20 DE JULHO DE 1996174-(361)parece-nos que seria desejável concretizar estes princípios definindo, no diploma, «níveis de registo» e «níveis de acesso» à informação em função da qualidade e confidencialidade dos dados (cf. supra).O que se pretende, afinal, é salvaguardar o sigilo profissional e evitar que haja dados a ser «manuseados» porpessoas a quem está vedado o seu conhecimento.Por isso, devem ser distinguidos os dados administrativos dos dados sobre o «estado de saúde» e a definição, no regulamento, do perfil dos utilizadores ao nível do registo e da consulta. Deste modo, seria dado conteúdo às medidas genéricas contidas nas referidas alíneas b) e c) do artigo 8.°, sendo explicitado quais os utilizadores que registam e consultam os dados e quando, na prática, os dados são consultados no interesse do «exercício das suas atribuições profissionais».2.2 — Entidades a que podem ser transmitidos os dados e em que condições:Sendo o projecto omisso sobre a «transmissão de dados», concluiu a CNPDPI que a informação não é transmitida a quaisquer outras entidades. Porém, é necessário conciliar esta conclusão com o disposto no artigo 25." do Decreto-Lei n.° 294/90 nos termos do qual os serviços integrantes da rede nacional de transfusões de sangue (que integra o IPS, serviços de transfusão de sangue dos hospitais, Instituto Português de Oncologia e as unidades de saúde do âmbito militar — artigo 2.°, n.°l) devem proceder ao registo, que manterão actualizado, dos dadores de sangue.2.3 — Existência de comparações ou interconexão da informação:Em face da omissão do projecto, conclui-se, igualmente, que não há comparação ou interconexão desta com outra informação.3 — Aspectos do projecto que suscitam ponderação.3.1 —Responsável pelo ficheiro:Dispõe o artigo 9." do projecto que «o IPS é a entidade responsável pelo ficheiro automatizado de dadores de sangue». A Comissão não tem quaisquer objecções a esta solução.Anota-se, porém, qüe o projecto de diploma deverá ser modificado, sob pena de o seu conteúdo não corresponder à realidade que foi comunicada pelo Ministério da Saúde. No ofício referenciado consta que «existem três bases de dados, uma em cada um dos centros regionais, onde é registada a informação relativa aos dados do respectivo centro». Não existe comunicação de dados entre os centros, «estando previsto o acesso dos serviços centrais do IPS à informação de cada centro».O projecto de diploma não refere esta realidade, apontando, pelo contrário, para a existência de um único ficheiro automatizado (v. a redacção dos artigos 1.°, 4.°, 8.°, 9° e 10.°, n.° 1, do projecto).Havendo uma base de dados em cada um dos centros regionais (cf. ofício) e muito embora estabeleça o artigo 28.°, aifnea d), da Lei n.° 25/89 que «compete ao serviço administrativo do centro regional manter um registo informatizado de todos os dadores e do movimento de sangue e seus derivados», competirá ao IPS, em consequência do artigo 9.° do projecto e na qualidade de responsável do ficheiro, definir a categoria de dados a registar, as operações aplicáveis, a responsabilização pelo estabelecimento das regras de segurança fixadas no ar-tigo 8.°, bem como a definição das regras relativas aos «níveis de acesso». Cabe-lhe, ainda, tomar todas as medidas que garantam a não transmissão da informação a terceiros e assegurar que sejam estabelecidos os «níveis de confidencialidade» adequados ao tipo de dados tratados e à natureza sensível dos mesmos.Interessa equacionar estes aspectos e perspectivar, ao nível da estrutura organizativa dos serviços [cf. os artigos 18.°, 22.°, 23.°, alínea a), 26." e 28.°, alínea d), da Lei n.° 25/89, de 2 de Agosto], se não se pretenderá, na prática, que seja o presidente do conselho directivo de cada centro regional o responsável por cada um dos ficheiros.Se esta solução for adoptada, deverá ser regulamentado, no diploma em análise, o direito de acesso a cada um dos ficheiros dos centros regionais por parte dos «serviços centrais do LPS», estabelecendo-se as finalidades que determinam o direito de acesso, quem acede, em que termos e como é assegurada a confidencialidade. O acesso a esta informação — por linha de transmissão de dados — deve ser rodeado de cuidados especiais quer ao nível do protocolo de comunicações quer através do estabelecimento de mecanismos que impossibilitem o acesso ou «intercepção» da informação por pessoas não autorizadas.3.2 — Dados pessoais contidos em cada registo:O artigo 2.° do projecto estabelece quais os dados recolhidos e tratados automaticamente: número de identificação de dador de sangue, nome, data de nascimento, profissão, morada, número do bilhete de identidade, dados relativos ao estado de saúde e dados de natureza laboratorial referentes ao sangue.d) Quanto ao «número de identificação de dador de sangue», deve ser definida, neste diploma, a estrutura do número de identificação.O artigo 35.°, n.° 5, da Constituição da República proíbe a atribuição de um número nacional único aos cidadãos. O artigo 24.°, n.° 2, da Lei n.° 10/91 estabelece que «não é permitida a atribuição de um mesmo número de cidadão para os efeitos de interconexão de ficheiros automatizados de dados pessoais que contenham informações de carácter médico».O que se pretende proibir é a atribuição de um «número informáticamente significativo», isto é, do qual se permita deduzir alguma informação de carácter pessoal sobre os elementos de identificação ou de caracterização do cidadão.A utilização de um número único noutros ficheiros que tratam dados de saúde pode determinar algum risco de interconexão de informação que o artigo 24.°, n.° 2, proíbe (').Entende-se que, no mínimo, deveria ser utilizada uma formulação idêntica à que consta do artigo 6.°, n.° 2, do Decreto-Lei n.° 198/95, de 29 de Julho, relativo ao cartão de saúde, ao prever uma numeração sequencial.Neste momento, a adopção de um número «não significativo» não levanta objecções. Mas a utilização generalizada do mesmo número em bases de dados sectoriais em instituições e serviços prestadores de cuidados de saúde (v. g., um «número de utente do SNS»), servindo de «chave de acesso» uniforme e com potencialidades para estabelecer relacionamento de informação, pode vir a ser condicionado.b) Analisemos, de seguida, o regime de tratamento automatizado dos dados relativos ao «estado de saúde» e dados de «natureza laboratorial».(') Sobre esta matéria, v. José António Barreiros, «Informática, liberdades e privacidade», in Estudos sobre a Constituição, vol. i, 1977, p. 119, e Garcia Marques. Informática e Liberdade, p. 119.