância, ou uma simples anotação num bloco de notas contam da mesma forma.

Dados de saúde: categoria especial (artigo 9.º)

O artigo 9.º do RGPD classifica os dados de saúde como uma categoria especial de dados pessoais, juntamente com outros dados de elevada sensibilidade, como origem racial ou étnica, convicções religiosas, ou orientação sexual.

O tratamento destes dados é, em regra, proibido (artigo 9.º, n.º 1), salvo quando se enquadra numa das exceções do n.º 2 do mesmo artigo. As mais relevantes para a farmácia são:

• Prestação de cuidados de saúde e gestão de sistemas de saúde (alínea h)), desde que os dados sejam tratados por um profissional sujeito a sigilo profissional, ou sob a sua responsabilidade (n.º 3).
• Interesse público no domínio da saúde pública (alínea i)), por exemplo a farmacovigilância e a segurança dos medicamentos.
• Consentimento explícito do titular, para uma finalidade específica (alínea a)), reservado aos tratamentos que vão além do necessário aos cuidados de saúde.

Na prática diária da farmácia, a maior parte do tratamento de dados de saúde assenta na prestação de cuidados de saúde sob sigilo profissional, combinada com uma base do artigo 6.º, tipicamente o cumprimento de obrigações legais a que a farmácia está sujeita na dispensa de medicamentos. Não depende de um consentimento pedido a cada venda.

Exemplo resolvido · classificar um dado

Classifica cada um destes dados quanto ao seu tipo e ao regime aplicável: (a) o nome de um utente; (b) o seu histórico de medicação para a tensão arterial; (c) a matrícula do seu carro, deixada para uma entrega.

Resolução: (a) dado pessoal comum, identificação direta; (b) dado de saúde, categoria especial do artigo 9.º, regime reforçado; (c) dado pessoal comum, identificação indireta associada à entrega ao domicílio. Todos são dados pessoais, mas só o (b) exige o cuidado adicional das categorias especiais.

3. Os sete princípios do tratamento de dados

O artigo 5.º do RGPD estabelece sete princípios que qualquer tratamento de dados pessoais tem de respeitar, em qualquer setor de atividade.

Estes sete princípios funcionam como um teste a aplicar a qualquer situação nova: perante uma dúvida sobre como tratar um dado, é a esta lista que se deve voltar primeiro.

Exemplo resolvido · aplicar os sete princípios

A farmácia quer lançar um cartão de fidelização com registo de compras.

1. Licitude: a base legal é o consentimento do utente; se o registo incluir compras de medicamentos, que podem revelar doenças, o consentimento tem de ser explícito.
2. Limitação das finalidades: os dados servem só o programa de fidelização.
3. Minimização: pedir apenas nome e contacto, sem exigir dados desnecessários como a morada completa.
4. Exatidão: permitir ao utente atualizar o seu contacto.
5. Limitação da conservação: definir um prazo para os dados, se o cartão deixar de ser usado.
6. Integridade e confidencialidade: restringir o acesso à base de dados do cartão.
7. Responsabilização: guardar prova do consentimento dado.

Percorrer os sete princípios, um a um, evita esquecer alguma dimensão importante ao desenhar um novo serviço.

4. Bases de licitude do tratamento

As seis bases do artigo 6.º

Para que um tratamento de dados pessoais seja lícito, tem de assentar numa destas bases:

• Consentimento do titular, livre, específico, informado e inequívoco.
• Execução de um contrato com o titular, ou diligências pré-contratuais a seu pedido.
• Cumprimento de uma obrigação legal a que o responsável esteja sujeito.
• Proteção de interesses vitais do titular ou de terceiro.
• Exercício de funções de interesse público.
• Interesses legítimos do responsável ou de terceiro, desde que não prevaleçam os direitos e liberdades do titular.

