PDFs na saúde: registos clínicos e privacidade do doente

Um doente envia por email a uma clínica um PDF digitalizado de uma velha nota de alta. A rececionista precisa de o juntar a outros dois relatórios antes de o médico os ver. Por isso abre a primeira ferramenta de PDF gratuita que aparece, arrasta para lá três ficheiros cheios de diagnósticos, listas de medicação e um número de utente, e clica em juntar.

Nada parece errado. O ficheiro juntado é descarregado, o médico lê-o, o dia segue. Mas esses três documentos acabaram de sair da clínica e aterraram no servidor de um desconhecido, e não eram documentos quaisquer.

Isto não é aconselhamento jurídico nem médico. Não sou a tua encarregada de proteção de dados e cada clínica tem as suas próprias regras a seguir. Mas os dados de saúde estão numa caixa separada e mais rigorosa ao abrigo do RGPD, e isso muda a forma como deves tratar cada PDF que os transporta.

Porque é que os dados de saúde são tratados de forma diferente

A maioria dos dados pessoais ao abrigo do RGPD já está protegida. Os dados de saúde recebem uma camada extra. O regulamento chama-lhes categoria especial, e estão ao lado de coisas como a crença religiosa, a orientação sexual e os dados biométricos. A regra básica para os dados de categoria especial é que o seu tratamento é proibido, a menos que cumpras uma de uma curta lista de condições específicas, como o consentimento explícito do doente ou a prestação de cuidados por um profissional de saúde.

Aquela palavra “tratamento” é abrangente. Cobre ler o ficheiro, armazená-lo, alterá-lo e partilhá-lo. Juntar dois relatórios conta. Dividir um registo para enviar uma página conta. Comprimir uma digitalização para a enviar por email conta. Por isso, no momento em que está envolvido um PDF de saúde, estás a lidar com a classe de dados mais sensível que a lei reconhece, e a fasquia para o fazer de forma descuidada é muito mais alta.

Um registo clínico também tende a transportar mais do que o diagnóstico. Normalmente há um nome, uma data de nascimento, uma morada, um número de utente, por vezes um número de seguro. Cada um destes é identificador por si só. Agrupados com uma condição médica, pintam um retrato completo de uma pessoa num dos seus momentos mais privados.

O que um site de upload faz realmente com o ficheiro

Quando envias esse PDF para uma ferramenta online, o ficheiro sai do teu controlo. Viaja para um servidor que não geres, é processado lá, e pode ser colocado em cache, em fila ou copiado antes de algo voltar. Ao abrigo do RGPD, essa empresa torna-se um subcontratante a agir em teu nome, e tu, a clínica ou o profissional, continuas a ser o responsável pelo tratamento dos dados.

O responsável pelo tratamento assume deveres reais no segundo em que um subcontratante entra em cena. Precisas de um contrato escrito com essa empresa a especificar o que podem fazer com os dados e quando os eliminam. Para dados de saúde de categoria especial, também precisas de ter a certeza de que toda a montagem tem as salvaguardas certas. Uma ferramenta gratuita que encontraste através de uma pesquisa raramente te dá algo disto. Não tens um contrato com eles, não sabes onde ficam os servidores deles, e não consegues dizer quem mais pode tocar no ficheiro.

Há também uma aresta mais cortante para os dados de saúde. Se o servidor estiver fora da UE, fizeste uma transferência internacional de dados de categoria especial, o tipo de coisa em torno da qual o RGPD coloca mais atrito. Para uma foto de férias isso não importaria. Para o relatório oncológico de um doente, criaste discretamente um problema que não consegues documentar.

A violação que terias de comunicar

Os registos de saúde são exatamente o que os atacantes e os corretores de dados querem. Um historial médico que vaza não pode ser reposto como uma palavra-passe. Se dados sensíveis de um doente acabarem expostos através de um serviço pelo qual não podias responder, isso pode ser uma violação de dados pessoais, e as violações que envolvem dados de saúde são as que os reguladores levam mais a sério. Deveres de comunicação, notificações aos doentes e o golpe na reputação de uma clínica decorrem todos de um único upload descuidado.

A parte frustrante é que a própria tarefa, juntar ou comprimir um par de ficheiros, nunca precisou de sair do edifício.

Mantém o ficheiro na tua própria máquina

Eis a solução, e é mais leve do que o problema. Se o PDF nunca sair do teu dispositivo, nenhum subcontratante externo lhe toca. Nenhum contrato a perseguir, nenhuma transferência a justificar, nenhum terceiro que o possa fazer vazar. Continuas a ser o responsável pelo tratamento e continuas a dever ao doente o cuidado habitual, mas toda uma camada de risco simplesmente não existe, porque os dados ficaram onde estavam.

É esta a ideia por trás das ferramentas que correm inteiramente no teu navegador. O código faz o trabalho localmente, na memória do teu computador, e o ficheiro fica no sítio. Foi assim que construímos o reader.me. Quando juntas, divides ou comprimes um PDF clínico, é processado no teu navegador e nunca chega a um servidor nosso. Se quiseres prova, abre as Ferramentas de Programador do navegador, observa o separador Rede (Network) enquanto trabalhas, e não verás nada com o teu documento a sair.

Duas tarefas do dia a dia são as que mais importam para os ficheiros de saúde:

• Quando um registo chega com uma palavra-passe e tu a conheces, podes remover essa palavra-passe localmente para que o ficheiro seja mais fácil de trabalhar, sem o enviar para lado nenhum.
• Quando precisas de encaminhar um registo e o queres bloqueado primeiro, podes encriptar o PDF com uma palavra-passe diretamente na tua máquina, e depois partilhá-lo por um canal que o doente espere.

Hábitos para clínicas, médicos e doentes

Algumas regras simples mantêm os PDFs de saúde fora de problemas:

• Trata cada documento clínico como dados de categoria especial. Notas de alta, resultados de análises, prescrições, cartas de referenciação e formulários de consentimento qualificam-se todos, mesmo uma única página digitalizada.
• Nunca arrastes um registo de doente para uma ferramenta online qualquer. Sem contrato e sem uma localização clara do servidor, significa que não recebe os dados dos teus doentes, ponto final.
• Por omissão, usa ferramentas que correm no teu navegador para tarefas de rotina como juntar, dividir ou comprimir. Se funciona localmente, não há subcontratante a avaliar e nada atravessa uma fronteira.
• Bloqueia os ficheiros antes de os enviares. Uma palavra-passe no PDF e um canal de entrega sensato batem um anexo aberto.
• Se és o doente, pergunta como é que a tua clínica trata os teus ficheiros. Tens todo o direito.

As regras à volta dos dados de saúde soam pesadas, e são, porque os dados são. Mas a solução diária é pequena. Mantém o ficheiro na tua máquina, usa ferramentas que não fazem upload, e a parte mais pesada do problema nunca chega até ti. Se quiseres a versão mais longa de como o upload desencadeia estes deveres, escrevi sobre o RGPD e o upload de PDFs separadamente.