Proteção de dados na saúde irlandesa: O que os pacientes precisam saber

O que constitui dados de saúde sob a lei irlandesa?

O GDPR define dados de saúde como dados pessoais relacionados à saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revela informações sobre seu estado de saúde.

• Registros médicos – diagnóstico, planos de tratamento, histórico de medicação, resultados dos exames.
• Dados genéticos e dados biométricos tratados para fins sanitários.
• Informações sobre os cuidados de saúde recebidos – consultas, encaminhamentos, internações hospitalares.
• Dados de dispositivos de saúde vestíveis – frequência cardíaca, níveis de atividade, padrões de sono (quando ligados aos serviços de saúde).
• Avaliações de saúde mental] e notas de aconselhamento.
• Dados sobre incapacidade ou condições de saúde a longo prazo.

Devido ao potencial de discriminação e utilização abusiva, os prestadores de cuidados de saúde irlandeses devem tratar todos esses dados com o mais elevado nível de cuidados.

Bases legais para o processamento de dados de saúde

No âmbito do GDPR, o tratamento de dados de categoria especial, como registos de saúde, é proibido, salvo se se aplicar uma das condições previstas no artigo 9.o As bases mais comuns utilizadas nos cuidados de saúde irlandeses incluem:

• Consentimento explícito – o paciente deu permissão clara, informada e inequívoca para um propósito específico de processamento. O consentimento pode ser retirado a qualquer momento.
• Interesses vitais – O processamento é necessário para proteger a vida do titular dos dados ou de outra pessoa.
• Provisão de cuidados de saúde – O processamento é necessário para fins de medicina preventiva ou ocupacional, diagnóstico médico, prestação de cuidados de saúde, tratamento ou gestão de sistemas de saúde.
• Saúde pública – o tratamento é necessário por razões de interesse público no domínio da saúde pública, como a protecção contra ameaças transfronteiriças graves à saúde.
• Investigação – Arquivamento de fins de interesse público, de fins de investigação científica ou histórica, ou de fins estatísticos, sob reserva de salvaguardas adequadas.

É importante que os pacientes compreendam a base em que os seus dados são utilizados. Por exemplo, se lhe for pedido que assine um formulário de consentimento para um procedimento, a base legal é geralmente o consentimento explícito. No entanto, uma vez que os dados estão no seu registo médico, outros usos (como faturamento ou relatórios de saúde pública) podem confiar em diferentes bases legais, tais como a obrigação legal ou a prestação de cuidados de saúde.

Seus direitos sob as leis de proteção de dados

O GDPR concede aos indivíduos um conjunto de direitos robustos sobre seus dados pessoais. Em um contexto de saúde, esses direitos capacitam os pacientes para controlar como suas informações de saúde são usadas, corrigidas, compartilhadas e excluídas. Abaixo está uma explicação ampliada de cada direito, juntamente com orientações práticas para exercê-lo na Irlanda.

Direito de acesso (artigo 15.o)

Você tem o direito de solicitar uma cópia de seus registros de saúde mantidos por qualquer prestador de cuidados de saúde, incluindo hospitais, clínicas de GP e clínicas privadas. O provedor deve responder no prazo de um mês (extensível a dois meses para pedidos complexos). O acesso é geralmente gratuito, mas uma taxa razoável pode ser cobrada por pedidos excessivos ou repetitivos.

Para solicitar acesso, escreva ao controlador de dados (geralmente o hospital ou gerente de prática) descrevendo quais as informações que deseja. Muitos provedores de saúde irlandeses têm um formulário padrão de pedido de acesso (SAR) assunto em seu site. Se você precisar de ajuda, o HSE fornece orientações sobre o acesso aos seus registros de saúde.

Direito de retificação (artigo 16.o)

Se você acredita que seus dados de saúde são imprecisos ou incompletos — por exemplo, uma alergia incorreta listada ou um registro de medicamentos ultrapassados — você tem o direito de solicitar correção. O provedor deve verificar as informações corretas e atualizar os registros sem demora excessiva. Este é um direito crítico; erros em dados de saúde podem levar a erros médicos perigosos.

Direito à Borracha (artigo 17.o – "Direito a ser esquecido")

Pode solicitar que um prestador de cuidados de saúde apague os seus dados pessoais, mas este direito não é absoluto. No contexto da saúde, é muitas vezes limitado porque os registos médicos devem ser conservados por razões legais e clínicas (por exemplo, estatuto de limitações para alegações de negligência médica, monitorização da saúde pública). A borracha pode ser possível para dados que não são mais necessários para o efeito que foi recolhida, ou se o consentimento for retirado e não existir outra base legal. Por exemplo, pode pedir que os dados do registo de consultas sejam apagados após uma consulta, caso não seja necessária a retenção.

Direito de restrição ao tratamento (artigo 18.o)

Em vez de apagar dados, você pode pedir que o processamento seja restrito. Isto significa que os dados não são usados para qualquer finalidade além do armazenamento. Isto é útil se você estiver contestando a precisão dos dados, ou se você tiver se oposto ao processamento e estiver aguardando uma decisão. Em um ambiente hospitalar, a restrição pode impedir que seus dados sejam usados para pesquisa ou auditorias de qualidade até que o problema seja resolvido.

