RGPD para nutricionistas: autoauditoria de conformidade em 10 passos

Este guia não explica o RGPD: ele o audita. São dez passos na ordem em que convém executá-los, cada um com um entregável concreto. Se você completar os dez, terá a pasta de conformidade que pediriam em uma inspeção.

Se você procura a explicação de por que o RGPD exige tudo isso, ela está no guia de proteção de dados para nutricionistas na Espanha. Aqui vamos direto à execução: o que você faz, em que ordem e qual documento fica pronto ao final de cada passo.

Os dez passos

Passo 1 · Inventário de dados

Antes de documentar qualquer coisa, é preciso saber o que você tem. Percorra mentalmente o ciclo completo de um paciente e anote onde ficam informações dele: o software de gestão, o e-mail, o celular, a pasta na nuvem, o caderno do consultório, a planilha antiga que ninguém apagou, o grupo de WhatsApp. Quase sempre aparecem dois ou três lugares que não estavam na lista inicial.

Passo 2 · Mapa de tratamentos

Separe as finalidades. Atender um paciente não é o mesmo que enviar uma newsletter para ele, e cada uma precisa de sua própria base legal. Um mapa mínimo para um consultório:

• Assistência nutricional — artigo 9.2.h do RGPD.
• Faturamento e obrigações fiscais — obrigação legal.
• Gestão de consultas e lembretes — execução do contrato.
• Comunicações comerciais — consentimento.
• Publicação de casos ou fotografias — consentimento específico.

Passo 3 · Registro de atividades

É o documento do artigo 30 e é obrigatório no seu caso: a isenção para organizações com menos de 250 funcionários não se aplica quando são tratadas categorias especiais de dados. Basta uma tabela com uma linha por tratamento e estas colunas: finalidade, categorias de titulares, categorias de dados, destinatários, prazo de conservação e medidas de segurança.

Passo 4 · Cláusula informativa

É o que o paciente lê ou recebe antes de você começar a tratar os dados dele. Deve cobrir a identidade do responsável, finalidades e bases, destinatários, prazos, direitos e como exercê-los, e a possibilidade de reclamar perante a AEPD. Funciona bem em dois níveis: uma versão resumida no formulário da primeira consulta e a completa acessível no seu site.

Passo 5 · Consentimentos separados

Um formulário por finalidade não assistencial, cada um com sua caixa desmarcada e a menção de que o consentimento pode ser retirado a qualquer momento. Guarde registro de qual versão cada paciente assinou e quando: se você mudar o texto, os consentimentos antigos continuam se referindo ao texto antigo.

Passo 6 · Contratos com fornecedores

Liste todos os serviços que lidam com dados de pacientes e obtenha o acordo de operador de tratamento de cada um. Os que quase sempre faltam:

• O software de gestão do consultório.
• O provedor de e-mail.
• O armazenamento em nuvem onde você guarda PDFs de planos.
• O gateway de pagamento.
• A ferramenta de videochamada.
• O escritório de contabilidade, se acessar dados de pacientes.
• O serviço de assinatura eletrônica, se você o usa para consentimentos.

Passo 7 · Análise de riscos

Não é preciso uma metodologia formal para um consultório pequeno. Basta listar os cenários realistas — perda do notebook, acesso indevido de um colaborador, envio ao destinatário errado, ransomware, encerramento do fornecedor — e anotar ao lado de cada um qual medida você tem e qual falta. O que vão exigir de você é ter pensado no risco e agido de acordo, não um documento bonito.

Passo 8 · Procedimento de direitos

Defina por escrito por qual canal as solicitações são recebidas, como você verifica a identidade de quem pede, quem responde e em que prazo. Um mês, prorrogável para três se o caso justificar. E tenha decidido de antemão o caso difícil: o que você responde a um pedido de supressão quando tem a obrigação de conservar o prontuário.

Passo 9 · Procedimento de incidentes

Setenta e duas horas é pouco tempo para improvisar. Deixe escrito em uma página: como o incidente é detectado, quem avalia o risco, com que critério se decide notificar, quem notifica a AEPD e quem comunica aos afetados se o risco for alto. Documente todos os incidentes, inclusive os que você decidir não notificar, com o motivo.

Passo 10 · Revisão anual

Marque uma data na agenda. Na revisão: verifique se você adicionou fornecedores novos, se começou tratamentos novos, se continuam ativos acessos de pessoas que já não colaboram com você e se os prazos de conservação estão sendo aplicados de verdade. A maioria dos descumprimentos não nasce de não ter feito o trabalho, e sim de não tê-lo atualizado.

Este guia é informativo e não constitui assessoria jurídica. Consulte a legislação vigente no seu país e, em caso de dúvida, um profissional.