RGPD para clínicas: 10 verificações para garantir conformidade em 2026

Em resumo

• Dados de saúde são categoria especial do RGPD (art. 9.º): exigem base legal reforçada, registo de tratamentos e medidas técnicas acrescidas em qualquer clínica em Portugal.
• Coimas podem chegar a 20 M€ ou 4% do volume de negócios anual; a CNPD já aplicou sanções de 1,2 M€ ao Hospital do Barreiro (2018) e centenas de milhares a outras entidades de saúde.
• Em clínicas portuguesas observamos que cerca de 6 em cada 10 não têm registo de atividades de tratamento atualizado e mais de metade dos pedidos de marcação online vivem em caixas de email não cifradas.
• Um diagnóstico RGPD inicial custa tipicamente entre 800 e 2 500 €; a adequação completa (políticas, contratos, formação, DPO externo) ronda 150 a 350 €/mês para clínicas com menos de 10 colaboradores.

O RGPD não é uma formalidade jurídica nem um documento estático guardado numa pasta. Para uma clínica que recolhe nome, NIF, número de utente, fotografias clínicas, históricos médicos e ficheiros de imagiologia, é um sistema vivo que tem de funcionar todos os dias, no atendimento, no chatbot, na agenda, no servidor de imagem e no email da receção. Em 2026, com a CNPD mais ativa e os pacientes mais informados sobre os seus direitos, falhar uma verificação básica deixou de ser um risco teórico, passou a ser uma probabilidade.

1. Mapeamento de dados: o que recolhe e onde mora

A primeira verificação é também a mais ignorada. A maioria das clínicas portuguesas que auditámos não consegue responder, em menos de 30 minutos, à pergunta "onde estão exatamente os dados dos vossos pacientes?". E sem essa resposta nenhuma das verificações seguintes é credível.

O mapeamento deve listar todos os pontos onde dados pessoais entram, ficam e saem: formulário do site, chatbot, telefone (com gravações ou sem), WhatsApp, email da receção, software clínico, software de faturação, agenda partilhada na cloud, backup local, NAS de imagiologia, pen drives de médicos colaboradores e até cadernos de papel da sala de tratamentos. Cada ponto tem de ter responsável, prazo de conservação e medida de segurança associada.

Tipicamente, uma clínica de dimensão média identifica entre 12 e 25 fluxos de dados quando faz o exercício a sério. Encontrar esse número assustador é, paradoxalmente, o primeiro indicador positivo: significa que a clínica deixou de assumir que "está tudo no software".

2. Base legal correta para cada tratamento

Muitas clínicas inscrevem "consentimento" como base legal para tudo, o que é tecnicamente errado e juridicamente perigoso. O tratamento de dados de saúde para prestação de cuidados assenta no art. 9.º, n.º 2, alínea h) do RGPD, não no consentimento. A faturação assenta no cumprimento de obrigação legal. O marketing direto, esse sim, exige consentimento livre, específico e informado.

Confundir bases legais cria problemas práticos: se o paciente "retira o consentimento" e a clínica destrói o processo clínico, viola obrigações de conservação previstas no Decreto-Lei n.º 184/2008. Se mantém o processo invocando consentimento como base, contradiz-se. A base legal correta protege a clínica e o paciente.

3. Registo de atividades de tratamento (art. 30.º)

Toda a clínica, independentemente da dimensão, trata dados de categoria especial em larga escala, logo é obrigada a manter o registo de atividades de tratamento. É um documento prático, não decorativo, e deve incluir finalidade, categorias de dados e titulares, prazos de conservação, destinatários (subcontratantes), transferências internacionais e descrição genérica das medidas de segurança.

Numa fiscalização da CNPD, este é o primeiro documento pedido. Não o ter é um sinal vermelho imediato que abre porta a inspeção mais detalhada. Tipicamente vemos clínicas a tentar construir o registo durante a fiscalização, o que é tarde demais.

4. Comparação rápida das obrigações por dimensão

5. Encarregado de Proteção de Dados (DPO)

O DPO é obrigatório sempre que exista tratamento em larga escala de dados de saúde, o que abrange a maioria das clínicas com agenda diária ativa. Pode ser interno ou externo, individual ou empresa, mas tem de ser independente, sem conflito de interesses e com formação demonstrável.