Direito de Objeção (artigo 21.o)

Você tem o direito de se opor ao processamento de seus dados pessoais com base em interesses legítimos ou para fins de marketing direto. Em saúde, isso pode se aplicar a usos secundários, como pesquisas de satisfação do paciente, campanhas de arrecadação de fundos realizadas por fundações hospitalares ou uso de dados para pesquisa comercial. Se você se opuser, o provedor deve parar a menos que eles possam demonstrar motivos legítimos convincentes que sobreponham seus interesses.

Direito à portabilidade dos dados (artigo 20.o)

Pode solicitar que os seus dados de saúde sejam fornecidos num formato estruturado, comumente utilizado, legível por máquina (por exemplo, CSV ou XML) e transmitidos a outro controlador de dados — como a troca entre as práticas de GP. Este direito aplica-se apenas aos dados que forneceu e que é processado por meios automatizados com base no consentimento ou contrato. É cada vez mais importante com o crescimento dos registos electrónicos de saúde e dos portais dos doentes.

Direitos relacionados com a tomada de decisões automatizada (artigo 22.o)

Você tem o direito de não estar sujeito a uma decisão baseada apenas no processamento automatizado, incluindo a criação de perfis, que produz efeitos legais sobre você ou afeta significativamente você. Embora ainda raro na atenção primária irlandesa, algumas ferramentas de diagnóstico orientadas por IA podem depender de saídas automatizadas. Os prestadores de cuidados de saúde devem garantir que tais decisões envolvam supervisão humana.

Recorde prático: Para exercer qualquer um destes direitos, contacte o responsável pela protecção de dados (DPO) do seu prestador de cuidados de saúde. Se não estiver satisfeito com a resposta, tem o direito de apresentar uma queixa à Comissão de Protecção de Dados.

Como os prestadores de cuidados de saúde protegem seus dados

As organizações irlandesas de saúde são legalmente obrigadas a aplicar medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco, incluindo:

• Encriptação – tanto em repouso como em trânsito, para proteger os dados do acesso não autorizado.
• Controles de acesso – permissões baseadas em funções que garantem que apenas os funcionários que necessitam dos dados para as suas funções podem vê-lo.
• Formação de pessoal – Formação obrigatória em protecção de dados para todos os funcionários que lidam com informações sobre os doentes.
• Auditorias de segurança regulares – incluindo avaliações de vulnerabilidade e testes de penetração.
• Proteção de dados por design e padrão – novos sistemas e processos devem incorporar salvaguardas de privacidade desde o início.
• Planos de resposta incidentes – para detectar, relatar e mitigar rapidamente quaisquer violações de dados.

Cada prestador de cuidados de saúde com mais de 250 funcionários – ou aqueles que processam categorias especiais de dados em larga escala – deve nomear um Data Protection Officer (DPO). O DPO é o ponto de contato para os titulares de dados e o DPC, e monitora o cumprimento do GDPR. Por exemplo, o HSE tem um Escritório Central de Proteção de Dados, e hospitais maiores têm dedicado DPOs.

Violações de dados: suas proteções e recurso

Apesar dos melhores esforços, podem ocorrer violações de dados. Uma violação pode envolver perda de um laptop contendo registros de pacientes, um e-mail enviado para o destinatário errado ou um ciberataque. Sob o GDPR, os prestadores de saúde devem notificar o DPC dentro de 72 horas após se tornarem conscientes de uma violação que arrisca os direitos e liberdades dos pacientes. Se a violação for provável que resulte em alto risco para você (por exemplo, roubo de identidade, discriminação), o provedor também deve informá-lo diretamente sem demora indevida.

Se suspeitar que os seus dados de saúde foram comprometidos, deve:

1. Contacte o DPO do prestador de cuidados de saúde para comunicar o incidente e pergunte quais as medidas correctivas que estão a ser tomadas.
2. Monitorar qualquer atividade incomum, como fraude de identidade médica (por exemplo, prescrições preenchidas em seu nome).
3. Considere mudar senhas se sua conta de portal de pacientes on-line foi afetada.
4. Apresentar uma queixa ao DPC se não estiver satisfeito com a resposta.
5. Procure uma compensação através dos tribunais se você sofreu danos materiais ou não materiais (por exemplo, sofrimento) como resultado da violação.

Compartilhamento de dados para Saúde Pública, Pesquisa e Assistência Integrada

A Irlanda está a avançar para um sistema de saúde mais integrado, com iniciativas como o programa Electronic Health Record (EHR) com o objectivo de permitir uma partilha contínua dos dados dos doentes entre hospitais, GPs e serviços comunitários. Embora isto possa melhorar a coordenação dos cuidados e reduzir a duplicação, também suscita preocupações em matéria de protecção de dados.

• Consentimento e opt-out – Normalmente, o compartilhamento para cuidados diretos é baseado em consentimento implícito (os melhores interesses do paciente), mas você tem o direito de se opor a certos arranjos de compartilhamento. Alguns programas piloto oferecem um opt-out para compartilhar além de sua equipe de cuidados imediatos.
• Pesquisa em saúde – As Normas de Pesquisa em Saúde 2018 exigem consentimento explícito para o uso de dados de saúde em pesquisa, a menos que um Comitê de Ética em Pesquisa aprove uma renúncia. Os pacientes podem recusar ter seus dados utilizados para pesquisa (existem registros opt-out).
• Relatório de saúde pública – Os dados anônimos ou pseudónimos podem ser utilizados para a vigilância da doença, a gestão de surtos e a política de saúde sem o consentimento direto dos doentes, sob a base legal de saúde pública.