A base específica para dados de saúde

Como visto no capítulo 2, tratar dados de saúde exige duas condições em simultâneo: uma base de licitude do artigo 6.º e uma exceção do artigo 9.º, n.º 2. Na farmácia, as combinações mais relevantes são:

• Dispensa de medicamentos e acompanhamento do utente: cumprimento de obrigação legal (artigo 6.º), associada à dispensa e às regras do sistema de saúde, com a exceção da prestação de cuidados de saúde por profissional sujeito a sigilo profissional (artigo 9.º, n.º 2, alínea h), e n.º 3).
• Notificação de reações adversas a medicamentos: cumprimento de obrigação legal, com a exceção do interesse público no domínio da saúde pública (artigo 9.º, n.º 2, alínea i)).
• Serviços opcionais ou marketing que usem dados de saúde (por exemplo, promoções escolhidas com base na medicação habitual): consentimento explícito (artigo 9.º, n.º 2, alínea a)).

Exemplo resolvido · escolher a base certa

Para cada situação, identifica a base de licitude mais adequada: (a) guardar a fatura de uma venda; (b) dispensar um medicamento com receita médica; (c) enviar por SMS uma promoção de um novo serviço de nutrição.

Resolução: (a) cumprimento de obrigação legal, fiscal e contabilística (artigo 6.º); (b) cumprimento de obrigação legal (artigo 6.º), com a exceção da prestação de cuidados de saúde sob sigilo profissional (artigo 9.º, n.º 2, alínea h)); (c) consentimento do utente, por se tratar de marketing que vai além da dispensa; a lei das comunicações eletrónicas (Lei n.º 41/2004) exige consentimento prévio para SMS promocionais, e se a escolha dos destinatários usar dados de saúde, o consentimento tem de ser explícito.

5. Os intervenientes: responsável, subcontratante e encarregado de proteção de dados

Responsável pelo tratamento

O responsável pelo tratamento é a entidade que determina as finalidades e os meios do tratamento de dados pessoais. Numa farmácia, é a própria farmácia, enquanto entidade jurídica, que ocupa este papel.

Ser responsável significa responder, perante a CNPD e os titulares, por todo o tratamento realizado, incluindo o que é executado por terceiros em seu nome.

Subcontratante

O subcontratante trata dados pessoais por conta do responsável, seguindo as suas instruções, sem decidir autonomamente as finalidades. São exemplos típicos numa farmácia: o fornecedor do software de gestão, a empresa de suporte informático, o gabinete de contabilidade, a empresa de transporte das entregas ao domicílio.

Sempre que se recorre a um subcontratante, o artigo 28.º exige um contrato de tratamento de dados, que fixe as obrigações de segurança, confidencialidade e o destino dos dados no final da relação contratual.

Encarregado de proteção de dados (DPO)

O encarregado de proteção de dados, conhecido pela sigla DPO, assessora o responsável, monitoriza o cumprimento do RGPD internamente, e serve de ponto de contacto com a CNPD e com os titulares dos dados.

A sua designação é obrigatória em determinados casos, nomeadamente quando a atividade principal envolve o controlo regular e sistemático de titulares em grande escala, ou o tratamento em grande escala de categorias especiais de dados, como os dados de saúde. Numa farmácia individual, esta obrigação formal depende da escala concreta da atividade; ainda assim, é sempre boa prática existir alguém, na equipa, com a responsabilidade clara de zelar pela proteção de dados, mesmo sem o título formal de DPO.

Tabela-resumo dos papéis

Exemplo resolvido · identificar os papéis

Uma farmácia usa um sistema de gestão fornecido por uma empresa externa, e envia as entregas ao domicílio através de uma empresa de estafetas.

Resolução: a farmácia é a responsável pelo tratamento, porque decide para que fins usa os dados. A empresa de software e a empresa de estafetas são subcontratantes, porque tratam dados (histórico de compras, moradas) seguindo instruções da farmácia. Com ambas, deve existir um contrato de tratamento de dados nos termos do artigo 28.º.

6. Os direitos dos titulares dos dados

Os seis direitos principais

Qualquer utente, como titular dos dados, tem direitos concretos e exercíveis a qualquer momento:

• Direito de acesso: saber que dados a farmácia tem sobre si.
• Direito de retificação: corrigir dados incorretos ou incompletos.
• Direito ao apagamento (direito ao esquecimento): pedir a eliminação dos dados, quando aplicável.
• Direito à limitação do tratamento: pedir que os dados deixem de ser usados ativamente, sem serem apagados.
• Direito à portabilidade: receber os seus dados num formato estruturado.
• Direito de oposição: opor-se a um tratamento, por exemplo a comunicações de marketing.

