O que é o RGPD

O Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679, de 27 de abril de 2016, é aplicável em toda a União Europeia desde 25 de maio de 2018.

• É um regulamento, não uma diretiva: aplica-se diretamente em todos os Estados-membros, sem precisar de ser transposto para uma lei nacional.
• Em Portugal é complementado pela Lei n.º 58/2019, de 8 de agosto, que assegura a sua execução na ordem jurídica nacional.
• O objetivo é simples de enunciar e exigente de cumprir: proteger a privacidade e os dados pessoais de qualquer pessoa cujos dados sejam tratados.

Porque a farmácia está no centro das atenções

Poucos negócios lidam com dados tão sensíveis, todos os dias, como uma farmácia.

• Receitas médicas, eletrónicas ou em papel, com o nome do utente e a medicação prescrita.
• Histórico de compras e de medicação, muitas vezes associado a doenças crónicas.
• Cartões de fidelização, com perfis de consumo.
• Entregas ao domicílio, com moradas e horários de presença em casa.
• Videovigilância da loja, que capta a imagem de quem entra.

Nada disto é opcional de tratar com cuidado: é o critério de desempenho da UC, cumprir as normas e os prazos estabelecidos.

O que é um dado pessoal

Um dado pessoal é qualquer informação relativa a uma pessoa singular identificada ou identificável, direta ou indiretamente.

• Identificação direta: nome, NIF, número de utente de saúde, imagem.
• Identificação indireta: uma combinação de dados que, junta, aponta para uma pessoa (morada + idade + medicação, por exemplo).
• Aplica-se a qualquer suporte: papel, sistema informático, imagem de videovigilância, gravação de voz.

Um número de telefone anotado num post-it, ao balcão, já é um dado pessoal sujeito ao RGPD.

Dados de saúde: uma categoria especial

O artigo 9.º do RGPD classifica os dados de saúde como uma categoria especial de dados pessoais, a par de dados sobre origem racial, convicções religiosas ou orientação sexual.

• Incluem histórico clínico, patologias, receitas e medicação habitual.
• O tratamento destes dados é, em regra, proibido, salvo exceções expressamente previstas.
• Na farmácia, a exceção mais relevante é a prestação de cuidados de saúde por um profissional sujeito a sigilo profissional (artigo 9.º, n.º 2, alínea h), e n.º 3).

Tratar dados de saúde não é como tratar um nome numa lista de contactos: exige um nível de cuidado mais elevado, em todas as etapas.

Os sete princípios do artigo 5.º

Todo o tratamento de dados pessoais tem de respeitar sete princípios:

Exemplo resolvido · aplicar os princípios na farmácia

A farmácia quer criar um cartão de fidelização com registo de compras.

1. Licitude: precisa de uma base legal, aqui o consentimento do utente (explícito, se registar compras de medicamentos).
2. Limitação das finalidades: os dados servem só para o programa de fidelização, não para outra coisa sem novo aviso.
3. Minimização: pedir só nome, contacto e histórico de compras, não pedir a morada se não é necessária para o programa.
4. Exatidão: permitir ao utente corrigir o seu número de telefone, por exemplo.
5. Limitação da conservação: definir por quanto tempo se guardam os dados se o utente deixar de usar o cartão.
6. Integridade e confidencialidade: proteger a base de dados com acesso restrito.
7. Responsabilização: guardar prova de que o utente deu consentimento.

As seis bases de licitude (artigo 6.º)

Para tratar dados pessoais de forma lícita, é preciso enquadrar o tratamento numa destas bases:

• Consentimento do titular, livre, específico, informado e inequívoco.
• Execução de um contrato com o titular, ou diligências pré-contratuais.
• Cumprimento de uma obrigação legal a que o responsável esteja sujeito.
• Proteção de interesses vitais do titular ou de terceiro.
• Exercício de funções de interesse público.
• Interesses legítimos do responsável ou de terceiro, desde que não prevaleçam os direitos do titular.

Nem todas se aplicam à mesma situação: escolher a base certa é o primeiro passo de qualquer tratamento novo.

Dados de saúde na farmácia: a base específica

Para os dados de saúde, são precisas duas condições: uma base do artigo 6.º e uma exceção do artigo 9.º, n.º 2.

• Dispensa com receita: cumprimento de obrigação legal (artigo 6.º) + prestação de cuidados de saúde por profissional sujeito a sigilo profissional (artigo 9.º, n.º 2, alínea h), e n.º 3).
• Farmacovigilância (notificar reações adversas): obrigação legal + interesse público na saúde pública (alínea i)).

