Source: http://docplayer.com.br/80563-Relatorio-de-auditoria-ao-tratamento-de-informacao-de-saude-nos-hospitais.html
Timestamp: 2018-01-21 15:20:39+00:00

Document:
RELATÓRIO DE AUDITORIA AO TRATAMENTO DE INFORMAÇÃO DE SAÚDE NOS HOSPITAIS - PDF
Download "RELATÓRIO DE AUDITORIA AO TRATAMENTO DE INFORMAÇÃO DE SAÚDE NOS HOSPITAIS"
Alexandra Fontes Alencastre
1 1 RELATÓRIO DE AUDITORIA AO TRATAMENTO DE INFORMAÇÃO DE SAÚDE NOS HOSPITAIS RELATOR AMADEU GUERRA APROVADO NA SESSÃO PLENÁRIA DE 9 DE NOVEMBRO DO 2004
2 2 INDICE Pág. I Introdução. Objectivos delineados 3 II Tratamento da Informação 1. Obrigação de notificação e controlo prévio pela CNPD 5 2. Direito de Informação e acesso 7 3. Respeito pelo princípio da finalidade Utilização de dados de saúde para investigação científica Confidencialidade e regras de segurança Prazo de conservação e informação de saúde 29 III Considerações Gerais sobre o Tratamento de Informação de Saúde nos Hospitais 1. Rede hospitalar e gestão da informação de saúde A utilização dos sistemas de videovigilância 39 IV Aspectos Particulares Verificados 1. As experiências de telemedicina Os pedidos de análises clínicas e o acesso aos resultados: Antecedentes A situação actual Solução preconizada para reforçar a confidencialidade Arquivo clínico Caminhar para um dossier clínico informatizado 65 CONCLUSÕES 70 RECOMENDAÇÕES 74 ANEXOS 78
3 3 I. INTRODUÇÃO. OBJECTIVOS DELINEADOS O Plano da Actividades da Comissão Nacional de Protecção de Dados (CNPD) prevê, para o ano de 2004, a realização de uma «fiscalização de controlo a instituições de saúde» que consiste no «levantamento da situação dos tratamentos de dados pessoais em diversas instituições de saúde públicas e privadas de regiões diversas». Para levar a cabo esta tarefa a CNPD fez uma visita a 38 hospitais (Anexo I) com o objectivo de verificar a forma como se procedia ao tratamento de dados de saúde dos doentes. Na Região Autónoma da Madeira alguma da informação coligida pelo Centro Hospitalar do Funchal pode ser partilhada pelos Centros de Saúde. Na Região Autónoma dos Açores foram visitados 2 Centros de Saúde que, por terem características específicas (v.g. realização de internamentos e urgência), foram também objecto de análise. A CNPD não verificou quaisquer outros tratamentos de dados existentes nos hospitais que não se relacionassem com a realização de finalidades relativas a medicina preventiva, de diagnóstico médico ou de prestação de cuidados de saúde. Para além do tratamento de informação em «bases de dados», foram ainda considerados os tratamentos de dados em suporte de papel e as experiências de «telemedicina». Não foram objecto de análise, nomeadamente, as aplicações relativas ao processamento de remunerações, à gestão administrativa de funcionários, ao controlo dos trabalhadores em matéria de utilização do correio electrónico ou Internet( 1 ), bem como outras aplicações de gestão administrativa e financeira. Verificando-se uma tendência generalizada para a adopção de sistemas de videovigilância nos Hospitais a CNPD fez, igualmente, o levantamento destes tratamentos. ( 1 ) Em muitos hospitais foi abordada esta temática e perguntado se existia uma política de controlo dos trabalhadores. A CNPD informou sobre a existência de orientações relativas ao controlo de trabalhadores (disponíveis in tendo tomado medidas, num caso concreto, de proib ição de publicitação na rede do Hospital das consultas realizadas a sítios Internet por posto de trabalho.
