RGPD e WhatsApp: o que uma clínica precisa de saber sobre dados de saúde

Dados de saúde estão entre as categorias mais protegidas pelo RGPD — e com razão. Uma clínica que decida comunicar com pacientes por WhatsApp tem, por isso, uma responsabilidade acrescida em relação a uma loja ou a um restaurante: não basta que a comunicação seja eficaz, tem de ser também conforme.

O que muda quando os dados são de saúde

Uma marcação de consulta, por si só, já é um dado que revela informação sobre a saúde de alguém — o simples facto de existir uma consulta com um determinado especialista pode ser sensível. Isto significa que qualquer sistema usado para gerir essa comunicação precisa de cumprir os requisitos de tratamento de dados sensíveis: minimização, propósito definido, e controlo sobre quem acede à informação.

Onde ficam os dados

A infra-estrutura própria do WhatSMS — onde ficam guardadas as conversas e os dados de contacto geridos pela plataforma — está em servidores europeus, alinhada com a abordagem de privacidade e protecção de dados descrita pela plataforma. Isto não resolve, por si só, toda a questão: o WhatsApp é operado pela Meta, e qualquer mensagem enviada por esse canal passa pela infra-estrutura da Meta como subprocessador, independentemente de onde o WhatSMS guarda a sua própria cópia. Uma clínica que comunique dados de saúde por WhatsApp deve ter isto em conta na sua análise de risco — não é uma questão que desapareça só por escolher uma plataforma com servidores na Europa.

Consentimento e transparência

O RGPD exige que o titular dos dados saiba como a sua informação está a ser tratada. Na prática, isto significa que a clínica deve informar os pacientes de que a comunicação por WhatsApp é gerida através de uma plataforma — algo que pode ser resolvido com uma nota simples na primeira mensagem ou no processo de admissão do paciente.

Acesso da equipa

Nem toda a gente na clínica precisa de ver todas as conversas. O sistema permite gerir quem, dentro da equipa, tem acesso a que informação — o que é relevante quando há vários profissionais e apenas alguns deveriam ver o histórico de um paciente específico.

O que a clínica não deve assumir

É importante ser directo sobre um ponto: nenhuma ferramenta, por si só, torna uma clínica "automaticamente conforme" com o RGPD. A conformidade depende também dos processos internos da clínica — quem tem acesso a quê, como os dados são eliminados quando deixam de ser necessários, e como se responde a um pedido de acesso ou apagamento por parte de um paciente. A plataforma fornece a base técnica — dados na Europa, controlo de acesso, exportação de dados — mas a política de utilização continua a ser responsabilidade da clínica.

Se tiver dúvidas específicas sobre o seu caso, vale a pena esclarecê-las antes de migrar a comunicação da clínica para qualquer canal novo — criar conta gratuita permite testar o funcionamento técnico da plataforma enquanto essa avaliação é feita.