174-(370)II SÉRIE-C — NÚMERO 23limitado ao médico respectivo e pelo mesmo passando qualquer outro acesso ao mesmo, ou, se assim também se entender, eventualmente, conter apenas uma menção do género «doente de risco», ou outra equivalente. . Já quanto à toxicodependência, pese embora integre um ilícito criminal, publicamente perseguido, se justificado o seu registo informático, por pertinente e adequado no Serviço de Prevenção e Tratamento da Toxicodependência — também constante do anexo —, nos demais estabelecimentos de saúde poderá também ser substituído por menção igual à anterior.6 — Algumas vezes associado ao «estado de saúde» encontrar-se-ão, necessariamente, informações relativas à «vida sexual» do doente.Este dado pessoal, expressamente previsto no artigo 6." da Convenção n.° 108 referida — portanto sujeito também a que o direito interno de cada Estado membro preveja para o seu tratamento informático «garantias adequadas» —, não se mostra expressamente previsto pelo legislação portuguesa.Assim sendo, e porque temos por inequívoco que o mesmo cai no âmbito do conceito de «vida privada» ou íntima, o seu tratamento informático é expressamente proibido pelos artigos 35.°, n.° 3, da Constituição da República Portuguesa e 11.°, n.° 1, alínea a), da Lei n.° 10/91.Por isso, forçoso será termos de concluir não poder o mesmo ser objecto de registo informatizado.7 — Mas, e como atrás referimos, vários outros aspectos da presente regulamentação poderão ser melhorados tendo em vista o reforço das referidas «garantias de não discriminação».7.1 — Em matéria de recolha e actualização dos dados prevista no artigo 3.°, deverá aditar-se que os dados recolhidos devem limitar-se ao estritamente necessário e só poderão ser utilizados para os fins previstos no artigo 1.°Assim o dispõe, expressamente, o artigo 15.° da Lei n.° 10/91.7.2 — Omitindo, por outro, lado, o diploma legal em apreciação qual o serviço ou serviços encarregados do processamento da informação, impõe-se a sua previsão, como expressamente o exige o artigo 18.°, alínea c), da Lei n.° 10/91.7.3 — Omisso é também o mesmo relativamente à matéria do acesso directo à informação registada, exigido pela alínea j) seguinte.Esta matéria, de especial importância, justifica, em nosso entender, um cuidado particular, devendo especificar-se a(s) categoria(s) de pessoas com direito a acederem directamente aos vários tipos de informação registada, estabelecen-do-se os respectivos níveis de acesso à informação, tendo em conta a qualificação profissional e respectivas finalidades.Só desse modo se garante, de um modo efectivo, a confidencialidade médica.E, diremos mais ainda, tanto se justifica essa regulamentação quando em matéria de segurança se teve o cuidado de garantir que «o acesso aos dados é objecto de controlo para que as pessoas autorizadas só possam ter acesso aos dados que interessem ao exercício das suas atribuições profissionais» (itálico nosso) — cf. artigo 8.°, alínea c).7.4 — Ainda em sede de omissão de regulamentação, não podemos deixar de alertar também para a não previsão da matéria relativa à comunicação de dados registados.Se é certo que nesta área o princípio vigente é, em regra, o da não comunicação a terceiros das informaçõesregistadas — cf. o princípio 7.1 do projecto de revisão da Recomendação R (81) 1 —, a verdade é que existem no sistema jurídico nacional disposições legais que impõem tal comunicação ou notificação, pelos profissionais de saúde, relativamente a determinado tipo de doenças.Assim o dispõem, de entre outros, as Portarias n.TM 766/ 86, de 26 de Dezembro, 148/87, de 4 de Março, e 40/93, de 11 de Janeiro, bem como, na área da educação e ensino, os artigos 4.° e 5.° do Decreto-Lei n.° 229/94, de 13 de Setembro.Em causa estão, em particular, determinadas doenças transmissíveis, quais sejam a difteria, hepatite, tuberculose pulmonar, sarampo, varicela e outras, agora expressamente elencadas no Decreto Regulamentar n.° 3/95, de 27 de Janeiro.8 — Em matéria de segurança dos dados, prevê o artigo 8.°, nas suas alíneas d) a c), os denominados «controlo de entrada nas instalações», «controlo da inserção» e o «controlo de acesso».8.1 — Se bem que, como se depreende do corpo do preceito, tenham sido enunciados apenas a título exemplificativo, em matéria de tão grande sensibilidade e importância, não seria despicienda a enunciação, expressa também, e no mínimo, dos denominados «controlo dos suportes de dados» — impedindo que os mesmos possam ser lidos, copiados,, alterados ou retirados por pessoa não autorizada —, do «controlo da utilização» — impedindo que o sistema de tratamento possa ser utilizado por pessoa não autorizada através de instalações de transmissão de dados —, bem como do denominado «controlo de disponibilidade» — assegurando a constituição de cópias de segurança da informação registada.8.2 — Jusüficar-se-ia também, quanto a nós, tendo ainda em atenção os potenciais riscos inerentes a este tratamento, a consagração, neste preceito legal, de medidas que imponham um exame periódico ao estado de segurança do mesmo.9 — Uma palavra final relativamente ao responsável pelo tratamento informático em questão.Dispõe o artigo 9." do projecto regulamentar que «cada uma das instituições e serviços do Serviço Nacional de Saúde referidas em anexo é a entidade responsável pelo respectivo ficheiro automatizado de identificação de doentes».Não se nos vislumbrando objecções de maior na solução adoptada não queremos, contudo, deixar de referir que, de acordo com o que está legalmente estabelecido pelo Decreto-Lei n.° 308/93, de 2 de Setembro, que define as atribuições e competências do Instituto de Gestão Informática e Financeira da Saúde, em particular nos seus artigos 2.°, alínea b), 3.°, n.° 2, 10.°, n.°2, alínea ¿>), 15.°, 16.° e, sobretudo, o artigo 17.6, bem poderia ser este organismo o responsável pelo tratamento informático, globalmente considerado, atenta a noção dada pelo artigo 2.°, alínea h), da Lei n.° 10/91 referida.Por outro lado e também, considerando que o artigo 10.°, n.° 2, alínea d), do Decreto-Lei n.* 335/93, de 29 de Abril, atribui às administrações regionais de saúde, através dos seus coordenadores sub-regionais, competência para «organizar o registo de dados», não repugnaria ainda que cada uma das respectivas ARS fosse designada como a responsável, atentas as suas competências, enunciadas pelo artigo 2.° do referido diploma legal, e o facto de estarem bem mais próximas dos respectivos utentes.10 — Temos por correctas as demais matérias relativas à conservação dos dados, bem como ao direito de acesso