4 4 A acção desenvolvida visa, exclusivamente, verificar se o tratamento de dados de saúde respeita as condições legalmente estabelecidas pela Lei 67/98, de 26 de Outubro, e se são respeitados os direitos dos doentes consignados, nomeadamente, na Lei de Bases da Saúde (Lei n. º 47/90, de 24 de Agosto). De entre outras, houve preocupações particulares em relação à análise dos seguintes aspectos: a) Se a recolha de dados e tratamento subsequente era feito com observância do princípio da transparência (artigo 2.º da Lei 67/98) e com salvaguarda do direito de informação dos doentes (artigo 10.º da Lei 67/98); b) Se os dados pessoais dos doentes eram tratados no âmbito de finalidades determinadas e legítimas (a prevenção, diagnóstico, prestação de cuidados e gestão de serviços de saúde), se havia tratamento subsequente compatível com esta finalidade (v.g. investigação científica) e se esse complexo de tratamentos cumpriam as «condições de legitimidade» legalmente previstos no artigo 7.º da Lei 67/98; c) Se os tratamentos respeitavam, em todas as suas vertentes, o segredo médico e o «estatuto dos utentes» que se consubstancia no direito de ser «respeitada a confidencialidade sobre os dados pessoais revelados» (cf. Base XIV n.º 1 al. d) da Lei de Bases da Saúde aprovada pela Lei n. º 47/90, de 24 de Agosto). Para além das medidas adoptadas com vista a evitar o acesso/divulgação de dados a terceiros estranhos à instituição hospitalar, houve uma preocupação de verificar que tipo de procedimentos ou medidas são adoptadas para impedir o acesso no seio da instituição hospitalar a dados de saúde por pessoas não autorizadas legalmente. d) O direito de acesso aos dados pelo próprio doente (cf. artigo 11.º n.º 5 da Lei 67/98) deverá ser, igualmente, objecto de reflexão. A CNPD propõe-se fazer um levantamento tão completo quanto possível da forma como são tratados os dados de saúde, evidenciando os aspectos positivos e procurando, em relação a alguns procedimentos menos adequados, sugerir alterações organizativas ou procedimentais e, em situações específicas, propor medidas legislativas adequadas.
5 5 II. O TRATAMENTO DA INFORMAÇÃO E O CUMPRIMENTO DA LEI 67/98, DE 26 DE OUTUBRO 1. A obrigação de notificação e o controlo prévio pela CNPD 1. O artigo 27.º n.º 1 da Lei 67/98, de 26 de Outubro, estabelece a obrigatoriedade de notificação «antes da realização de um tratamento ou conjunto de tratamentos, total ou parcialmente automatizados, destinados à prossecução de uma ou mais finalidades interligadas». Quando está em causa o tratamento de dados pessoais realizados nas circunstâncias estabelecidas no artigo 7.º n.º 2 da Lei 67/98, a realização do tratamento carece de «autorização prévia da CNPD». A CNPD tem entendido que o tratamento de dados referentes à saúde, à vida sexual ou dados genéticos, realizados para a finalidade e nas circunstâncias estabelecidas no artigo 7.º n.º 4 não estará sujeito a controlo prévio. Porém, se houver tratamento de outros dados (v.g. raça, fé religiosa ou outros dados da vida privada toxicodependência, comportamento de risco, hábitos alcoólicos, problemas sociais de integração), os dados de saúde, da vida sexual ou genéticos forem utilizados para finalidades diversas (v.g para fins de investigação científica) ou tratados em circunstâncias diversas das estabelecidas no artigo 7.º n.º 4 (tratamento efectuado por pessoa não obrigada a sigilo profissional ou sem garantia da medidas de segurança), devem os responsáveis submeter tais tratamento a controlo prévio/autorização da CNPD.