O consentimento explícito (alínea a)) fica para o que vai além dos cuidados de saúde, por exemplo marketing baseado na medicação habitual do utente.

Responsável pelo tratamento e subcontratante

O RGPD distingue com precisão quem faz o quê com os dados.

• Responsável pelo tratamento: a farmácia, a entidade que decide para quê e como os dados são tratados.
• Subcontratante: quem trata dados pessoais por conta do responsável, seguindo as suas instruções, sem decidir as finalidades. Exemplos: o fornecedor do software de gestão, a empresa de contabilidade, a empresa de transporte que faz as entregas ao domicílio.
• Sempre que a farmácia recorre a um subcontratante, tem de existir um contrato de tratamento de dados que defina as obrigações de segurança e confidencialidade.

A farmácia continua responsável pelos dados mesmo quando é outra empresa a tratá-los em seu nome.

O encarregado de proteção de dados (DPO)

O encarregado de proteção de dados, também conhecido pela sigla DPO, é a pessoa (interna ou externa) que assessora o responsável, monitoriza o cumprimento do RGPD e serve de ponto de contacto com a CNPD e com os titulares dos dados.

• A sua designação é obrigatória em determinados casos, nomeadamente quando a atividade principal envolve controlo regular e sistemático dos titulares em grande escala, ou o tratamento em grande escala de categorias especiais de dados, como os dados de saúde.
• Mesmo quando não é obrigatório por lei, é boa prática que exista sempre alguém, na equipa, com a responsabilidade clara de zelar pela proteção de dados.
• O DPO não decide sozinho as finalidades do tratamento, a decisão continua a ser da farmácia; o seu papel é de vigilância e aconselhamento.

Os direitos do utente sobre os seus dados

Qualquer utente, como titular dos dados, tem direitos concretos que a farmácia tem de respeitar:

• Direito de acesso: saber que dados a farmácia tem sobre si.
• Direito de retificação: corrigir dados incorretos ou incompletos.
• Direito ao apagamento, também chamado direito ao esquecimento: pedir a eliminação dos dados, quando aplicável.
• Direito à limitação do tratamento: pedir que os dados deixem de ser usados ativamente, sem serem apagados.
• Direito à portabilidade: receber os seus dados num formato estruturado, para os levar para outro serviço.
• Direito de oposição: opor-se a um tratamento, por exemplo a comunicações de marketing.

Exemplo resolvido · um pedido de acesso ao balcão

Um utente pede, por escrito, para saber que dados a farmácia guarda sobre ele.

1. Confirmar a identidade de quem pede, para não entregar dados de outra pessoa por engano.
2. Localizar os dados: sistema de gestão, histórico de compras, cartão de fidelização, eventual correspondência.
3. Preparar a resposta, de forma clara e num formato acessível.
4. Responder no prazo de um mês, contado a partir do pedido; este prazo pode ser prorrogado até mais dois meses, em casos complexos, informando o titular da prorrogação e da razão.
5. Registar o pedido e a resposta dada, como prova de cumprimento.

Um pedido de acesso não é um incómodo, é um direito garantido por lei, e responder bem a ele é parte do trabalho.

Mapa dos pontos de recolha de dados

Antes de proteger dados, é preciso saber onde eles estão. Numa farmácia típica:

• Balcão: venda com e sem receita, registo de medicação habitual.
• Sistema informático de gestão: histórico de compras, receitas eletrónicas, faturação.
• Cartão de fidelização: identificação e perfil de consumo.
• Entregas ao domicílio: morada, contacto, disponibilidade horária.
• Videovigilância: imagem de quem entra e circula na loja.
• Formulários de contacto e reclamações: nome, contacto e motivo do contacto.

Cada um destes pontos é um sítio onde o RGPD se aplica, com o mesmo rigor.

Exemplo · o percurso de um dado

Segue-se o percurso de uma receita eletrónica, do momento em que chega até ao arquivo.

Receita eletrónica → sistema de gestão da farmácia → confirmação de identidade
    → dispensa do medicamento → faturação → registo no histórico do utente
    → conservação pelo prazo legal aplicável

Em cada seta deste percurso, os dados passam por uma pessoa, um sistema ou um suporte diferente, e em cada um deles se aplicam os princípios do artigo 5.º: só o necessário, só para este fim, guardado com segurança.

O aviso de privacidade

O princípio da transparência exige que o utente saiba, de forma clara, como os seus dados são tratados. Isso concretiza-se num aviso de privacidade, que deve conter:

• A identidade do responsável pelo tratamento.
• As finalidades do tratamento e a respetiva base legal.
• Os prazos de conservação previstos.
• Os direitos do titular e como os exercer.
• O contacto do encarregado de proteção de dados, quando exista.

