Ano: 2021

A task force da vacinação contra a Covid-19 vai poder aceder a um conjunto limitado de dados de saúde dos cidadãos, com a condição de que seja adotada uma série de medidas técnicas de segurança. Contudo, num parecer, a Comissão Nacional de Proteção de Dados (CNPD) recusa o acesso a informação individualizada dos portugueses.

O pedido de parecer foi dirigido à CNPD pelo coordenador da task force, Henrique Gouveia e Melo, através do gabinete da ministra da Saúde, Marta Temido. A CNPD não se opõe à solicitação, mas balizou esse acesso e travou a intenção da task force de aceder a dados individualizados dos cidadãos.

Assim, a equipa que coordena o plano de vacinação contra a Covid-19 pode obter “estatísticas e indicadores”, por “determinação da ministra da Saúde”. Mas, com as medidas exigidas pela CNPD, “não haverá acesso a dados individualizados”, aponta a entidade liderada por Filipa Calvão.

A CNPD não vê “efetiva necessidade” de a equipa do vice-almirante conhecer a identidade dos titulares dos dados pessoais, pelo que, “de acordo com o princípio da proporcionalidade e o princípio da minimização dos dados pessoais”, o acesso “deve implicar uma operação de pseudonimização”.

Task force quer número do SNS, data de nascimento e concelho de residência

No parecer com a data de 18 de agosto, lê-se que o vice-almirante pediu “acesso a informação constante em bases de dados da saúde, com a finalidade de avaliação e monitorização dos procedimentos relativos à vacinação”. Em causa estão quatro conjuntos de dados pessoais a que a task force quer ter acesso:

• Dados de identificação, como o número de utente do Serviço Nacional de Saúde (SNS) e data de nascimento;
• Dados da vacinação, como género, administração regional de saúde da área de residência, concelho de residência e marca e lote da 1.ª e 2.ª inoculação;
• Dados de teste com resultado positivo, como a data de eventual teste positivo, tipo de teste e variante genética do coronavírus;
• Dados de internamento hospitalar, como a data de eventual internamento, data da entrada nos cuidados intensivos, data da alta hospitalar ou, na eventualidade, data de óbito.

No pedido remetido pelo vice-almirante, “é especificado que o acesso à informação é imprescindível para o planeamento e gestão do plano de vacinação, com evidente reflexo na saúde pública em contexto de pandemia”.

A task force garantiu que não precisa de saber o nome dos utentes, “mas é imprescindível o número do SNS como elemento de ligação entre as várias bases de dados, bem como a data de nascimento como segundo dado de identificação”, para “correlacionar a informação da mesma pessoa, ainda que sem a necessidade de conhecer a sua identidade”.

Mesmo assim, nos termos do pedido, “foi ainda considerada a possibilidade de, excecionalmente e em circunstâncias pontuais”, a task force da vacinação poder, no âmbito das suas “atribuições e competências”, ter acesso a dados identificados, revela a CNPD.

CNPD não vê “efetiva necessidade” no acesso a informação individualizada

Para a CNPD, apesar de não ser pedido o acesso ao nome, o número do SNS e a data de nascimento são suficientes para que estes dados sejam considerados individualizados. Por isso, a comissão considera que, havendo acesso, este se limite a informação anónima.

“Admite a CNPD que o tratamento dos dados pessoais acima elencados é adequado e necessário às finalidades visadas pela task force, uma vez que os dados anonimizados não permitem relacionar a informação da vacinação com subsequentes infeções, o que é essencial para a definição da estratégia de vacinação contra a Covid-19, a avaliação do processo de implementação do plano de vacinação e a sua adaptação”, reconhece a entidade liderada por Filipa Calvão.

“Todavia, a task force não tem, para as finalidades invocadas e que cabem nas atribuições definidas [no despacho que nomeia a task force], efetiva necessidade de conhecer a identidade dos titulares dos dados”, acrescenta a comissão.

Desta forma, na resposta final, a CNPD dá luz verde condicionada ao pedido do vice-almirante Henrique Gouveia e Melo: “Desde que adotadas as medidas elencadas […], a CNPD nada tem a opor ao tratamento de dados pessoais objeto de apreciação”.

Entre essas medidas de segurança está a utilização de uma rede privada virtual (VPN) com um protocolo específico de segurança. Mas também a utilização de perfis individuais de acesso, que permitam manter um registo de quem acedeu à informação, e que possam espoletar “alertas aos superiores hierárquicos”.

Por fim, “a CNPD reitera o caráter excecional e transitório de uma solução normativa com este sentido que, eventualmente, venha a ser adotada”. Nesse sentido, recomenda que, “logo que cesse a necessidade deste tratamento, seja eliminada a base de dados para este efeito criada e fechados os perfis de acesso”.