Se o seu consultório ou clínica guarda qualquer informação de pacientes em software — mesmo que sejam só nomes, números de telefone e horários — está sujeito à nova Lei Federal Suíça de Proteção de Dados (nLPD), em alemão nDSG. A lei está em vigor desde 1 de setembro de 2023, as obrigações ficaram mais rígidas, as sanções podem ser pessoais, e "não sabia" não é defesa.

Este guia é para proprietários de clínica, não para juristas. Explica o que mudou, o que tem mesmo de fazer e o que o software de gestão deve tratar por si.

O que mudou em 1 de setembro de 2023

A antiga LPD era de 1992, escrita antes de existir registo clínico eletrónico. A nova nLPD moderniza o quadro e aproxima-o do RGPD europeu, mantendo algumas particularidades suíças.

As principais mudanças para uma clínica:

Os dados de saúde são "dados pessoais sensíveis" nos termos do art. 5.º al. c nLPD, o que aciona obrigações reforçadas.
É obrigatório manter um registo das atividades de tratamento para a maioria dos responsáveis (art. 12.º nLPD).
A proteção de dados desde a conceção e por defeito passa a ser uma exigência legal (art. 7.º nLPD).
Os deveres de informação na recolha foram alargados (art. 19.º nLPD).
As violações de segurança devem ser notificadas ao Comissário Federal para a Proteção de Dados e Transparência (PFPDT / EDÖB) "o mais rapidamente possível" (art. 24.º nLPD).
Sanções pessoais até CHF 250 000 para quem viole intencionalmente certas obrigações (art. 60.º nLPD).

O que conta como dado pessoal e sensível numa clínica

Segundo o art. 5.º nLPD:

Dado pessoal é qualquer informação relativa a uma pessoa singular identificada ou identificável — nome, telefone, email, IBAN, e até um horário de consulta associado a um nome.
Dado pessoal sensível inclui saúde, convicções religiosas, opiniões políticas, dados biométricos, dados genéticos e dados sobre apoios sociais.

Quase tudo o que uma clínica guarda sobre um paciente é, no mínimo, dado pessoal. A partir do momento em que regista um tratamento, diagnóstico, prescrição ou encaminhamento, está a tratar dados sensíveis — e isso traz regras mais rígidas de consentimento, controlo de acesso e segurança.

O registo das atividades de tratamento (art. 12.º)

A maioria das clínicas tem agora de manter um registo de atividades de tratamento. Empresas com menos de 250 colaboradores estão isentas apenas se o tratamento apresentar baixo risco — e tratar dados de saúde, por definição, nunca é baixo risco.

O registo deve indicar, por atividade:

A finalidade (consultas, faturação, notas clínicas, newsletter, etc.).
As categorias de titulares (pacientes, pessoal, fornecedores).
As categorias de dados pessoais.
Os destinatários (contabilista, fornecedor de software, seguradora, etc.).
Os prazos de conservação.
Uma descrição geral das medidas de segurança.

Um bom fornecedor de software clínico entrega-lhe um modelo de registo que já cobre a parte tratada pela plataforma.

Proteção desde a conceção e por defeito (art. 7.º)

Tem de desenhar os processos de modo a que, por defeito, seja recolhida e acedida a menor quantidade possível de dados pessoais. Concretamente:

A equipa só vê os dados estritamente necessários à sua função.
Os dados antigos são apagados ou anonimizados findo o prazo de conservação.
As novas funcionalidades arrancam com as configurações mais protetivas e exigem escolha ativa para partilhar mais.

É em parte função do software e em parte sua. O software deve oferecer controlo de acesso baseado em papéis e prazos de conservação configuráveis; cabe-lhe a si decidir quem tem que papel.

Deveres de informação (art. 19.º)

Na recolha de dados — primeira consulta, formulário online, ficha de admissão em papel — deve informar a pessoa em causa de:

Identidade e contactos do responsável pelo tratamento (a sua clínica).
Finalidade do tratamento.
Destinatários ou categorias de destinatários.
Eventual transferência para o estrangeiro e países envolvidos.

Uma declaração de privacidade curta, em linguagem clara, afixada na receção e no site, costuma ser suficiente. Não tem de ser um documento jurídico de doze páginas.

Notificação de incidentes (art. 24.º)

Se uma violação for suscetível de causar risco elevado à personalidade ou aos direitos fundamentais dos titulares, tem de a notificar ao PFPDT o mais rapidamente possível. A nLPD não fixa o prazo rígido de 72 horas do RGPD, mas, na prática, deve tratá-lo como tecto — o PFPDT deixou claro que atrasos sem justificação serão considerados.

Pode também ter de informar diretamente os pacientes afetados, em linguagem clara, quando isso for necessário para os proteger ou quando o PFPDT o exigir.

O papel do PFPDT

O Comissário Federal para a Proteção de Dados e Transparência é a autoridade de supervisão. Investiga queixas, audita organizações e pode ordenar medidas corretivas. Ao contrário das autoridades RGPD, o PFPDT não pode aplicar coimas administrativas diretas — mas as autoridades penais cantonais podem condenar pessoas singulares em até CHF 250 000 ao abrigo do art. 60.º.

Por que o alojamento na Suíça importa

O local físico onde os dados estão guardados determina que governo pode exigir legalmente o seu acesso.

Alojamento na Suíça: os dados ficam sob jurisdição suíça, com forte proteção constitucional e a LSCPT, que exige controlo judicial para acessos estatais.
Alojamento na UE: os dados ficam sob o RGPD — sólido, mas as autoridades dos EUA podem alcançar filiais europeias de fornecedores cloud americanos via CLOUD Act.
Alojamento nos EUA: os dados ficam expostos ao CLOUD Act e ao FISA 702.

Para uma clínica, a conclusão prática é simples: dar prioridade à Suíça, aceitar UE em alternativa, evitar alojamento exclusivamente nos EUA para dados clínicos.

nLPD vs RGPD: a versão curta

Se já está em conformidade com o RGPD, está a cerca de 90 % do nLPD. Diferenças relevantes:

A nLPD aplica-se apenas a dados de pessoas singulares; o RGPD cobre também pessoas coletivas em algumas leituras.
As sanções nLPD são pessoais e penais; as do RGPD são organizacionais e administrativas.
A nLPD não tem prazo rígido de 72 horas para violações, mas exige "o mais rapidamente possível".
A nLPD exige um representante na Suíça para certos responsáveis estrangeiros (art. 14.º).

Checklist para o proprietário de clínica

Use como verdadeira lista de tarefas de segunda-feira de manhã. Cada ponto é uma obrigação legal real ou uma boa prática forte.

O que isto significa para a escolha do seu software

O software de gestão da clínica não é uma ferramenta neutra — é um subcontratante nos termos da nLPD, e as obrigações que ele cumpre (ou não) tornam-se as suas. Antes de assinar, verifique alojamento na Suíça, cifragem AES-256, controlo de acesso por papéis, registos de auditoria, exportação para pedidos de acesso e contrato de subcontratação por escrito.

Conformidade já não é opcional. Mas, com o software certo e um registo de uma página, também não é tão pesada quanto parece.