6 6 2. De entre os 38 hospitais visitados havia 6 que não tinham feito, à data da visita da CNPD, a notificação de qualquer tratamento. Em relação aos hospitais que realizaram notificação de tratamentos (32), consta do registo da CNPD a notificação de 195 tratamentos( 2 ). Não sendo o objectivo da CNPD fazer um levantamento exaustivo da totalidade dos tratamentos existentes nos hospitais visitados, foi possível encontrar por visita aleatória a determinados serviços que havia muitos tratamentos não notificados, apresentando-se de seguida um quadro relativo à notificação de tratamentos: Finalidades Notificados Não notificados Análises/Serv. Sangue Arquivo 24 16( 3 ) Telemedicina 0 54 Videovigilância 4 17 Outras Finalidades( 4 ) Total Verificados os termos das notificações realizadas com as aplicações instaladas podemos afirmar que, em termos gerais, os tratamentos estão a ser feitos em conformidade com as respectivas notificações. Existem situações pontuais em que foi omitido o tratamento de alguns dados (v.g. dados sensíveis raça, toxicodependência, prostituição), tendo também havido uma falta de cuidado generalizada na especificação das condições em que os dados são subsequentemente utilizados para fins de investigação.. ( 2 ) De entre estes há 6 hospitais que fizeram a notificação de mais de 10 tratamentos. ( 3 ) 10 destes tratamentos não notificados dizem respeito à aplicação SONHO, a qual foi comunicada pelo IGIF. Isto é, não consta dos processos de notificação destes Hospitais qualquer referência à aplicação em causa. ( 4 ) Engloba a generalidade dos tratamentos nos diversos serviços ou especialidades (v.g. gestão de doentes, cardiologia, obstetrícia, ginecologia, oncologia, Urgência, UCI, infectocontagiosas, etc.)
7 7 Em relação à omissão da obrigação de notificação pode concluir-se que, estando a generalidade dos hospitais conscientes de que devem fazer as respectivas notificações, não houve da sua parte a preocupação de fazer um levantamento exaustivo dos tratamentos em curso em todo o hospital. Não se compreende como é possível continuar a encontrar uma percentagem elevada de tratamentos não notificados (cerca de 50%) por parte da generalidade dos hospitais. Como se verá, deve ser dada particular atenção às aplicações da responsabilidade exclusiva de médicos por poderem representar, em termos gerais, um maior perigo em termos de privacidade dos doentes (v.g. por não estarem dotadas de password ou não fazerem a separação lógica dos dados) ou por envolverem um risco em relação à integridade dos dados (por não serem feitas cópias de segurança ou não haver suportes alternativos para preservar a perda acidental dos dados). A manter-se esta situação a CNPD irá desenvolver acções de fiscalização, com vista à aplicação das respectivas sanções legalmente previstas (coimas ou participação criminal ao Ministério Público, conforme as circunstâncias). Irão merecer cuidado especial os tratamentos sujeitos a controlo prévio pela especial sensibilidade dos dados tratados e pelo risco de discriminação dos seus titulares( 5 ). 2. Direito de informação e acesso 1. Nos termos do artigo 10.º da Lei 67/98 o responsável está obrigado a assegurar o direito de informação, em particular sobre a identidade do responsável, finalidade do tratamento, destinatários ou categorias de destinatários dos dados e formas e condições do exercício do direito de acesso e rectificação por parte dos titulares dos dados. ( 5 ) Vejam-se, para maior detalhe, as considerações tecidas em relação aos serviços de sangue e à utilização de dados para fins de investigação científic a.