Exemplo resolvido · responder a um pedido de acesso

Um utente pede, por escrito, para saber que dados a farmácia guarda sobre ele.

1. Confirmar a identidade de quem pede, para não entregar dados de outra pessoa por engano.
2. Localizar os dados: sistema de gestão, histórico de compras, cartão de fidelização.
3. Preparar a resposta, de forma clara e organizada.
4. Responder no prazo de um mês, contado a partir da receção do pedido; este prazo pode ser prorrogado até mais dois meses em casos complexos, informando o titular da prorrogação e da razão.
5. Registar o pedido e a resposta, como prova de cumprimento.

Os limites destes direitos

Nenhum destes direitos é absoluto. O direito ao apagamento, por exemplo, coexiste com obrigações legais de conservação: um documento fiscal dentro do prazo legal de conservação não pode ser apagado só porque o utente o pede. Cabe à farmácia avaliar, em cada pedido, se existe algum fundamento legítimo para não satisfazer o pedido de imediato, e explicá-lo ao titular.

7. Onde e como aparecem os dados na farmácia

Mapa dos pontos de recolha

Antes de proteger dados, é preciso saber exatamente onde eles circulam. Numa farmácia típica, os principais pontos de recolha são:

• Balcão: venda com e sem receita, registo de medicação habitual.
• Sistema informático de gestão: histórico de compras, receitas eletrónicas, faturação.
• Cartão de fidelização: identificação e perfil de consumo.
• Entregas ao domicílio: morada, contacto, disponibilidade horária.
• Videovigilância: imagem de quem entra e circula na loja.
• Formulários de contacto e reclamações: nome, contacto, motivo do contacto.

O percurso de um dado

Seguir o percurso completo de um dado ajuda a perceber onde os riscos se concentram. Exemplo de uma receita eletrónica:

Receita eletrónica → sistema de gestão → confirmação de identidade
    → dispensa do medicamento → faturação → registo no histórico do utente
    → conservação pelo prazo legal aplicável

Em cada etapa, os princípios do artigo 5.º continuam a aplicar-se: só o necessário, só para este fim, guardado com segurança, e apenas pelo tempo devido.

Exemplo resolvido · mapear um novo serviço

A farmácia decide lançar um serviço de medição de tensão arterial ao balcão, com registo dos resultados para acompanhamento do utente ao longo do tempo.

1. Que dados são recolhidos? Valores de tensão arterial, associados ao nome do utente, um dado de saúde.
2. Onde ficam guardados? No sistema de gestão, ou numa ficha própria do serviço.
3. Quem tem acesso? Deve ser restrito a quem realiza o serviço e acompanha o utente.
4. Que base legal se aplica? Prestação de cuidados de saúde sob sigilo profissional (artigo 9.º, n.º 2, alínea h)), se o serviço for prestado no âmbito da atividade farmacêutica; o consentimento explícito só é necessário para usos que vão além desse acompanhamento, como enviar ao utente promoções com base nos seus valores.

8. Informação, transparência e consentimento no balcão

O aviso de privacidade

O princípio da transparência exige que o utente saiba, de forma clara, como os seus dados são tratados. Concretiza-se num aviso de privacidade, que deve indicar a identidade do responsável pelo tratamento, as finalidades e a respetiva base legal, os prazos de conservação, os direitos do titular e como exercê-los, e o contacto do encarregado de proteção de dados, quando exista.

Este aviso deve estar acessível de forma simples, num cartaz, num folheto ou no sítio da farmácia na internet, em linguagem clara.

Quando o consentimento é necessário

Nem todo o tratamento exige consentimento, mas quando exige, tem de ser:

• Livre: sem consequência negativa para quem recusa.
• Específico: para uma finalidade concreta.
• Informado: com conhecimento claro do que está em causa.
• Inequívoco: através de uma ação clara, nunca uma caixa pré-marcada.

Situações típicas que costumam exigir consentimento: inscrição num cartão de fidelização com perfil de consumo, envio de newsletters ou promoções, participação em ações de marketing direto.

