Proteção de dados para nutricionistas na Espanha: guia prático

Os dados que você lida no consultório — patologias, medicação, medidas corporais — são categoria especial sob o RGPD. Isso muda a base legal de que você precisa e o nível de medidas exigível. Este guia traduz essa exigência em decisões concretas de consultório.

Na Espanha convivem duas normas: o Reglamento General de Protección de Datos (Regulamento UE 2016/679, o RGPD) e a Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que o desenvolve. A autoridade de controle é a Agencia Española de Protección de Datos (AEPD).

Por que seu consultório é um caso especial

O artigo 9 do RGPD proíbe, em caráter geral, tratar dados relativos à saúde e depois abre exceções. Tudo o que você registra em um prontuário nutricional — diagnósticos, medicação, alergias, composição corporal associada a um estado de saúde — entra nessa categoria. A consequência prática é dupla: você precisa de uma exceção do artigo 9 que ampare o tratamento, e as medidas de segurança exigidas serão mais altas que as de um negócio que só lida com nomes e e-mails.

Qual base legal usar

Para a assistência em si, a via habitual é a alínea h) do artigo 9.2: tratamento necessário para fins de medicina preventiva, diagnóstico médico ou prestação de assistência sanitária. Essa base não depende do consentimento e é mais estável. O consentimento continua sendo necessário, e separadamente, para tudo o que não é assistência:

• Enviar comunicações comerciais ou newsletters.
• Publicar fotografias de antes e depois, mesmo sem nome.
• Usar o caso para fins didáticos ou de divulgação.
• Compartilhar dados com terceiros que não participam da assistência.

A documentação que você deve ter

Seus fornecedores também contam

Qualquer serviço que trate dados dos seus pacientes por sua conta é um operador de tratamento e precisa de um contrato do artigo 28: o software de gestão, o gateway de pagamento, o e-mail, o armazenamento em nuvem, a ferramenta de videochamada. Não basta o fornecedor ser grande e conhecido; você precisa do contrato e saber onde os dados ficam hospedados.

• Peça a cada fornecedor o acordo de operador de tratamento antes de contratar.
• Verifique se há transferências internacionais e com quais garantias elas são amparadas.
• Mantenha a lista de fornecedores atualizada: ela faz parte do seu registro de atividades.
• Ao deixar de usar um fornecedor, verifique se os dados são devolvidos ou suprimidos.

Medidas mínimas razoáveis no consultório

• Acesso individual com credenciais próprias para cada pessoa que acesse os dados, nunca um usuário compartilhado.
• Segundo fator de autenticação em tudo o que contenha prontuários.
• Criptografia de disco nos notebooks e no celular em que você consulta dados.
• Backups com restauração testada, não apenas programada.
• Bloqueio automático de sessão na sala de atendimento.
• Revogação de acessos no mesmo dia em que alguém deixa de colaborar com você.
• Envio de documentação por canais que não deixem o arquivo acessível por link público.

Se houver um incidente de segurança

Diante de uma violação de segurança que represente risco para os direitos dos pacientes, há 72 horas para notificar a AEPD a partir do momento em que você toma conhecimento. Se o risco for alto, também é preciso comunicá-lo aos afetados. Perder um notebook sem criptografia com prontuários dentro é um incidente notificável; o mesmo notebook criptografado, em geral, não.

Direitos dos pacientes

Acesso, retificação, supressão, limitação, portabilidade e oposição. Você tem um mês para responder, prorrogável para três se o caso for complexo. O ponto que mais gera dúvidas: o direito de supressão não elimina a obrigação de conservar o prontuário. Diante de um pedido de exclusão, suprime-se o que não está sujeito a obrigação legal e bloqueia-se o restante, explicando isso ao paciente por escrito.

Este guia é informativo e não constitui assessoria jurídica. Consulte a legislação vigente no seu país e, em caso de dúvida, um profissional.