174-(370)

II SÉRIE-C — NÚMERO 23

limitado ao médico respectivo e pelo mesmo passando qualquer outro acesso ao mesmo, ou, se assim também se entender, eventualmente, conter apenas uma menção do género «doente de risco», ou outra equivalente. . Já quanto à toxicodependência, pese embora integre um ilícito criminal, publicamente perseguido, se justificado o seu registo informático, por pertinente e adequado no Serviço de Prevenção e Tratamento da Toxicodependência — também constante do anexo —, nos demais estabelecimentos de saúde poderá também ser substituído por menção igual à anterior.

6 — Algumas vezes associado ao «estado de saúde» encontrar-se-ão, necessariamente, informações relativas à «vida sexual» do doente.

Este dado pessoal, expressamente previsto no artigo 6." da Convenção n.° 108 referida — portanto sujeito também a que o direito interno de cada Estado membro preveja para o seu tratamento informático «garantias adequadas» —, não se mostra expressamente previsto pelo legislação portuguesa.

Assim sendo, e porque temos por inequívoco que o mesmo cai no âmbito do conceito de «vida privada» ou íntima, o seu tratamento informático é expressamente proibido pelos artigos 35.°, n.° 3, da Constituição da República Portuguesa e 11.°, n.° 1, alínea a), da Lei n.° 10/91.

Por isso, forçoso será termos de concluir não poder o mesmo ser objecto de registo informatizado.

7 — Mas, e como atrás referimos, vários outros aspectos da presente regulamentação poderão ser melhorados tendo em vista o reforço das referidas «garantias de não discriminação».

7.1 — Em matéria de recolha e actualização dos dados prevista no artigo 3.°, deverá aditar-se que os dados recolhidos devem limitar-se ao estritamente necessário e só poderão ser utilizados para os fins previstos no artigo 1.°

Assim o dispõe, expressamente, o artigo 15.° da Lei n.° 10/91.

7.2 — Omitindo, por outro, lado, o diploma legal em apreciação qual o serviço ou serviços encarregados do processamento da informação, impõe-se a sua previsão, como expressamente o exige o artigo 18.°, alínea c), da Lei n.° 10/91.

7.3 — Omisso é também o mesmo relativamente à matéria do acesso directo à informação registada, exigido pela alínea j) seguinte.

Esta matéria, de especial importância, justifica, em nosso entender, um cuidado particular, devendo especificar-se a(s) categoria(s) de pessoas com direito a acederem directamente aos vários tipos de informação registada, estabelecen-do-se os respectivos níveis de acesso à informação, tendo em conta a qualificação profissional e respectivas finalidades.

Só desse modo se garante, de um modo efectivo, a confidencialidade médica.

E, diremos mais ainda, tanto se justifica essa regulamentação quando em matéria de segurança se teve o cuidado de garantir que «o acesso aos dados é objecto de controlo para que as pessoas autorizadas só possam ter acesso aos dados que interessem ao exercício das suas atribuições profissionais» (itálico nosso) — cf. artigo 8.°, alínea c).

7.4 — Ainda em sede de omissão de regulamentação, não podemos deixar de alertar também para a não previsão da matéria relativa à comunicação de dados registados.

Se é certo que nesta área o princípio vigente é, em regra, o da não comunicação a terceiros das informações

registadas — cf. o princípio 7.1 do projecto de revisão da Recomendação R (81) 1 —, a verdade é que existem no sistema jurídico nacional disposições legais que impõem tal comunicação ou notificação, pelos profissionais de saúde, relativamente a determinado tipo de doenças.

Assim o dispõem, de entre outros, as Portarias n.™ 766/ 86, de 26 de Dezembro, 148/87, de 4 de Março, e 40/93, de 11 de Janeiro, bem como, na área da educação e ensino, os artigos 4.° e 5.° do Decreto-Lei n.° 229/94, de 13 de Setembro.

Em causa estão, em particular, determinadas doenças transmissíveis, quais sejam a difteria, hepatite, tuberculose pulmonar, sarampo, varicela e outras, agora expressamente elencadas no Decreto Regulamentar n.° 3/95, de 27 de Janeiro.

8 — Em matéria de segurança dos dados, prevê o artigo 8.°, nas suas alíneas d) a c), os denominados «controlo de entrada nas instalações», «controlo da inserção» e o «controlo de acesso».

8.1 — Se bem que, como se depreende do corpo do preceito, tenham sido enunciados apenas a título exemplificativo, em matéria de tão grande sensibilidade e importância, não seria despicienda a enunciação, expressa também, e no mínimo, dos denominados «controlo dos suportes de dados» — impedindo que os mesmos possam ser lidos, copiados,, alterados ou retirados por pessoa não autorizada —, do «controlo da utilização» — impedindo que o sistema de tratamento possa ser utilizado por pessoa não autorizada através de instalações de transmissão de dados —, bem como do denominado «controlo de disponibilidade» — assegurando a constituição de cópias de segurança da informação registada.

8.2 — Jusüficar-se-ia também, quanto a nós, tendo ainda em atenção os potenciais riscos inerentes a este tratamento, a consagração, neste preceito legal, de medidas que imponham um exame periódico ao estado de segurança do mesmo.

9 — Uma palavra final relativamente ao responsável pelo tratamento informático em questão.

Dispõe o artigo 9." do projecto regulamentar que «cada uma das instituições e serviços do Serviço Nacional de Saúde referidas em anexo é a entidade responsável pelo respectivo ficheiro automatizado de identificação de doentes».

Não se nos vislumbrando objecções de maior na solução adoptada não queremos, contudo, deixar de referir que, de acordo com o que está legalmente estabelecido pelo Decreto-Lei n.° 308/93, de 2 de Setembro, que define as atribuições e competências do Instituto de Gestão Informática e Financeira da Saúde, em particular nos seus artigos 2.°, alínea b), 3.°, n.° 2, 10.°, n.°2, alínea ¿>), 15.°, 16.° e, sobretudo, o artigo 17.6, bem poderia ser este organismo o responsável pelo tratamento informático, globalmente considerado, atenta a noção dada pelo artigo 2.°, alínea h), da Lei n.° 10/91 referida.

Por outro lado e também, considerando que o artigo 10.°, n.° 2, alínea d), do Decreto-Lei n.* 335/93, de 29 de Abril, atribui às administrações regionais de saúde, através dos seus coordenadores sub-regionais, competência para «organizar o registo de dados», não repugnaria ainda que cada uma das respectivas ARS fosse designada como a responsável, atentas as suas competências, enunciadas pelo artigo 2.° do referido diploma legal, e o facto de estarem bem mais próximas dos respectivos utentes.

10 — Temos por correctas as demais matérias relativas à conservação dos dados, bem como ao direito de acesso