8 8 Em nenhum Hospital à excepção daqueles onde havia avisos afixados a informar sobre a recolha de imagens no âmbito da videovigilância (cf. adiante) foram adoptados mecanismos concretos que se destinem a assegurar o direito de informação. Ou seja, não foram encontrados formulários, avisos ou quaisquer procedimentos que se destinassem a dar o direito de informação nas vertentes acima enunciadas. Em dois hospitais foi dito que era obtido o «consentimento informado» dos utentes. No entanto, e compulsados os respectivos suportes de papel foi possível verificar o seguinte: 1) Num dos casos o «consentimento informado» procedimento de recolha estabelecido através de disposições escritas e que vinculam todos os Departamentos ou Serviços de Acção Médica do Hospital só é aplicável no domínio da realização de actos médicos («procedimentos médicos ou cirúrgicos») que devem ser especificados e clarificados ao doente( 6 ). Em nenhuma disposição escrita dos «procedimentos» se especifica que tal consentimento se reporta ao tratamento de dados pessoais do doente. A declaração de consentimento( 7 ), reportando-se apenas à necessidade de «descrição do procedimento médico, cirúrgico ou anestésico», não apresenta qualquer referência aos elementos constantes do artigo 10.º n.º 1 da Lei 67/98. 2) Noutro caso a «declaração» é obtida no âmbito do inquérito detalhado feito pelo Serviço de Imuno-Hemoterapia no momento prévio à selecção dos dadores de sangue. O texto incluído no formulário tem a seguinte redacção: tenho conhecimento de que serão feitas análises no meu sangue requeridas pela lei e aceito que o meu nome faça parte de uma lista que pode ser consultada por todos os Serviços de Sangue dos Hospitais e o Instituto Português de Sangue, no caso de algum resultado ser positivo. Nestas circunstâncias, autorizo que me seja feita uma colheita de sangue e assino voluntariamente esta declaração, em plena consciência das minhas responsabilidades. ( 6 ) De acordo com as respectivas regras escritas sobre este procedimento, «aos doentes, utentes ou seus representantes legais devem ser prestados todos os esclarecimentos por eles solicitados, de modo a que lhes permita atingirem o alcance do(s) procedimento(s) que lhes é(são) proposto(s), explicando os procedimentos alternativos, de forma a que, em consciência, se sintam habilitados a decidir». ( 7 ) O «consentimento informado» deve ser obtido pelo médico e será sempre arquivado no processo clínico do doente.
9 9 Tal como resulta da declaração, o consentimento limita-se a autorizar a disponibilização do nome do titular aos Serviços de Sangue e IPS em relação a situações em que haja resultados positivos que determinem (transitória ou definitivamente) a impossibilidade de dar sangue. Constatou-se que estes serviços recolhem muitos outros dados alguns deles extremamente sensíveis (hábitos sexuais, parceiros, diagnóstico de doenças sexualmente transmissíveis, prostituição, consumo de álcool e de drogas, HIV) e não é feita qualquer referência ao seu tratamento automatizado nem obtido o (necessário cf. artigo 7.º n.º 2 da Lei 67/98) consentimento dos titulares dos dados. Como é óbvio, o que acaba de ser descrito suscita um aspecto novo que a CNPD ainda não apreciou e que se prende com a «partilha de informação» relativa a «não dadores de sangue». Os responsáveis dos tratamentos no âmbito dos Serviços de Imuno-Hemoterapia devem notificar a CNPD em relação a estes procedimentos e sobre a forma de partilha de dados na medida em que é claramente questionável que esta informação possa ser partilhada da forma como se sugere. Pode concluir-se, por isso, que o direito de informação não é assegurado nos moldes em que é exigido pelo artigo 10.º da Lei 67/98, de 26 de Outubro. Muito embora tenha sido referido em alguns hospitais que o simples facto de os utentes constatarem que existem computadores e que alguns dados são aí introduzidos poderia indiciar, pelo menos, a existência de um tratamento, esse facto não é suficiente uma vez que a Lei 67/98 não admite uma «forma implícita» de assegurar o direito de informação. O direito de informação tem de ser expresso, adiantando a lei que os documentos que servem de base à recolha de dados pessoais «devem conter as informações» necessárias, entre outras, a assegurar o direito de acesso (cf. artigo 10.º n.º 2 da Lei 67/98). Isto é, todos os formulários existentes nos hospitais e que se destinem a recolher dados pessoais junto dos utentes devem ser reformulados por forma a assegurar o direito de informação nos termos consignados no artigo 10.º n.º 1 e 2 da Lei 67/98 devendo, ao mesmo tempo, ser obtido o consentimento para o tratamento de dados quando esse consentimento se revelar necessário (cf. artigo 7.º n.º 2 da