Exemplo resolvido · avaliar um formulário

Um formulário de inscrição num cartão de fidelização tem uma única caixa: "Aceito os termos e quero receber promoções", já assinalada por defeito.

Resolução: este formulário não cumpre os requisitos de um consentimento válido, porque mistura duas finalidades diferentes (adesão ao cartão e marketing) numa só caixa, e porque a caixa vem pré-marcada, o que retira o carácter inequívoco à ação do titular. A correção passa por separar as duas finalidades em duas opções distintas, ambas por marcar até o utente decidir.

9. Segurança da informação

Medidas técnicas e organizativas

O artigo 32.º exige medidas de segurança adequadas ao risco do tratamento. Na farmácia, isto traduz-se em:

• Controlo de acessos: utilizador e palavra-passe individuais, nunca partilhados.
• Encriptação e cópias de segurança dos dados em sistema.
• Ecrãs e papéis não visíveis ao público em geral.
• Arquivo físico de documentos com dados pessoais em local fechado.
• Formação da equipa, para que todos saibam o que fazer e o que evitar.

Boa prática vs má prática

Exemplo resolvido · identificar falhas

Numa farmácia, o ecrã do sistema está virado para o balcão, mas visível de lado por quem está na fila; as receitas do dia ficam numa caixa aberta junto à caixa registadora; todos os colaboradores usam o mesmo utilizador no sistema.

Resolução: há três falhas de segurança: (1) o ecrã, apesar de não estar de frente, ainda é parcialmente visível, devia ser reposicionado ou usar um filtro de privacidade; (2) as receitas devem ser arquivadas de imediato, não deixadas numa caixa aberta e acessível; (3) o utilizador partilhado impede saber quem acedeu a que dados, e deve ser substituído por um utilizador individual para cada colaborador.

10. Violações de dados pessoais

O que é uma violação

Uma violação de dados pessoais é um incidente de segurança que provoca, de forma acidental ou ilícita, a destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais. Exemplos possíveis numa farmácia: um email com uma lista de utentes enviado para o destinatário errado, um computador ou telemóvel de trabalho perdido ou roubado, receituário extraviado, ou um acesso ao sistema sem autorização para aquele caso.

O procedimento a seguir

1. Registar o incidente de imediato.
2. Avaliar o risco para os direitos e liberdades dos titulares afetados.
3. Notificar a CNPD no prazo de 72 horas após ter conhecimento da violação, salvo se for improvável que constitua um risco.
4. Comunicar aos titulares afetados, quando o risco for elevado, em linguagem clara.
5. Manter um registo interno de todas as violações, mesmo as que não são notificadas à CNPD.

Exemplo resolvido · contar o prazo

Na sexta-feira à tarde, um colaborador descobre que um email com os contactos de vinte utentes foi enviado, por engano, para um endereço errado. A equipa só percebe o alcance total do incidente na segunda-feira de manhã.

Resolução: o prazo de 72 horas conta a partir do momento em que a farmácia tem conhecimento da violação, ou seja, a partir de sexta-feira à tarde, quando o colaborador descobriu o envio errado. Nessa altura já há certeza razoável de que dados pessoais foram divulgados a quem não devia; não é preciso conhecer o alcance total para o prazo começar. As 72 horas são seguidas e incluem o fim de semana, por isso a CNPD deve ser notificada, o mais tardar, até segunda-feira à tarde. Se ainda faltar informação, a farmácia notifica dentro do prazo com o que sabe e completa a notificação depois, por fases (artigo 33.º, n.º 4). O registo interno do incidente faz-se de imediato.

11. Conservação e eliminação de dados

O princípio da limitação da conservação

Os dados não devem ficar guardados para sempre "por precaução". Cada finalidade tem o seu prazo próprio: um prazo fiscal e contabilístico, definido pela legislação aplicável; um prazo ligado à prestação de cuidados de saúde; um prazo de marketing, associado à duração do consentimento dado. Terminado o prazo, os dados devem ser eliminados ou anonimizados.

Guardar dados a mais não é mais seguro, é mais risco: quanto mais dados existem, maior o impacto de uma eventual violação.