Este aviso deve estar disponível de forma acessível: num cartaz na farmácia, num folheto, ou no sítio na internet, sempre em linguagem clara, sem juridiquês desnecessário.

Consentimento: quando é preciso e como se dá

Nem todo o tratamento exige consentimento, mas quando exige, tem de cumprir requisitos precisos.

• Livre: sem consequência negativa para quem recusa.
• Específico: para uma finalidade concreta, não genérica.
• Informado: a pessoa sabe exatamente para que está a consentir.
• Inequívoco: uma ação clara, nunca uma caixa pré-marcada.

Situações típicas na farmácia que costumam exigir consentimento: inscrição num cartão de fidelização com perfil de consumo, envio de newsletters ou promoções, participação em ações de marketing direto.

Medidas técnicas e organizativas

O artigo 32.º do RGPD exige medidas de segurança adequadas ao risco do tratamento. Na farmácia, isto traduz-se em ações concretas:

• Controlo de acessos: cada colaborador com o seu próprio utilizador e palavra-passe, nunca partilhados.
• Encriptação e cópias de segurança dos dados guardados em sistema.
• Ecrãs e papéis não visíveis ao público em geral.
• Arquivo físico de documentos com dados pessoais em local fechado.
• Formação da equipa, para que todos saibam o que fazer e o que não fazer.

Segurança não é só tecnologia: é também organização e hábitos diários.

Boa prática vs má prática ao balcão

Nenhuma destas boas práticas exige investimento em tecnologia: exigem apenas hábito e atenção.

O que é uma violação de dados pessoais

Uma violação de dados pessoais é um incidente de segurança que provoca, de forma acidental ou ilícita, a destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais.

Exemplos que podem acontecer numa farmácia:

• Um email com uma lista de utentes enviado para o destinatário errado.
• Um computador ou telemóvel de trabalho, com acesso ao sistema, perdido ou roubado.
• Receituário em papel extraviado durante o transporte ou o arquivo.
• Um acesso ao sistema por alguém sem autorização para aquele caso.

Nem toda a violação é um ataque informático: um simples erro humano já conta.

O que fazer perante uma violação

Perante uma violação de dados pessoais, há prazos e passos a cumprir:

1. Registar o incidente de imediato, mesmo que pareça pequeno.
2. Avaliar o risco para os direitos e liberdades dos utentes afetados.
3. Notificar a CNPD no prazo de 72 horas após ter conhecimento da violação, salvo se for improvável que constitua um risco.
4. Comunicar aos titulares afetados, quando o risco for elevado, em linguagem clara.
5. Manter um registo interno de todas as violações, mesmo as que não chegam a ser notificadas à CNPD.

Agir depressa e de forma documentada é o que distingue um incidente bem gerido de uma crise.

Guardar só o tempo necessário

O princípio da limitação da conservação exige que os dados não fiquem guardados para sempre "por precaução".

• Cada finalidade tem o seu prazo: um prazo fiscal e contabilístico, definido pela legislação aplicável; um prazo ligado à prestação de cuidados de saúde; um prazo de marketing, associado ao consentimento dado.
• Terminado o prazo, os dados devem ser eliminados ou anonimizados (deixam de identificar a pessoa).
• A farmácia deve documentar esta política de prazos, para saber, a qualquer momento, o que pode e o que deve apagar.

Guardar dados a mais não é mais seguro, é mais risco: quanto mais dados existem, maior o impacto de uma eventual violação.

Exemplo resolvido · pedido de eliminação

Um cliente do cartão de fidelização, que não compra há vários anos, pede a eliminação de todos os seus dados.

1. Confirmar a identidade do titular do pedido.
2. Verificar se existem obrigações legais que impeçam a eliminação total, por exemplo documentos fiscais ainda dentro do prazo de conservação obrigatório.
3. Eliminar os dados que já não têm finalidade nem obrigação legal associada, como o histórico de consumo do cartão de fidelização.
4. Manter, pelo tempo legalmente exigido, apenas o que a lei obriga a conservar, informando o titular dessa exceção.
5. Registar o pedido e a resposta dada.

O direito ao apagamento não é absoluto: coexiste com as obrigações legais de conservação, e é preciso saber distinguir as duas coisas.

Quem são os subcontratantes de uma farmácia

Uma farmácia raramente trata todos os dados sozinha. Trabalha, tipicamente, com vários subcontratantes:

• O fornecedor do software de gestão da farmácia.
• A empresa de suporte informático.
• O gabinete de contabilidade.
• A empresa de transporte que faz as entregas ao domicílio.
• Uma eventual empresa de marketing que envia SMS ou newsletters.

