Parecer n.º 81/2023

PAR/2023/76 1 PARECER/2023/81 I. Pedido 1. O Secretário de Estado da Presidência do Conselho de Ministros solicitou em 27 de julho de 2023 à Comissão Nacional de Proteção de Dados (CNPD) a emissão de parecer sobre o Projeto de Decreto-Lei 227/XXIII/20232, que estabelece o regime de dispensa de medicamentos em proximidade. 2. A CNPD emite parecer no âmbito das suas atribuições e competências, enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57.º, a alínea b) do n.º 3 do artigo 58.º e n.º 4 do artigo 36.º, todos do Regulamento (UE) 2016/679, de 27 de abril de 2016 – Regulamento Geral sobre a Proteção de Dados (RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. II. Análise i) O enquadramento legal do Projeto 3. O Projeto de Decreto-Lei pretende consagrar um “[…] regime de dispensa em proximidade de medicamentos e outros produtos prescritos para ambulatório hospitalar, no âmbito dos estabelecimentos e serviços do Serviço Nacional de Saúde (SNS), aos quais compete garantir a prestação de cuidados hospitalares.” (artigo 1.º), permitindo …) o acesso do utente aos medicamentos em locais mais próximos da sua residência, (…)”, (artigo 2.º). 4. O regime de dispensa de medicamentos em proximidade conta com a intervenção de diversas entidades do circuito do medicamento, nomeadamente distribuidores por grosso de medicamentos de uso humano e farmácias de oficina, em articulação com os serviços farmacêuticos e unidades funcionais dos Agrupamentos de Centros de Saúde e Serviço de Utilização Comum dos Hospitais, como se indica no Preâmbulo do diploma. ii) A concretização do regime de dispensa do medicamento 5. Dispõe o artigo 11.º, com a epígrafe “Sistema de informação e monitorização”, que: “O circuito de dispensa dos medicamentos em regime de proximidade é suportado através de um sistema tecnológico que permite o registo partilhado entre a equipa de profissionais de saúde da informação clínica do utente necessárias para  1v. as finalidades previstas no presente decreto-lei, sem prejuízo do cumprimento das regras em matéria de proteção de dados pessoais.” 6. O sistema em causa deve garantir a rastreabilidade do medicamento desde a prescrição à dispensa e (…) “deve incluir mecanismos de registo e controlo dos respetivos acessos.”, (n.º 2 do artigo 11.º), cabendo à (…) “Administração Central do Sistema de Saúde, IP, (ACSS, IP), (a)o INFARMED, IP, a Direção Executiva do Serviço Nacional de Saúde, IP, o SUCH e a SPMS, E.P.E, “ aprovar, no prazo de 90 dias após a entrada em vigor do decreto-lei, os requisitos desse sistema tecnológico, (n.º 4 do artigo 11.º). 7. O sistema tecnológico que permite o registo partilhado entre a equipa de profissionais de saúde da informação clínica do utente necessária para as finalidades previstas no Projeto de Decreto-Lei, bem como as normas e especificações técnicas para tratamento de dados pessoais são remetidas para regulamento (cf. artigos 11.º e 14.º do Projeto). iii) A proteção de dados no Projeto de Decreto-Lei 8. O artigo 12.º do Projeto de Decreto-Lei, com a epígrafe “Proteção de dados pessoais”, começa com uma declaração de princípio de que no tratamento de dados pessoais, incluindo os de saúde, necessários para a implementação e execução do regime de dispensa do medicamento, será respeitado o RGPD. 9. Em concreto, no que ao tratamento desses dados se refere, o Projeto de diploma prevê que os dados sejam tratados “sob a responsabilidade de um profissional de saúde, ou por outra pessoa igualmente sujeitos a uma obrigação de confidencialidade, (n.º 2), sendo a unidade hospitalar responsável pela prescrição a entidade responsável pelo tratamento dos dados pessoais, competindo-lhe adotar as medidas necessárias para garantir que (…) “qualquer pessoa singular que, agindo sob a sua autoridade ou sob autoridade do subcontratante, tenha acesso àqueles dados só procede ao seu tratamento mediante as suas instruções, escritas ou verbais, e fica abrangido pelo dever de sigilo e confidencialidade.” (n.