Exemplo resolvido · um pedido de eliminação

Um cliente do cartão de fidelização, que não compra há vários anos, pede a eliminação de todos os seus dados.

1. Confirmar a identidade do titular do pedido.
2. Verificar se existem obrigações legais que impeçam a eliminação total, como documentos fiscais ainda dentro do prazo de conservação obrigatório.
3. Eliminar os dados sem finalidade nem obrigação legal associada, como o histórico do cartão de fidelização.
4. Manter, pelo tempo legalmente exigido, apenas o que a lei obriga a conservar, informando o titular dessa exceção.
5. Registar o pedido e a resposta dada.

12. Subcontratantes, terceiros, registo de atividades e a CNPD

Verificar antes de contratar

Antes de confiar dados pessoais a um novo subcontratante, é preciso perguntar: que garantias de segurança oferece? Onde ficam armazenados os dados, e há alguma transferência para fora da União Europeia? Existe subcontratação em cadeia? O que acontece aos dados no final do contrato? Um serviço barato que não responde a nenhuma destas perguntas pode custar muito caro em caso de incidente.

O registo de atividades de tratamento

O artigo 30.º exige um registo das atividades de tratamento, um documento vivo que lista, para cada tratamento, a finalidade, as categorias de dados, os destinatários (incluindo subcontratantes), os prazos de conservação e as medidas de segurança aplicadas. É a base de qualquer auditoria interna, e um dos primeiros documentos que a CNPD pode pedir numa fiscalização. A dispensa prevista no artigo 30.º, n.º 5, para organizações com menos de 250 trabalhadores não se aplica a uma farmácia, porque esta trata dados de saúde de forma habitual, e não ocasional.

Videovigilância

A videovigilância da loja, com a finalidade de proteger pessoas e bens, já não precisa de autorização prévia da CNPD, mas tem regras próprias (Lei n.º 58/2019, artigo 19.º, e Lei n.º 34/2013, artigo 31.º): aviso visível de que o local é vigiado, câmaras que não captem a via pública nem zonas onde deve ser respeitada a privacidade (instalações sanitárias, zonas de espera, zonas de descanso dos trabalhadores), proibição de captar som durante o horário de funcionamento, e conservação das imagens por 30 dias, salvo exceções legais.

A CNPD e as sanções

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade portuguesa que fiscaliza o cumprimento do RGPD: recebe queixas de titulares, recebe notificações de violações, realiza inspeções e pode aplicar advertências, ordens de correção ou coimas. O artigo 83.º prevê dois escalões de coimas: até 10 milhões de euros ou 2% do volume de negócios anual mundial (por exemplo, falhas no registo de atividades, na segurança ou na notificação de violações) e, nos casos mais graves, até 20 milhões de euros ou 4% (por exemplo, violação dos princípios, das bases de licitude ou dos direitos dos titulares), em ambos os casos consoante o que for mais elevado. Ainda assim, o objetivo do RGPD não é punir: é proteger a confiança de quem entrega os seus dados de saúde à farmácia. Por isso, a implementação do RGPD exige revisão periódica: rever o registo de atividades sempre que surge um novo serviço, atualizar o aviso de privacidade, repetir a formação da equipa e verificar se os contratos com subcontratantes continuam adequados.

Erros comuns

• Achar que só o sistema informático conta para efeitos de RGPD, esquecendo papel, videovigilância e conversas ao balcão.
• Pedir consentimento para tudo, mesmo quando a base legal correta é outra, como a obrigação legal ou a prestação de cuidados de saúde.
• Usar uma caixa pré-marcada como se fosse consentimento válido.
• Confundir o direito ao apagamento com um direito absoluto, ignorando obrigações legais de conservação.
• Contratar um subcontratante sem verificar garantias de segurança nem assinar contrato de tratamento de dados.
• Achar que uma violação de dados só existe em caso de ataque informático, ignorando o erro humano.
• Tratar a implementação do RGPD como um projeto fechado, em vez de um processo com revisão periódica.