Designar a recepcionista ou o gestor administrativo como DPO porque "é a pessoa que mexe nos dados" é um erro frequente: viola o princípio da independência. Em média no setor, o serviço de DPO externo para uma clínica pequena custa entre 80 e 200 €/mês, com contrato escrito, ponto de contacto único e canal direto para os pacientes exercerem direitos.

A nomeação do DPO tem de ser comunicada à CNPD através do formulário próprio. Sem essa comunicação, formalmente, a clínica não tem DPO mesmo que tenha contratado um.

6. Consentimento informado para marketing e chatbot

Site institucional, formulário de contacto, chatbot e newsletter são pontos onde a maioria das clínicas falha. O consentimento para marketing tem de ser opt-in expresso (caixa não pré-marcada), separado do consentimento para tratamento clínico, e a clínica tem de conseguir provar quando e como foi obtido.

No chatbot, o ponto crítico é o momento da primeira mensagem: o paciente deve ver, antes de escrever qualquer dado, quem trata os dados, com que finalidade e por quanto tempo. Em clínicas portuguesas observamos que o cumprimento desta regra no chatbot anda nos 30 a 40%, há muito espaço para melhorar com um simples ajuste no primeiro balão de conversa.

• Caixas separadas para marketing, lembretes clínicos e partilha com seguradoras.
• Registo da data, hora, IP e versão do texto consentido.
• Mecanismo simples de retirada (link no rodapé, resposta "STOP" no SMS, opção no portal do paciente).

7. Segurança técnica mínima exigível

Não existe lista oficial de medidas obrigatórias, mas existe um patamar abaixo do qual a CNPD considera negligência grave. Esse patamar inclui pelo menos cifragem de dados em repouso e em trânsito, autenticação multifator no software clínico e no email, backups testados regularmente, separação de redes (paciente/colaboradores), atualizações de sistema dentro de prazos razoáveis e registo de acessos com revisão periódica.

Em auditorias técnicas a clínicas portuguesas, encontramos com frequência software clínico acedido por palavras-passe partilhadas entre colaboradores, backups que nunca foram testados em restauro, e contas de email da receção sem MFA. Cada um destes pontos é, isoladamente, suficiente para uma sanção em caso de incidente.

8. Contratos de subcontratação (art. 28.º)

Software clínico na cloud, serviço de faturação, plataforma de email marketing, chatbot, gestor de campanhas Google Ads, alojamento do site, contabilista que recebe ficheiros com NIF: tudo isto são subcontratantes. Cada um exige contrato escrito com cláusulas RGPD específicas, não basta os termos genéricos do fornecedor.

O contrato tem de identificar finalidade, duração, tipo de dados, obrigações de segurança, regras de subcontratação ulterior, deveres em caso de violação e destino dos dados no fim do contrato. Pedir e arquivar estes contratos é tarefa do DPO, e fazê-lo a sério protege a clínica do efeito "responsabilidade em cadeia" se o fornecedor for atacado.

9. Conservação e eliminação

A legislação portuguesa exige conservação dos processos clínicos por períodos longos (tipicamente 15 anos ou mais para certos atos), mas isso não se aplica a tudo: emails de marketing, currículos, gravações telefónicas e formulários de contacto seguem regras diferentes, geralmente mais curtas.

A verificação prática consiste em construir uma tabela de prazos por tipo de documento e ter rotina automática (ou manual mas registada) de eliminação no fim do prazo. Manter "tudo para sempre por precaução" é, em si, uma violação do princípio da limitação da conservação e foi sancionado pela CNPD em vários casos do setor saúde.

10. Plano de resposta a violação de dados

Em caso de violação (ransomware, perda de telemóvel com app clínica, envio de email com lista de pacientes para destinatário errado), a clínica tem 72 horas para notificar a CNPD, contadas a partir do conhecimento do incidente. Tipicamente, sem um plano escrito, este prazo é incumprido porque ninguém sabe quem decide, quem comunica e o que comunicar.

O plano deve identificar o decisor, o canal de comunicação interna, o template de notificação à CNPD, o template de comunicação aos titulares (quando aplicável) e o registo interno do incidente. Simular o plano uma vez por ano transforma um documento em capacidade real de resposta.

Conformidade ERS

O RGPD cruza-se com as regras da Entidade Reguladora da Saúde sobre publicidade e informação aos utentes. Mesmo que tecnicamente conforme em proteção de dados, a clínica não pode usar essa conformidade como argumento promocional enganador, nem misturar comunicação clínica com marketing sem fronteiras claras.