10 10 Lei 67/98) e o titular dos dados estiver em condições de poder prestar esse consentimento (veja-se o disposto no artigo 7.º n.º 3 alínea a) da Lei 67/98). Em termos de síntese considera a CNPD que não está a ser dado o direito de informação, nos termos em que é legalmente exigível, sendo conveniente salientar que há situações particulares em que é imprescindível assegurar, com particular cuidado, esse direito em relação à finalidade (v.g. serviços de sangue, telemedicina, investigação científica com dados nominativos), aos destinatários dos dados (v.g. investigação científica, telemedicina, fornecimento de dados a entidades externas) e sobre as condições em que pode ser exercido o direito de acesso e rectificação por parte dos titulares. Esta informação deverá constar, obrigatoriamente, dos formulários de recolha de dados (cf. artigo 10.º n.º 2), poderá ser objecto de informação verbal sempre que os dados sejam recolhidos por inquérito verbal junto dos titulares, sendo desejável que, nos locais onde tais dados são sistematicamente recolhidos, haja avisos afixados que forneçam tais informações. Quando os dados forem utilizados para investigação científica deverão ser adoptados mecanismos de informação e de consentimento informado (ver infra). 2. No que diz respeito ao direito de acesso por parte dos titulares não foi possível apurar quaisquer elementos numéricos sobre a quantidade ou percentagem de pedidos formulados. Os hospitais não dispõem desses elementos, mas informam que os pedidos são muito raros. Muitas vezes o que se pretende é o fornecimento de meios auxiliares de diagnóstico ou cópia da ficha clínica para fins de continuidade da prestação de cuidados ou obtenção de uma «segunda opinião», sem estar especificamente em causa o exercício do direito de acesso. Em relação a 73 aplicações em que foi solicitada informação sobre a forma e entidade junto de quem é exercido o direito de acesso foram obtidos, em 69 respostas, os seguintes resultados: o Ao Director de Serviço 47 o Ao Director Clínico 19
11 11 o Ao Director do Hospital 1 o Ao médico que prestou os cuidados 1 o Ao enfermeiro Chefe( 8 ) 1 Ou seja, é patente que o exercício do direito de acesso pode ser feito, como é lógico, junto do Director do respectivo serviço ou junto do director clínico. De acordo com as respostas dadas pois nem todos sabiam informar o acesso aos dados de saúde será conferido mediante «intermediação médica» em 59 casos (88,05%), podendo essa intermediação ser feita através do médico que prestou os cuidados ou pelo director clínico sempre que o titular não apresente médico da sua confiança. O acesso directo ocorre em 8 casos (11,95%). 3. Verificou-se, no entanto, que alguns hospitais dispõem de regras escritas com vista a assegurar ou delimitar procedimentos atinentes quer ao direito de informação quer ao «direito de acesso» aos próprios titulares. Estes procedimentos, que apresentam como regras orientadoras, nem sempre seguem de perto as regras estabelecidas na Lei 67/98, razão pela qual poderão conter algumas imprecisões ou princípios demasiado genéricos. Por essa razão, será desejável que, com as respectivas notificações à CNPD, juntem esses procedimentos para uma ponderação pela Comissão das regras de acesso à informação. Consigna-se, num hospital, que importa «garantir adequada informação ao doente ou ao seu legítimo representante sobre os episódios de observação e tratamento ocorridos no Hospital». Para o efeito, o médico assistente responsável pelo episódio elabora o respectivo relatório. Quando exista nota de alta a mesma constitui relatório do episódio. Para execução do relatório o médico assistente pode consultar o processo no arquivo e solicitar cópia dos elementos do processo que entenda necessários. Os relatórios são enviados pela Direcção Clínica ao requerente através do Serviço de Doentes no prazo de 15 dias úteis após o pedido. A cedência ( 8 ) Trata-se de aplicação relativa a gestão de cuidados de enfermagem prestados em Centro Hospitalar.
