Dados de clientes e fichas clínicas: o que proteger na clínica

Porque é que isto importa numa clínica de estética

Numa clínica, a ficha de um cliente raramente é só nome e telefone. Pode incluir historial de saúde, alergias, medicação, tratamentos anteriores e fotografias antes e depois. O Regulamento Geral sobre a Proteção de Dados (RGPD) trata os dados relativos à saúde como uma categoria especial, com regras mais exigentes do que os dados comuns.

Este texto é um guia prático e não substitui aconselhamento jurídico: em caso de dúvida concreta, fale com um profissional especializado.

1. Recolha só o que precisa

Cada campo da ficha deve ter uma razão. Pergunte a si mesmo: «preciso disto para tratar este cliente em segurança?». Se a resposta é não, não recolha. Menos dados significam menos risco e menos trabalho a protegê-los.

2. Explique para que serve e peça consentimento quando for necessário

O cliente deve saber, em linguagem simples, que dados recolhe, para que os usa e durante quanto tempo os guarda. Para fotografias antes e depois, e para qualquer utilização que vá além do tratamento (por exemplo, mostrar um resultado nas redes sociais), peça autorização expressa e guarde o registo dessa autorização.

Dois cuidados úteis:

• o consentimento deve ser específico: uma autorização para tratar não é uma autorização para publicar;
• o cliente pode retirá-lo, e a clínica deve saber o que fazer quando isso acontece.

3. Dê acesso só a quem precisa

Nem toda a equipa precisa de ver tudo. Quem faz a receção e a agenda normalmente não precisa de ver o historial clínico; quem trata o cliente precisa. Organize os acessos por função e reveja-os quando alguém entra, muda de funções ou sai da equipa.

4. Evite canais pessoais

É tentador enviar uma fotografia ou um documento por WhatsApp ou pelo email pessoal de alguém da equipa, porque é rápido. O problema é que esses dados ficam em dispositivos e contas que a clínica não controla: se o telemóvel for perdido ou a pessoa sair, a clínica perde o controlo sobre eles. Use os canais e os sistemas da clínica e deixe de fora os pessoais.

5. Guarde com segurança e defina prazos

• Onde ficam os dados: num sistema com controlo de acessos, e não em folhas soltas, pastas partilhadas sem proteção ou pen drives.
• Cópias de segurança: tenha-as e saiba restaurá-las.
• Prazos de conservação: defina por quanto tempo guarda cada tipo de documento e o que faz quando esse prazo termina. Guardar para sempre «por precaução» não é uma boa prática.

6. Saiba o que fazer se algo correr mal

Se houver um incidente que afete dados pessoais (um dispositivo perdido, um acesso indevido), é preciso agir depressa: perceber o que aconteceu, limitar os danos e avaliar se há obrigação de notificar a autoridade de controlo e as pessoas afetadas. O RGPD fixa prazos curtos para essa notificação quando é aplicável, por isso convém ter definido de antemão quem faz o quê.

Por onde começar

Escolha uma coisa esta semana: ver quem tem acesso a quê, retirar as fotografias dos canais pessoais ou escrever os prazos de conservação. Pequenos passos consistentes valem mais do que uma revisão total que nunca arranca.