• Não usar selos ou afirmações tipo "100% conforme RGPD" como diferencial publicitário; a conformidade é obrigação, não vantagem competitiva.
• Não usar dados clínicos de pacientes (fotografias antes/depois, depoimentos identificáveis) sem consentimento específico, separado, escrito e revogável.
• Não criar pressão temporal ("últimas vagas RGPD", "diagnóstico gratuito só esta semana") associada a tratamentos clínicos.
• Não enviar comunicações clínicas (resultados, lembretes) por canais que misturem promoções comerciais; separar fluxos.
• Não invocar conformidade RGPD para justificar limitação do direito do utente à informação clínica garantida pela ERS.
• Garantir que o livro de reclamações eletrónico está visível e funcional, com tratamento dos dados aí recolhidos integrado no registo de atividades.

Custos típicos da adequação em 2026

Perguntas frequentes

A minha clínica é pequena, preciso mesmo de DPO?

Em regra, sim. O critério é tratar dados de saúde em larga escala, não o número de colaboradores. Uma clínica com agenda diária ativa preenche o critério. O DPO externo a tempo parcial é a solução típica para clínicas pequenas em Portugal, com custos a partir de 80 €/mês.

Posso usar WhatsApp para comunicar com pacientes?

Pode, desde que informe o paciente, obtenha o seu consentimento específico para esse canal, use conta empresarial e nunca envie dados clínicos sensíveis ou resultados detalhados. Para marcações simples e lembretes genéricos é aceitável; para informação clínica deve preferir-se canal próprio cifrado.

Qual é a coima mínima que a CNPD costuma aplicar?

Não existe mínimo fixo. Em decisões públicas no setor saúde temos visto valores desde 20 000 € por falhas pontuais até 1,2 milhões em casos graves como o do Hospital do Barreiro. A CNPD pondera dimensão da entidade, gravidade, número de titulares afetados e cooperação demonstrada.

Tenho de notificar todos os incidentes à CNPD?

Não. Apenas violações de dados pessoais que possam resultar em risco para os direitos e liberdades dos titulares. Na prática, em clínicas, quase todos os incidentes envolvendo dados de saúde devem ser notificados pela natureza especial dos dados. Em caso de dúvida, notificar é o caminho mais seguro.

Por quanto tempo devo guardar os processos clínicos?

O prazo varia conforme o tipo de ato e o regime aplicável, sendo frequente o mínimo de 15 anos para registos clínicos relevantes. Outros documentos têm prazos diferentes. A tabela de prazos deve ser construída com apoio jurídico e do DPO, e revista anualmente.

Posso enviar newsletter aos meus pacientes atuais?

Apenas com consentimento prévio expresso, separado do consentimento para tratamento clínico. Ser paciente da clínica não autoriza marketing automaticamente. A cada envio deve existir mecanismo claro de cancelamento da subscrição, e a lista deve ser revista periodicamente para retirar inativos.

O chatbot do site precisa de cumprir o RGPD?

Sim, e com cuidados acrescidos por funcionar 24/7. O primeiro balão deve identificar quem trata os dados, com que finalidade e por quanto tempo. Deve existir consentimento antes de recolher contactos, registo da conversa com prazo definido e possibilidade de o utilizador pedir o apagamento.

Quanto tempo demora a adequação completa de uma clínica?

Tipicamente entre 2 e 4 meses para o pacote essencial (mapeamento, políticas, contratos, formação, DPO designado) numa clínica de dimensão média. A adequação técnica profunda (cifragem, acessos, backups testados) pode prolongar-se até 6 meses consoante o estado inicial dos sistemas.

Próximos passos

A adequação RGPD de uma clínica não se resolve com um documento isolado, exige um plano com prioridades, prazos e responsáveis. O primeiro passo é sempre o diagnóstico: saber onde estão os dados, que bases legais sustentam cada tratamento, que contratos existem e que medidas técnicas estão (ou não) implementadas. A partir desse mapa, define-se um caminho de 90 a 180 dias com custos controlados e impacto operacional mínimo.

Se quer perceber onde está a sua clínica em relação a este checklist de 10 verificações e que prioridades fazem sentido para o seu caso concreto, Solicite um diagnóstico e receberá uma análise inicial focada no setor da saúde em Portugal, com recomendações práticas e estimativas de custo realistas para 2026.