12 12 de cópias dos documentos constantes do Processo clínico ao doente é feita a seu pedido e após autorização do Director Clínico. Num outro hospital consigna-se que o acesso ao processo clínico por parte do doente «deve ser feito mediante procedimentos que respeitem os seus direitos, garantam a confidencialidade, tenham em conta a sua capacidade de entendimento e o efeito que o conhecimento da sua doença pode desencadear em termos psíquicos e psicológicos. Será prudente que tal acesso seja feito com acompanhamento médico, sempre que possível o médico assistente do doente». São definidos os seguintes procedimentos: 1) Apresentação de requerimento dirigido ao Conselho de Administração pelo próprio ou por quem legalmente o represente (cf. cópia do formulário); 2) O Director de Serviço é o responsável pelo acesso ou por qualquer informação sobre o conteúdo do processo clínico, devendo designar um médico do quadro hospitalar que preste tal informação, sempre por escrito, mesmo quando tenha de a explicar verbalmente ao próprio doente, a solicitação deste; 3) Preferencialmente deverá ser o médico assistente a prestar a informação ao doente; 4) Existe a possibilidade de o doente indicar pessoa ou entidade a quem devem ser comunicados os dados que lhe dizem respeito; 5) Apenas deve ser autorizada a comunicação de informação constante do processo clínico, quando não exista prejuízo para terceiros. Não deve ser prestada a informação clínica completa quando houver informação clínica de outras pessoas, mesmo que familiares, e quando haja fundados receios de que a revelação desses dados possa ser prejudicial para a saúde do doente (v.g. diagnóstico de malignidade em doente instável psicologicamente). Num outro regulamento estabelece-se que o médico do doente ou o Director de Serviço são os únicos profissionais autorizados a prestar esclarecimentos ou informação a cada doente, ou aos seus familiares directos, e neste caso com o conhecimento ou até autorização daquele.
13 13 Sendo o acesso ao processo clínico assegurado de forma indirecta, foi ainda constatado num hospital que o acesso pode ser assegurado através da entrega ao utente do «boletim de alta», do qual consta a «terapêutica» e o «diagnóstico de saída». Porém, em situações pontuais nomeadamente em caso de diagnósticos de malignidade» foi admitida a possibilidade de alteração do «descritivo do diagnóstico» no boletim de alta, muito embora pudesse ser mantido o «código da patologia». A Direcção do Hospital e o Director Clínico já foram alertados no sentido de que este procedimento é violador do princípio da transparência (artigo 2.º da Lei 67/98) e contraria os princípios relativos ao direito de acesso constante do artigo 11.º da Lei 67/98. Sendo o acesso assegurado de forma indirecta por intermediação médica (cf. artigo 11.º n.º 5) o responsável pode omitir a revelação de alguns dados pessoais. Não pode modificar os «diagnósticos de saída» ou corrigir a informação clínica, ainda que se entenda que.o faz na «protecção» ou «interesse» do doente. 4. O direito de conhecer os dados que sobre si são tratados assume-se como direito fundamental, já que o artigo 35.º n.º 1 da CRP reconhece esse direito, o qual será exercido nos termos da lei. O artigo 11.º n.º 5 da Lei 67/98, de 26 de Outubro, estabelece que esse direito é «exercido por intermédio de médico escolhido pelo titular dos dados». O direito de acesso a dados clínicos não é encarado da mesma forma em todos os países( 9 ). Na Alemanha a lei organiza o acesso directo do paciente aos dados objectivos do seu dossier (resultados de exame, radiográficos, troca de correio entre médicos). O acesso a elementos subjectivos pode ser-lhe recusado. ( 9 ) Relatório apresentado à Assembleia Nacional francesa pelos deputados MM. Claude Evin, Bernard Charles e Jean-Jacques Denis relativo ao «projecto de Lei sobre os direitos dos doentes e a qualidade dos sistemas de saúde (n.º 3258).
