358II SÉRIE-C — NÚMERO 34nóstico, aos relativos à medicação e a dados de carácter geral como sejam alergias a medicamentos ou grupo sanguíneo.5 — Para assegurar estas exigências, o Hospital de S... deverá respeitar a seguinte metodologia:Proceder à separação lógica entre os dados administrativos e os dados de saúde, a fim de que os «níveis de registo» e os «níveis de acesso» sejam estabelecidos em função do tipo de informação tratada, qualidade e grau de confidencialidade dos dados;Estabelecimento de mecanismos que assegurem o sigilo profissional e evitem que haja dados a ser manuseados por pessoas a quem está vedado o seu conhecimento;O responsável do tratamento automatizado ou um médico por ele designado deverá ser o garante do respeito do sigilo médico, cabendo-lhe a definição do' nível de acesso dos utilizadores;Seria desejável que as pesquisas ou tentativas de pesquisa fossem registadas (na sua totalidade ou de modo aleatório), sendo feitas auditorias/amostragens para garantir a segurança e o grau de confidencialidade.Deve o Hospital, no prazo de 180 dias, especificar quais foram as medidas adoptadas.6 — O direito de acesso por parte dos titulares configura-se, no nosso ordenamento jurídico e à semelhança do que acontece noutros países europeus, como de «acesso indirecto».O artigo 28.°, n.° 3, da Lei n.° 10/91 dispõe que «a informação de carácter médico deve ser comunicada à pessoa a quem respeite, por intermédio do médico por ela designado». O médico pode não ser o «médico assistente» ou o médico que elaborou a ficha clínica do doente.Q Segurança da informaçãoO responsável deverá dotar o sistema de um elevado nível de segurança (controlo da entrada nas instalações, controlo na inserção, controlo no acesso e, por regra, impossibilidade de difusão dos dados), assegurando o exame periódico ao estado de segurança do sistema.III — Sobre o tempo de conservação da informação informa o Hospital o seguinte: «Durante a relação do doente .com o Hospital. Logo que essa relação termina, a informação passa a histórico para servir de base à investigação médica.» Os dados utilizados para investigação médica «são sempre anonimizados» (of. de 2 de Março de 1998).A Comissão Nacional de Protecção de Dados Pessoais Informatizados delibera autorizar, nos termos dos artigos 8.°, n." 1, alínea b), 17.°, n.° 2, e 18.° da Lei n.° 10/ 91, na redacção introduzida pela Lei n.° 28/94, de 29 de Agosto, a manutenção do ficheiro automatizado, nos seguintes termos:1) Responsável: Santa Casa da Misericórdia de Lisboa, com sede no Largo de Trindade Coelho, 1, 1200 Lisboa;2) Características: sistema departamental em rede;3) Aplicações instaladas: marcação de agenda, consultas, internamento, imagiologia, fisiatria, bloco operatório, gestão de sangue. Lista de espera, farmácia, gestão de stocks, gestão central de esteri-lização, facturação, gestão da oficina ortopédica, estatística e informações;,4) Finalidade do ficheiro: gestão da actividade do Hospital Ortopédico de Sant'Ana e prestação de cuidados de saúde e de apoio ao doente; gestão dos processos dos doentes para apurar custos aimputar ao respectivo subsistema de segurança social e ou ao próprio doente;5) Serviços encarregados do processamento da informação: Hospital Ortopédico de S...;6) Dados pessoais registados: os indicados nos documentos n."" I a 16 e os dados de saúde constantes da Portaria n.° 756/96, de 24 de Dezembro. Trata dados de saúde e, por isso, deve obter autorização dos titulares. Em relação aos dados sobre filiação religiosa e práticas religiosas deve ser obtido consentimento expresso por parte dos doentes;7) Fundamento da recolha de dados: consentimento dos titulares;8) Recolha e actualização directa e indirecta (meios auxiliares de diagnóstico);9) Apenas serãp comunicados os dados às entidades a quem são facturados os serviços prestados e para efeito de pagamento dos cuidados de saúde prestados;10) Não há relacionamento da informação;11) Não há fluxos transfronteiras de dados;12) Medidas de segurança: cópias de backup, password de acesso às informações, acesso restrito de pessoas;13) Tempo de conservação: até haver conhecimento do falecimento do doente. Os dados sobre filiação religiosa deverão ser eliminados logo que o doente tenha alta. Os dados podem ser utilizados para investigação médica, desde que não sejam identificáveis os seus titulares;14) Pessoas com acesso directo à informação:Administrativos (informação administrativa geral);Médico/paramédico (informação específica médica, necessária ao exercício das funções);Informático (controlo e segurança da informação);15) Formas e condições de acesso: por solicitação escrita ao responsável do ficheiro. O titular deve indicar médico a quem poderão ser comunicados os seus dados de saúde (cf. artigo 28.", n.° 3, da Lei n.° 10/91).16) Formas e condições de rectificação: por solicitação pessoal ou por solicitação de• profissional de saúde (quando estiver em causa a alteração de dados de saúde), junto do responsável.Em conclusão:1) Os dados recolhidos são pertinentes, necessários e não excessivos em relação à finalidade do ficheiro (cf. artigo 12.°. n.1" I e 2. da Lei n.° 10/ 91). pelo que se autoriza a manutenção do ficheiro, nos termos especificados;2) Em relação aos dados sensíveis (dados de saúde), enquadráveis na previsão do artigo 11.°,