20 DE JULHO DE 1996174-(373)«vida privada», sendo por isso o seu registo informático proibido, de acordo com o disposto nos artigos 35.°, n.° 3, da Constituição da República Portuguesa e 11.°, n.° 1, alínea a), da Lei n.° 10/91.5.2 — Doenças há, por outro lado, que, pela sua especificidade e «impacte» público, justificam, neste caso, um tratamento informático especial.Falamos, obviamente, dos doentes portadores do HIV — a sida — e dos toxicodependentes.Sendo inquestionável que aqui se justificam reforços acrescidos de não discriminação, entende esta Comissão que o registo de cada uma dessas informações deverá serobjecto de alguma especialidade.Nos casos particulares dos doentes do HIV — com notificação obrigatória à Comissão Nacional de Luta contra a Sida, nos termos do Despacho n.° 14/91, de 3 de Julho —, feita a notificação, deveria o registo informático desta informação ser de acesso mais restrito, ou seja, limitado ao médico respectivo e pelo mesmo passando qualquer outro acesso ao mesmo, ou, se assim também se entender, eventualmente, conter apenas uma menção do género «doente de risco», ou outra equivalente.O mesmo se dirá relativamente à toxicodependência.E isto porque, e fundamentalmente, quer uma quer outra das situações referidas ultrapassam em muito o âmbito institucional e material dos centros de saúde.Com efeito, t de acordo com o disposto nos artigos 2.°, n.° 1, 5." e 6." do seu regulamento, aos mesmos cabe tão--só a prestação «de cuidados primários», «que não necessitam de cuidados especializados», procedendo ao seu «encaminhamento directo para os serviços especializados», como será, necessariamente, o caso.6 — Vários outros aspectos poderão também ser considerados e melhorados, em sede regulamentar, sempre visando o acautelar e o reforço das «garantias de não discriminação» legalmente exigidas.6.1 — Em matéria da recolha e actualização dos dados prevista no artigo 3.°, deveria aditar-se que os dados recolhidos se devem limitar ao estritamente necessário e que só poderão ser utilizados para os fins previstos no artigo 1.°Cremos ser uma consequência directa do estatuído no artigo 15.° da Lei n.° 10/91.6.2 — Omitindo o diploma legal em apreciação qual o serviço ou serviços encarregados do processamento da informação, deverá fazê-lo, como expressamente o exige o artigo 18.°, alínea c), da Lei n.° 10/91.6.3 — Omisso é também o mesmo relativamente à matéria do acesso directo à informação registada, exigido pela alínea j) seguinte.Esta matéria, de especial importância, justifica, em nosso entender, um cuidado particular, devendo especificar--se a(s) categoria(s) de, pessoas com direito a acederem directamente aos vários tipos de informação registada, es-tabelecendo-se os respectivos níveis de acesso à informação, tendo em conta a qualificação profissional e respectivas finalidades.Só desse modo, aliás, se garantirá, de um modo efectivo, a confidencialidade médica.E, diremos mais ainda, tanto se justifica essa regulamentação, quando em matéria de segurança se teve o cuidado de garantir que «o acesso aos dados é objecto de controlo para que as pessoas autorizadas só possam ter acesso aos dados que interessem ao exercício das suas atribuições profissionais» (itálico nosso) — cf. artigo 8.°, alínea c).7 — Ainda em sede de omissão de regulamentação, não podemos deixar de alertar também para a não previsão da matéria relativa à comunicação de dados registados.Se é certo que nesta área o princípio vigente é, em regra, o da não comunicação das informações registadas — cf. o princípio 7.1 do projecto de revisão da Recomendação R (81) 1 —, a verdade é que existem no sistema jurídico nacional disposições legais que impõem .tal comunicação ou notificação pelos profissionais de saúde.Assim o dispõem, de entre outros, as Portarias n.M 766/ 86, de 26 de Dezembro, 148/87, de 4 de Março, e 40/93, de 11 de Janeiro, bem como, na área da educação e ensino, os artigos 4.° e 5." do Decreto-Lei n.° 229/94, de 13 de Setembro.É o caso particular de determinadas doenças transmissíveis, quais sejam a difteria, hepatite, tuberculose pulmonar, sarampo, varicela e outras, agora expressamente elencadas no Decreto Regulamentar n.° 3/95, de 27 de Janeiro.8 — Em matéria de segurança dos dados, prevê o artigo 8.°, nas suas alíneas a) a c), os denominados «controlo de entrada nas instalações», «controlo da inserção» e «controlo de acesso».8.1 —Se bem que, como se depreende do corpo do preceito, tenham sido enunciados apenas a título exemplificativo, em matéria de tão grande sensibilidade e importância, não seria despicienda a enunciação, expressa também e no mínimo, dos denominados «controlo dos suportes de dados» — impedindo que os mesmos possam ser lidos, copiados, alterados ou retirados por pessoa não autorizada —, do «controlo da utilização» — impedindo que o sistema de tratamento possa ser utilizado por pessoa não autorizada através de instalações de transmissão de dados —, bem como- do denominado «controlo de disponibilidade» — assegurando a constituição de cópias de segurança da informação registada.8.2 — Justificar-se-ia também, quanto a nós, tendo ainda em atenção os potenciais riscos inerentes a este tratamento, a consagração, neste preceito legal, de medidas que imponham um exame periódico ao estado de segurança do mesmo.9 — Uma palavra final relativamente ao responsável pelo tratamento informático em questão.Dispõe o artigo 9.° do projecto regulamentar que «cada uma das instituições e serviços do Serviço Nacional de Saúde referidas em anexo é a entidade responsável pelo respectivo ficheiro automatizado de identificação dos utentes».Não se nos afigurando existirem quaisquer objecções à solução proposta, não deixaremos, contudo, de referir que, de acordo com o que legalmente é estabelecido pelo Decreto-Lei n.° 308/93, de 2 de Setembro, que define as atribuições e competências do Instituto de Gestão Informática e Financeira da Saúde, em particular nos seus artigos 2.°, alínea b), 3.°, n.° 2, 10.°, n.° 2, alínea b), 15.°, 16." e, sobretudo, o 17.°, bem poderia ser este organismo o responsável pelo tratamento informático, globalmente considerado, atenta a noção dada pelo artigo 2.°, alínea h), da Lei n.° 10/91 referida.Por outro lado, e também considerando que o artigo 10.°, n.° 2, alínea d), do Decreto-Lei n.° 335/93, de 29 de Abril, atribui às administrações regionais de saúde, através dos seus coordenadores sub-regionais, competência para «organizar o registo de dados», não repugnaria que cada uma das ARS fosse designada como a responsável respectiva, atentas as suas competências, enunciadas pelo artigo 2."