14 14 Na Dinamarca o direito de acesso aplica-se à totalidade das informações que figuram no processo clínico (incluindo as notas pessoais ou os comentários em relação aos exames radiográficos). Cada pedido de acesso é objecto de apreciação e a consulta pode ser directa ou ser efectuada com a ajuda de um médico. Na Holanda é consagrado e reconhecido o direito de acesso directo à totalidade do dossier, salvo às informações susceptíveis de atentar contra a vida privada de terceiros. Em França, a Lei de 4 de Março de 2002 relativa aos direitos dos doentes e à qualidade dos sistemas de saúde estabeleceu o princípio do acesso directo pelo paciente ao conjunto das informações de saúde que lhe dizem respeito e o Decreto de 29 de Abril de 2002 regulamentou a forma de exercício deste direito( 10 ).No entanto, o paciente pode sempre, se o desejar, aceder aos seus dados através da escolha de um médico da sua confiança. Em Portugal, o artigo 10.º da Convenção para a Protecção dos Direitos do Homem e da Dignidade do Ser Humano face às Aplicações da Biologia e da Medicina Convenção sobre os Direitos do Homem e a da Biomedicina, ratificada por Decreto do Presidente da República n.º 1/2001, de 3 de Janeiro consagrou dois direitos: o «de saber» e o de «não querer saber». Efectivamente, o n.º 2 do preceito citado refere, de forma expressa, que qualquer pessoa tem o direito de conhecer toda a informação recolhida sobre a sua saúde. Todavia, a vontade expressa por uma pessoa de não ser informada deve ser respeitada». Admite o n.º 3 do artigo 10.º que, a título excepcional, a lei «pode prever, no interesse do paciente, restrições ao exercício dos direitos mencionados no n.º 2». Apresentando-se as limitações ao direito de acesso como excepcionais, será de admitir que a regra geral contida no artigo 11.º n.º 5 da Lei 67/98 pode ter de sofrer uma inflecção. Daí que se considere adequado ponderar, em termos legislativos, se deve continuar a manter-se a regra do «acesso por intermediação». Caberá à Assembleia da República ponderar e legislar sobre esta matéria. ( 10 ) In «Guides de la CNIL»: Professions de Santé Fiches thématiques, pág. 10 (in
15 15 Os pedidos de acesso mais frequentes e que têm originado maiores dúvidas aos responsáveis relacionam-se com o acesso de terceiros, no âmbito das mais diversas finalidades( 11 ). 3. Respeito pelo princípio da finalidade Em relação às finalidades dos tratamentos verifica-se que, em geral, os dados pessoais recolhidos são utilizados no âmbito das finalidades especificadas no artigo 7.º n.º 4. São ainda utilizados para outras finalidades compatíveis, nomeadamente para fins de investigação científica ou de saúde pública (cf. doenças de declaração obrigatória). Como se verá, as objecções que existem prendem-se com o insuficiente cumprimento das condições de legitimidade em matéria de utilização de dados para fins de investigação científica. Neste particular onde se verifica uma utilização com preterição dos pressupostos que têm sido fixados pela CNPD importa que os hospitais alterem os seus procedimentos ou que, em alternativa, sejam adoptadas providencias legislativas que facilitem a realização de verdadeiros projectos de investigação científica que decorram de imperativos de interesse público. O acesso a dados por parte de terceiros (v.g. por parte de familiares, seguradoras, tribunais) pode implicar um desvio da finalidade, muito embora possa ser considerado compatível com a finalidade originária (cf. artigo 5.º n.º 1 al. b) da Lei 67/98). Esta problemática será, porém, analisada quando abordada a temática dos arquivos. Muito embora se tenha detectado em 2 hospitais que os dados dos dadores de sangue eram utilizados para os felicitar na data do seu aniversário ou enviar-lhe as Boas-Festas sem observância dos princípios relativos ao direito de informação e oposição não foi detectada a utilização de dados clínicos para qualquer finalidade que possa ser qualificada como incompatível com a finalidade originária. ( 11 ) Esta temática será analisada, oportunamente, no âmbito do acesso aos dados do arquivo clínico.