º 3). 10. No que se refere ao período de tempo de conservação dos dados o n.º 4 do artigo 12.º, prevê que os dados tratados ao abrigo deste regime sejam conservados pelo prazo que (…) se revele necessário para a prossecução da finalidade do tratamento, devendo este ser adequado e pertinente.” 11. Cabe ao utente, verificando-se os pressupostos necessários para o efeito, optar, “de forma expressa, por escrito”, pelo regime de dispensa presencial nos Serviços Farmacêuticos Hospitalares ou pelo regime de dispensa em proximidade e, neste último caso, optar ainda pelo local da dispensa, decisão que pode alterar  PAR/2023/76 2 pedindo a cessação da sua inclusão no regime de dispensa em proximidade ou a alteração do local de dispensa, (artigo 6.º, n.º 4 e n.º 6, alíneas a) e b), do Projeto de Decreto-Lei). 12. Essa opção é tomada no âmbito de consulta farmacêutica hospitalar presencial, na qual lhe serão prestados esclarecimentos e informação sobre o tratamento dos seus dados pessoais, (alínea c) do n.º 4 artigo 6.º do Projeto) iv) Avaliação do impacto na proteção de dados 13. Apesar de existir o dever de instruir o pedido de parecer à CNPD com um estudo de impacto sobre a proteção de dados pessoais (cf. n.º 4 do artigo 18.º da Lei n.º 43/2004, alterada pela Lei n.º 58/2019, de 8 de agosto), o pedido não veio acompanhado desse instrumento, o qual não é uma mera formalidade, mas antes um mecanismo essencial para se compreender e mitigar o impacto que um tratamento tem nos dados pessoais dos titulares. 14. Com o Projeto de diploma em causa introduz-se a intervenção das farmácias de oficina na dispensa de medicamentos, habitualmente dispensados em meio hospitalar, mas nada é referido sobre os dados pessoais dos utentes que serão transmitidos/partilhados com estas entidades que, na generalidade têm natureza privada, o que importa fazer e em respeito pelos princípios consagrados no RGPD. 15. A CNPD não pode, nessa medida, pronunciar-se sobre o tratamento, designadamente sobre se se respeitam os princípios da minimização, finalidade, exatidão e atualidade dos dados pessoais do utente. 16. Dá-se nota que a opção do utente para adesão ao regime a implementar não pode ser confundida com o consentimento para o tratamento de dados pessoais, uma vez que desse modo se estaria perante um consentimento implícito, o qual não cumpre os requisitos do RGPD (cf. alínea 11) do artigo 4.º e artigo 7.º do RGPD). 17. O Regulamento previsto no artigo 14.º do Projeto, que definirá as operações de tratamento de dados pessoais bem como as respetivas condições técnicas, será o instrumento que permitirá à CNPD pronunciar-se sobre o tratamento de dados pessoais legitimado pelo presente Projeto (cf. alínea b) do n.º 3 do artigo 58.º do RGPD, alínea a) do n.º 1 do artigo 6.º da Lei n.º 58/2019, de 8 de agosto e n.º 4 do artigo 18.º da Lei n.º 43/2004, de 18 de agosto).  2v. III. Conclusões 18. O legislador não especifica quais os dados pessoais dos utentes que serão partilhados com as entidades de proximidade que dispensam os medicamentos em substituição das Farmácias Hospitalares, nem o circuito da informação, pelo que a CNPD não tem, nesta matéria, elementos suficientes para se pronunciar. 19. O Regulamento previsto nos artigos 11.º e 14.º do Projeto deve ser submetido à CNPD, instruído com o competente estudo de impacto de proteção de dados. Aprovado na reunião de 16 de agosto de 2023 Assinado por: PAULA CRISTINA MEIRA LOURENÇO Data: 2023.08.16 21:00:28+01'00' Certificado por: Diário da República Eletrónico Atributos certificados: Presidente - Comissão Nacional de Proteção de Dados Paula Meira Lourenço (Presidente)