Glossário

• RGPD: Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679.
• Dado pessoal: qualquer informação relativa a uma pessoa singular identificada ou identificável.
• Dado de saúde: categoria especial de dados pessoais (artigo 9.º), sujeita a regime reforçado.
• Responsável pelo tratamento: entidade que decide as finalidades e os meios do tratamento; na farmácia, a própria farmácia.
• Subcontratante: entidade que trata dados por conta do responsável, seguindo as suas instruções.
• Encarregado de proteção de dados (DPO): pessoa que assessora e monitoriza o cumprimento do RGPD.
• Titular dos dados: a pessoa a quem os dados dizem respeito, na farmácia, tipicamente o utente.
• Consentimento: manifestação de vontade livre, específica, informada e inequívoca do titular.
• Violação de dados pessoais: incidente que provoca destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais.
• Registo de atividades de tratamento: documento que lista finalidades, dados, destinatários e prazos de cada tratamento.
• Avaliação de impacto sobre a proteção de dados (AIPD): análise de risco exigida antes de tratamentos suscetíveis de risco elevado.
• CNPD: Comissão Nacional de Proteção de Dados, autoridade nacional de controlo.
• Minimização dos dados: princípio de recolher apenas o estritamente necessário.
• Direito ao esquecimento: designação comum do direito ao apagamento dos dados.

Síntese

Implementar o RGPD na farmácia segue sempre a mesma lógica: compreender o que é o RGPD e porque a farmácia é especialmente visada (dados de saúde) → conhecer os princípios (artigo 5.º) e as bases de licitude (artigos 6.º e 9.º) → identificar os papéis de responsável, subcontratante e encarregado de proteção de dados → respeitar os direitos dos utentes, com o prazo de um mês para responder → mapear onde os dados aparecem na farmácia e informar com transparência → proteger com medidas de segurança e saber reagir a violações em 72 horas → conservar só o tempo necessário → gerir subcontratantes com contrato → manter o registo de atividades atualizado, sob fiscalização da CNPD → e rever periodicamente tudo isto. Este ciclo aplica-se a qualquer farmácia, independentemente da sua dimensão.

Exercícios resolvidos

1. Um utente pede, ao balcão, para saber o histórico de medicação que a farmácia tem sobre si. Que direito está a exercer e qual o prazo de resposta?

Resolução: está a exercer o direito de acesso. A farmácia tem, em regra, um mês para responder, prorrogável até mais dois meses em casos complexos, desde que o titular seja informado da prorrogação e da razão.

2. A farmácia contrata uma nova empresa de entregas ao domicílio. Que documento deve existir entre as duas partes, e porquê?

Resolução: deve existir um contrato de tratamento de dados, nos termos do artigo 28.º, porque a empresa de entregas é uma subcontratante que trata dados pessoais (moradas, contactos) por conta da farmácia. O contrato fixa as obrigações de segurança e confidencialidade.

3. Um colaborador envia, por engano, um email com a lista de utentes do cartão de fidelização para um destinatário externo à farmácia. O que é isto, e o que deve acontecer nas 72 horas seguintes?

Resolução: é uma violação de dados pessoais. Nas 72 horas seguintes ao momento em que a farmácia tem conhecimento do incidente, deve avaliar o risco e, salvo se for improvável que constitua risco, notificar a CNPD. Se o risco para os titulares for elevado, deve também comunicar-lhes o incidente.

4. Porque é que a base legal para dispensar um medicamento com receita médica não costuma ser o consentimento do utente?

Resolução: porque a dispensa de medicamentos com receita assenta, tipicamente, no cumprimento de uma obrigação legal (artigo 6.º) e na exceção da prestação de cuidados de saúde sob sigilo profissional (artigo 9.º, n.º 2, alínea h), e n.º 3), e não depende de o utente "autorizar" a farmácia a tratar os seus dados. O consentimento é usado noutras situações, como o marketing.

5. Um cliente pede a eliminação total dos seus dados, incluindo faturas ainda dentro do prazo legal de conservação fiscal. Pode a farmácia satisfazer o pedido na íntegra?

Resolução: não na íntegra. O direito ao apagamento não é absoluto: coexiste com obrigações legais de conservação. A farmácia deve eliminar o que não tem outra finalidade nem obrigação legal associada, mas manter, pelo tempo legalmente exigido, os documentos sujeitos a essa obrigação, explicando a situação ao titular.