16 16 4. A utilização de dados de saúde para investigação científica 1. Não foram encontrados em qualquer hospital tratamentos cujos dados fossem originária e exclusivamente recolhidos para fins de investigação científica. Os dados pessoais tratados pelos hospitais são, originariamente, recolhidos com a finalidade de diagnóstico, prestação de cuidados de saúde e gestão de serviços de saúde, finalidade integrada na previsão do artigo 7.º n.º 4 da Lei 67/98, de 26 de Outubro. O que se verificou foi que muitos médicos interessados no estudos de casos clínicos ou na realização de investigação científica em relação a certas patologias pretendem seleccionar e aceder aos processos clínicos dos utentes que consideram poder servir de base aos estudos que se propõem realizar. Os processos são, normalmente, requisitados ao arquivo clínico do hospital. Se bem que apenas 14 hospitais dos 38 hospitais visitados refiram dispôr de procedimentos escritos em matéria de regras para acesso à informação, são poucos aqueles onde se faz referência à necessidade de observar certas regras para utilização dos processos clínicos com finalidades de investigação científica. Em matéria de estudos científicos, nem todos os hospitais fazem referência, nos procedimentos escritos, à forma de disponibilização dos processos para esta finalidade. No entanto, alguns dos hospitais admitem o acesso ao processo clínico com o objectivo de sustentar estudos de carácter científico por parte dos técnicos de saúde do Hospital e outros que o requeiram. Esta consulta e a utilização dos dados respectivos deve ser feita com respeito pela privacidade dos doentes envolvidos. Quando haja motivo fundamentado, refere-se, a Direcção Clínica pode autorizar o «levantamento dos processos para fora do Arquivo», fixando, por despacho, o prazo máximo para a devolução dos processos clínicos. Um dos regulamentos admite a execução de cópias contra pagamento de montante destinado a suportar os respectivos custos. Quando estiverem disponíveis suportes digitalizados admite-se, igualmente, a possibilidade de a Direcção Técnica ceder cópias do processo clínico.
17 17 Um dos regulamentos prevê no caso de o processo não estar arquivado por motivos de estudo que os Secretários de Unidade do Serviço de Internamento devem diligenciar por fazer chegar o processo ao Arquivo Clínico, a fim de estar presente no dia da consulta. Para obviar que sejam facultadas grandes quantidades de processos clínicos, alguns hospitais fixam um número máximo de processos a disponibilizar diariamente aos médicos ou profissionais de saúde que fazem investigação( 12 ). Para que os processos possam ser requisitados ao arquivo há outros procedimentos não escritos que devem ser observados e que variam de hospital para hospital, nomeadamente: a) A investigação científica pode ser restrita a médicos (ou enfermeiros) do próprio hospital; b) A investigação científica deverá ser autorizada previamente por uma ou várias das seguintes entidades: Comissão de Ética, Conselho de Administração, Direcção Clínica ou, mesmo, pelo Director de Serviço onde o médico se encontra inserido; c) O médico é obrigado a consultar o processo no arquivo ou o processo clínico não pode sair do arquivo por período superior a 48 horas; d) O médico está impedido de requisitar, por cada vez, um determinado número máximo de processos clínicos (máximo 20 ou entre 30 e 50); 2. Quando o Hospital, na qualidade de responsável pelo tratamento, pretender facultar os dados dos doentes para a finalidade de investigação científica deve certificar-se de que essa finalidade foi notificada e autorizada pela CNPD( 13 ). Isso não tem acontecido porque os processos têm vindo a ser facultados sem qualquer controlo da CNPD. Neste particular há um generalizado incumprimento da lei. ( 12 ) No Hospital de Santa Cruz «cada médico requisitante só pode solicitar até 20 processos clínicos por dia». ( 13 ) Não estando essa finalidade prevista no n.º 4 do artigo 7.º as «condições de legitimidade terão que resultar da previsão do artigo 7.º n.º 2 da Lei 67/98. Deste modo, o artigo 28.º n.º 1 al. a) impõe o controlo prévio para o tratamento de dados de saúde para a referida finalidade. Trata-se, por outro lado, de um desvio da finalidade que também carece de autorização da CNPD, nos termos dos artigos 23.º al, c) e 28.º n.º 1 al. d) da Lei 67/98.

References: artigo 7
 artigo 11
 artigo 27
 artigo 7
 artigo 7
 artigo 7
 artigo 10
 artigo 10
 artigo 7
 artigo 10
 artigo 10
 artigo 10
 artigo 7
 artigo 7
 artigo 10
 artigo 11
 artigo 11
 artigo 35
 artigo 11
 artigo 10
 artigo 10
 artigo 11
 artigo 7
 artigo 5
 artigo 7
 artigo 7
 artigo 7
 artigo 28