20 DE JULHO DE 1996

174-(361)

parece-nos que seria desejável concretizar estes princípios definindo, no diploma, «níveis de registo» e «níveis de acesso» à informação em função da qualidade e confidencialidade dos dados (cf. supra).

O que se pretende, afinal, é salvaguardar o sigilo profissional e evitar que haja dados a ser «manuseados» por

pessoas a quem está vedado o seu conhecimento.

Por isso, devem ser distinguidos os dados administrativos dos dados sobre o «estado de saúde» e a definição, no regulamento, do perfil dos utilizadores ao nível do registo e da consulta. Deste modo, seria dado conteúdo às medidas genéricas contidas nas referidas alíneas b) e c) do artigo 8.°, sendo explicitado quais os utilizadores que registam e consultam os dados e quando, na prática, os dados são consultados no interesse do «exercício das suas atribuições profissionais».

2.2 — Entidades a que podem ser transmitidos os dados e em que condições:

Sendo o projecto omisso sobre a «transmissão de dados», concluiu a CNPDPI que a informação não é transmitida a quaisquer outras entidades. Porém, é necessário conciliar esta conclusão com o disposto no artigo 25." do Decreto-Lei n.° 294/90 nos termos do qual os serviços integrantes da rede nacional de transfusões de sangue (que integra o IPS, serviços de transfusão de sangue dos hospitais, Instituto Português de Oncologia e as unidades de saúde do âmbito militar — artigo 2.°, n.°l) devem proceder ao registo, que manterão actualizado, dos dadores de sangue.

2.3 — Existência de comparações ou interconexão da informação:

Em face da omissão do projecto, conclui-se, igualmente, que não há comparação ou interconexão desta com outra informação.

3 — Aspectos do projecto que suscitam ponderação

.3.1 —Responsável pelo ficheiro:

Dispõe o artigo 9." do projecto que «o IPS é a entidade responsável pelo ficheiro automatizado de dadores de sangue». A Comissão não tem quaisquer objecções a esta solução.

Anota-se, porém, qüe o projecto de diploma deverá ser modificado, sob pena de o seu conteúdo não corresponder à realidade que foi comunicada pelo Ministério da Saúde. No ofício referenciado consta que «existem três bases de dados, uma em cada um dos centros regionais, onde é registada a informação relativa aos dados do respectivo centro». Não existe comunicação de dados entre os centros, «estando previsto o acesso dos serviços centrais do IPS à informação de cada centro».

O projecto de diploma não refere esta realidade, apontando, pelo contrário, para a existência de um único ficheiro automatizado (v. a redacção dos artigos 1.°, 4.°, 8.°, 9° e 10.°, n.° 1, do projecto).

Havendo uma base de dados em cada um dos centros regionais (cf. ofício) e muito embora estabeleça o artigo 28.°, aifnea d), da Lei n.° 25/89 que «compete ao serviço administrativo do centro regional manter um registo informatizado de todos os dadores e do movimento de sangue e seus derivados», competirá ao IPS, em consequência do artigo 9.° do projecto e na qualidade de responsável do ficheiro, definir a categoria de dados a registar, as operações aplicáveis, a responsabilização pelo estabelecimento das regras de segurança fixadas no ar-

tigo 8.°, bem como a definição das regras relativas aos «níveis de acesso». Cabe-lhe, ainda, tomar todas as medidas que garantam a não transmissão da informação a terceiros e assegurar que sejam estabelecidos os «níveis de confidencialidade» adequados ao tipo de dados tratados e à natureza sensível dos mesmos.

Interessa equacionar estes aspectos e perspectivar, ao nível da estrutura organizativa dos serviços [cf. os artigos 18.°, 22.°, 23.°, alínea a), 26." e 28.°, alínea d), da Lei n.° 25/89, de 2 de Agosto], se não se pretenderá, na prática, que seja o presidente do conselho directivo de cada centro regional o responsável por cada um dos ficheiros.

Se esta solução for adoptada, deverá ser regulamentado, no diploma em análise, o direito de acesso a cada um dos ficheiros dos centros regionais por parte dos «serviços centrais do LPS», estabelecendo-se as finalidades que determinam o direito de acesso, quem acede, em que termos e como é assegurada a confidencialidade. O acesso a esta informação — por linha de transmissão de dados — deve ser rodeado de cuidados especiais quer ao nível do protocolo de comunicações quer através do estabelecimento de mecanismos que impossibilitem o acesso ou «intercepção» da informação por pessoas não autorizadas.

3.2 — Dados pessoais contidos em cada registo:

O artigo 2.° do projecto estabelece quais os dados recolhidos e tratados automaticamente: número de identificação de dador de sangue, nome, data de nascimento, profissão, morada, número do bilhete de identidade, dados relativos ao estado de saúde e dados de natureza laboratorial referentes ao sangue.

d) Quanto ao «número de identificação de dador de sangue», deve ser definida, neste diploma, a estrutura do número de identificação.

O artigo 35.°, n.° 5, da Constituição da República proíbe a atribuição de um número nacional único aos cidadãos. O artigo 24.°, n.° 2, da Lei n.° 10/91 estabelece que «não é permitida a atribuição de um mesmo número de cidadão para os efeitos de interconexão de ficheiros automatizados de dados pessoais que contenham informações de carácter médico».

O que se pretende proibir é a atribuição de um «número informáticamente significativo», isto é, do qual se permita deduzir alguma informação de carácter pessoal sobre os elementos de identificação ou de caracterização do cidadão.

A utilização de um número único noutros ficheiros que tratam dados de saúde pode determinar algum risco de interconexão de informação que o artigo 24.°, n.° 2, proíbe (').

Entende-se que, no mínimo, deveria ser utilizada uma formulação idêntica à que consta do artigo 6.°, n.° 2, do Decreto-Lei n.° 198/95, de 29 de Julho, relativo ao cartão de saúde, ao prever uma numeração sequencial.

Neste momento, a adopção de um número «não significativo» não levanta objecções. Mas a utilização generalizada do mesmo número em bases de dados sectoriais em instituições e serviços prestadores de cuidados de saúde (v. g., um «número de utente do SNS»), servindo de «chave de acesso» uniforme e com potencialidades para estabelecer relacionamento de informação, pode vir a ser condicionado.

b) Analisemos, de seguida, o regime de tratamento automatizado dos dados relativos ao «estado de saúde» e dados de «natureza laboratorial».

(') Sobre esta matéria, v. José António Barreiros, «Informática, liberdades e privacidade», in Estudos sobre a Constituição, vol. i, 1977, p. 119, e Garcia Marques. Informática e Liberdade, p. 119.