Caso de uso · Caso de uso · Saúde
Partilhar dados de saúde para investigação com as garantias certas
Equipa Anonimatum
Em resumo
Os dados de saúde são categorias especiais do RGPD. Para investigação, a Lei 58/2019 exige minimização e anonimização ou pseudonimização sempre que os fins o permitam, com acesso limitado a quem precisa de conhecer.
Um serviço de cardiologia quer partilhar cinco anos de notas de alta com um grupo que estuda reinternamentos. Um registo oncológico fornece casos a uma universidade. Um centro hospitalar participa num estudo multicêntrico europeu. Em todos os casos a pergunta é a mesma: o que tem de acontecer aos dados antes de saírem do contexto de prestação de cuidados?
A resposta depende de a equipa de investigação precisar de voltar ao doente (seguimento, ligação a outras fontes, achados clinicamente relevantes) ou poder trabalhar com informação que já não identifica ninguém. Esta página resume o quadro português e europeu e propõe um método prático. Não substitui a comissão de ética nem o encarregado da proteção de dados da instituição.
Porque é que os dados de saúde têm um regime especial
Os dados relativos à saúde e os dados genéticos são categorias especiais de dados: o artigo 9.º do RGPD proíbe o seu tratamento salvo exceção. Para investigação, o artigo 9.º, n.º 2, alínea j), remete para as garantias do artigo 89.º: minimização e, quando o fim o permita, pseudonimização. Se o objetivo puder ser atingido com dados que já não identificam os titulares, deve seguir-se esse caminho.
Em Portugal aplicam-se ainda a Lei da Investigação Clínica (Lei 21/2014) aos estudos clínicos e as regras de sigilo profissional dos profissionais de saúde. A autoridade de controlo é a Comissão Nacional de Proteção de Dados (CNPD).
O que diz a Lei 58/2019
- Artigo 29.º: no tratamento de dados de saúde e genéticos, o acesso rege-se pelo princípio da necessidade de conhecer, e todos os que lhes acedem, incluindo estudantes e investigadores, estão sujeitos a dever de sigilo.
- Artigo 31.º, n.º 1: o tratamento para fins de investigação científica deve respeitar a minimização e incluir a anonimização ou a pseudonimização sempre que os fins visados possam ser atingidos por uma destas vias.
- Artigo 31.º, n.º 2: os direitos de acesso, retificação, limitação e oposição podem ficar prejudicados na medida do necessário, se tornarem impossível ou prejudicarem gravemente a investigação.
- Artigo 31.º, n.º 4: o consentimento para investigação científica pode abranger diversas áreas de investigação ou apenas projetos específicos, respeitando os padrões éticos reconhecidos pela comunidade científica.
- Para fins estatísticos, os dados devem ser anonimizados ou pseudonimizados de modo a impedir a reidentificação logo que concluída a operação estatística (art. 31.º, n.º 5).
Pseudonimizar ou anonimizar: como decidir
Um dado pseudonimizado continua a ser dado pessoal: alguém conserva a tabela que permite regressar à identidade. Um dado anonimizado, nos termos do considerando 26 do RGPD, já não permite identificar ninguém por meios razoavelmente suscetíveis de ser utilizados e fica fora do âmbito do Regulamento.
| Aspeto | Pseudonimização | Anonimização |
|---|---|---|
| Natureza jurídica | Dado pessoal de categoria especial | Fora do RGPD se for eficaz |
| Seguimento do doente | Possível através de quem guarda a chave | Impossível |
| Exigências em Portugal | Lei 58/2019, necessidade de conhecer, sigilo, comissão de ética | Demonstrar que o risco de reidentificação é residual |
| Uso típico | Coortes, ensaios, registos | Dados abertos, ensino, estatística |
Anonimizar dados clínicos é mais difícil do que parece: uma data de internamento, o concelho de residência e um diagnóstico raro podem bastar para isolar uma pessoa. Por isso muitos projetos preferem uma pseudonimização rigorosa a uma promessa de anonimato difícil de cumprir.
O desafio do texto livre
Uma base de dados estruturada pseudonimiza-se substituindo o identificador do doente. Os documentos são outra realidade: notas de alta, diários clínicos, relatórios de anatomia patológica ou PDF digitalizados contêm nomes de doentes e familiares, números de processo, médicos, moradas e datas espalhados pelo texto. É aqui que os processos manuais mais falham.
Preparar documentos clínicos para investigação
- Acordar com o investigador principal as variáveis realmente necessárias.
- Separar funções: quem pseudonimiza e guarda a chave não integra a equipa de investigação.
- Detetar identificadores diretos: nome, número de utente, número de processo, NIF, telefone, morada.
- Tratar identificadores indiretos: datas exatas, concelho, profissão, unidade de origem.
- Substituir de forma coerente: o mesmo doente tem o mesmo código em todos os documentos.
- Eliminar metadados e rever uma amostra antes da entrega.
- Documentar o processo na avaliação de impacto e no processo submetido à comissão de ética.
O Espaço Europeu de Dados de Saúde
O Regulamento (UE) 2025/327, relativo ao Espaço Europeu de Dados de Saúde (EEDS), cria um quadro para a utilização secundária de dados de saúde eletrónicos para investigação, inovação e políticas públicas, através de organismos de acesso a dados de saúde em cada Estado-Membro. Aplica-se de forma faseada nos próximos anos e privilegia dados anonimizados, disponibilizando dados pseudonimizados em ambientes de tratamento seguros quando necessário.
Onde entra o Anonimatum
O Anonimatum trata documentos clínicos em PDF (também digitalizados, com OCR), Word, Excel e imagens com IA própria executada em servidores na União Europeia, sem enviar o texto para modelos de linguagem externos. Deteta nomes, moradas, datas e montantes; com padrões personalizados acrescentam-se os números de processo da instituição.
- A pseudonimização substitui cada dado de forma coerente em todo o lote e guarda a tabela cifrada, que pode ficar com a função que custodia a chave.
- As folhas de cálculo tratam-se coluna a coluna: manter, ocultar, substituir ou pseudonimizar cada variável.
- Cada deteção pode ser revista antes da entrega, e o processamento em lote dá resposta a extrações volumosas.
- A Politeia Soft, que desenvolve o Anonimatum, tem certificação ENS espanhola (categoria MÉDIA); não são reivindicadas outras certificações.
Para o dia a dia dos serviços, veja também anonimizar processos clínicos.
Perguntas frequentes
Preciso sempre do consentimento do doente para investigar?
Não necessariamente. O RGPD admite outras bases nos termos do artigo 9.º, n.º 2, alínea j), mas a Lei 58/2019 exige minimização, anonimização ou pseudonimização e sigilo; nos estudos clínicos aplica-se também a Lei 21/2014.
Os dados pseudonimizados ficam fora do RGPD?
Não. Continuam a ser dados pessoais e, sendo de saúde, de categoria especial. Só a anonimização eficaz os retira do âmbito do Regulamento.
Quem deve guardar a chave de reidentificação?
Uma função separada dos investigadores, normalmente na instituição de origem, com medidas que impeçam o seu acesso.
É obrigatória uma avaliação de impacto?
Na maioria dos projetos que tratam dados de saúde em grande escala, sim, nos termos do artigo 35.º do RGPD.
Está a preparar extrações clínicas para investigação?
Veja os planos e comece a pseudonimizar lotes de documentos clínicos com substituição coerente e revisão antes da entrega.