20 DE JULHO DE 1996

174-(373)

«vida privada», sendo por isso o seu registo informático proibido, de acordo com o disposto nos artigos 35.°, n.° 3, da Constituição da República Portuguesa e 11.°, n.° 1, alínea a), da Lei n.° 10/91.

5.2 — Doenças há, por outro lado, que, pela sua especificidade e «impacte» público, justificam, neste caso, um tratamento informático especial.

Falamos, obviamente, dos doentes portadores do HIV — a sida — e dos toxicodependentes.

Sendo inquestionável que aqui se justificam reforços acrescidos de não discriminação, entende esta Comissão que o registo de cada uma dessas informações deverá ser

objecto de alguma especialidade.

Nos casos particulares dos doentes do HIV — com notificação obrigatória à Comissão Nacional de Luta contra a Sida, nos termos do Despacho n.° 14/91, de 3 de Julho —, feita a notificação, deveria o registo informático desta informação ser de acesso mais restrito, ou seja, limitado ao médico respectivo e pelo mesmo passando qualquer outro acesso ao mesmo, ou, se assim também se entender, eventualmente, conter apenas uma menção do género «doente de risco», ou outra equivalente.

O mesmo se dirá relativamente à toxicodependência.

E isto porque, e fundamentalmente, quer uma quer outra das situações referidas ultrapassam em muito o âmbito institucional e material dos centros de saúde.

Com efeito, t de acordo com o disposto nos artigos 2.°, n.° 1, 5." e 6." do seu regulamento, aos mesmos cabe tão--só a prestação «de cuidados primários», «que não necessitam de cuidados especializados», procedendo ao seu «encaminhamento directo para os serviços especializados», como será, necessariamente, o caso.

6 — Vários outros aspectos poderão também ser considerados e melhorados, em sede regulamentar, sempre visando o acautelar e o reforço das «garantias de não discriminação» legalmente exigidas.

6.1 — Em matéria da recolha e actualização dos dados prevista no artigo 3.°, deveria aditar-se que os dados recolhidos se devem limitar ao estritamente necessário e que só poderão ser utilizados para os fins previstos no artigo 1.°

Cremos ser uma consequência directa do estatuído no artigo 15.° da Lei n.° 10/91.

6.2 — Omitindo o diploma legal em apreciação qual o serviço ou serviços encarregados do processamento da informação, deverá fazê-lo, como expressamente o exige o artigo 18.°, alínea c), da Lei n.° 10/91.

6.3 — Omisso é também o mesmo relativamente à matéria do acesso directo à informação registada, exigido pela alínea j) seguinte.

Esta matéria, de especial importância, justifica, em nosso entender, um cuidado particular, devendo especificar--se a(s) categoria(s) de, pessoas com direito a acederem directamente aos vários tipos de informação registada, es-tabelecendo-se os respectivos níveis de acesso à informação, tendo em conta a qualificação profissional e respectivas finalidades.

Só desse modo, aliás, se garantirá, de um modo efectivo, a confidencialidade médica.

E, diremos mais ainda, tanto se justifica essa regulamentação, quando em matéria de segurança se teve o cuidado de garantir que «o acesso aos dados é objecto de controlo para que as pessoas autorizadas só possam ter acesso aos dados que interessem ao exercício das suas atribuições profissionais» (itálico nosso) — cf. artigo 8.°, alínea c).

7 — Ainda em sede de omissão de regulamentação, não podemos deixar de alertar também para a não previsão da matéria relativa à comunicação de dados registados.

Se é certo que nesta área o princípio vigente é, em regra, o da não comunicação das informações registadas — cf. o princípio 7.1 do projecto de revisão da Recomendação R (81) 1 —, a verdade é que existem no sistema jurídico nacional disposições legais que impõem .tal comunicação ou notificação pelos profissionais de saúde.

Assim o dispõem, de entre outros, as Portarias n.M 766/ 86, de 26 de Dezembro, 148/87, de 4 de Março, e 40/93, de 11 de Janeiro, bem como, na área da educação e ensino, os artigos 4.° e 5." do Decreto-Lei n.° 229/94, de 13 de Setembro.

É o caso particular de determinadas doenças transmissíveis, quais sejam a difteria, hepatite, tuberculose pulmonar, sarampo, varicela e outras, agora expressamente elencadas no Decreto Regulamentar n.° 3/95, de 27 de Janeiro.

8 — Em matéria de segurança dos dados, prevê o artigo 8.°, nas suas alíneas a) a c), os denominados «controlo de entrada nas instalações», «controlo da inserção» e «controlo de acesso».

8.1 —Se bem que, como se depreende do corpo do preceito, tenham sido enunciados apenas a título exemplificativo, em matéria de tão grande sensibilidade e importância, não seria despicienda a enunciação, expressa também e no mínimo, dos denominados «controlo dos suportes de dados» — impedindo que os mesmos possam ser lidos, copiados, alterados ou retirados por pessoa não autorizada —, do «controlo da utilização» — impedindo que o sistema de tratamento possa ser utilizado por pessoa não autorizada através de instalações de transmissão de dados —, bem como- do denominado «controlo de disponibilidade» — assegurando a constituição de cópias de segurança da informação registada.

8.2 — Justificar-se-ia também, quanto a nós, tendo ainda em atenção os potenciais riscos inerentes a este tratamento, a consagração, neste preceito legal, de medidas que imponham um exame periódico ao estado de segurança do mesmo.

9 — Uma palavra final relativamente ao responsável pelo tratamento informático em questão.

Dispõe o artigo 9.° do projecto regulamentar que «cada uma das instituições e serviços do Serviço Nacional de Saúde referidas em anexo é a entidade responsável pelo respectivo ficheiro automatizado de identificação dos utentes».

Não se nos afigurando existirem quaisquer objecções à solução proposta, não deixaremos, contudo, de referir que, de acordo com o que legalmente é estabelecido pelo Decreto-Lei n.° 308/93, de 2 de Setembro, que define as atribuições e competências do Instituto de Gestão Informática e Financeira da Saúde, em particular nos seus artigos 2.°, alínea b), 3.°, n.° 2, 10.°, n.° 2, alínea b), 15.°, 16." e, sobretudo, o 17.°, bem poderia ser este organismo o responsável pelo tratamento informático, globalmente considerado, atenta a noção dada pelo artigo 2.°, alínea h), da Lei n.° 10/91 referida.

Por outro lado, e também considerando que o artigo 10.°, n.° 2, alínea d), do Decreto-Lei n.° 335/93, de 29 de Abril, atribui às administrações regionais de saúde, através dos seus coordenadores sub-regionais, competência para «organizar o registo de dados», não repugnaria que cada uma das ARS fosse designada como a responsável respectiva, atentas as suas competências, enunciadas pelo artigo 2."