Com cada um destes, deve existir um contrato de tratamento de dados (artigo 28.º), que fixa as obrigações de segurança, confidencialidade e o destino dos dados no fim da relação.

O que verificar antes de contratar

Antes de confiar dados pessoais a um novo subcontratante, há perguntas a fazer:

• Que garantias de segurança oferece (encriptação, controlo de acessos, cópias de segurança)?
• Onde ficam armazenados os dados, e existe alguma transferência para fora da União Europeia?
• Existe subcontratação em cadeia (o subcontratante recorre a outros)? Se sim, em que condições?
• O que acontece aos dados no final do contrato: são devolvidos, eliminados, ou continuam algures?

Um contrato de software "grátis" que não responde a nenhuma destas perguntas pode custar muito caro em caso de incidente.

O registo das atividades de tratamento

O artigo 30.º exige que o responsável mantenha um registo das atividades de tratamento, um documento vivo que lista, para cada tratamento:

• A finalidade (por exemplo, dispensa de medicamentos, programa de fidelização).
• As categorias de dados tratadas.
• Os destinatários, incluindo subcontratantes.
• Os prazos de conservação previstos.
• As medidas de segurança aplicadas.

A dispensa para organizações com menos de 250 trabalhadores não se aplica à farmácia, porque trata dados de saúde de forma habitual.

Avaliação de impacto sobre a proteção de dados

Quando um tratamento é suscetível de originar um risco elevado para os direitos dos titulares, o RGPD exige uma avaliação de impacto sobre a proteção de dados (artigo 35.º), antes de o iniciar.

• Aplica-se tipicamente a tratamentos em grande escala de categorias especiais de dados, como dados de saúde.
• Numa farmácia individual, esta exigência formal é menos frequente do que numa grande cadeia ou num operador de saúde de grande dimensão.
• O princípio aplica-se sempre, independentemente da obrigação formal: antes de mudar um processo que envolva dados sensíveis, vale a pena parar e avaliar os riscos.

Avaliar antes de agir é mais barato do que corrigir depois de um incidente.

A CNPD, autoridade nacional de controlo

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade portuguesa responsável por fiscalizar o cumprimento do RGPD.

• Recebe queixas de titulares de dados.
• Recebe notificações de violações de dados pessoais.
• Pode realizar inspeções e pedir documentação, como o registo de atividades de tratamento.
• Pode aplicar advertências, ordens de correção ou coimas, consoante a gravidade do incumprimento.

Qualquer utente pode apresentar uma queixa à CNPD se achar que os seus dados não foram tratados corretamente.

Sanções e o verdadeiro objetivo do RGPD

O artigo 83.º do RGPD prevê coimas até 10 milhões de euros ou 2% do volume de negócios anual mundial e, nos casos mais graves, até 20 milhões de euros ou 4%, consoante o que for mais elevado.

• Mas o objetivo do RGPD não é punir: é proteger a confiança das pessoas nas organizações que tratam os seus dados.
• Uma farmácia que trata dados com rigor não o faz "para evitar uma multa", faz porque é o correto para quem confia nela os seus problemas de saúde.
• A cultura de conformidade, hábitos diários, formação da equipa e procedimentos claros, vale sempre mais do que qualquer coima.

Checklist diária ao balcão

Um resumo do que qualquer colaborador deve ter presente, todos os dias:

• Nunca deixar o ecrã do sistema virado para o público.
• Não comentar casos de utentes em voz alta na loja.
• Confirmar a identidade antes de dar qualquer informação por telefone.
• Arquivar de imediato receitas e documentos com dados pessoais.
• Usar sempre o próprio utilizador no sistema, nunca partilhado.
• Reportar de imediato qualquer incidente, por pequeno que pareça.

Estas ações não custam dinheiro, custam apenas atenção e hábito.

Revisão periódica: o RGPD não se implementa uma vez

Um dos conhecimentos centrais desta UC é que a conformidade com o RGPD exige revisão periódica, não é um projeto que se fecha e se esquece.

• Rever o registo de atividades de tratamento sempre que surge um novo serviço, software ou fornecedor.
• Atualizar o aviso de privacidade quando as finalidades mudam.
• Repetir a formação da equipa, sobretudo quando há novos colaboradores.
• Verificar se os contratos com subcontratantes continuam adequados.

A proteção de dados na farmácia é um processo contínuo, tão rotineiro como conferir o stock ou validar prazos de validade dos medicamentos.