Nos últimos dias chegaram à esfera pública relatos de que terão sido consultadas, sem motivo clínico conhecido, fichas de saúde de várias crianças, por um profissional registado no SNS. Antes que se cristalizem juízos definitivos, importa fazer um exercício jurídico sereno sobre o que está em causa, sobre quem responde, e sobre o que cada família pode fazer com calma, sem cair em alarmismo nem em descrédito do serviço público de saúde.
O caso, em síntese factual
Os relatos vieram a público pela imprensa generalista, em particular pela SAPO e pela Cidade Hoje, e ganharam densidade através de grupos de WhatsApp e redes sociais. A descrição comum aponta para acessos repetidos a fichas de crianças que nunca foram doentes do profissional referenciado, ocorridos durante um período prolongado. As autoridades competentes estão em fase de apuramento e há, neste momento, mais perguntas do que respostas. É precisamente por isso que a leitura adequada exige tempo e prudência.
A natureza dos dados e o regime aplicável
Dados de saúde são uma categoria especial de dados pessoais, com regime particularmente protetivo. Quando os titulares são menores, o nível de proteção é ainda mais reforçado, com expressão no Regulamento Geral de Proteção de Dados e na Lei n.º 12/2005, que disciplina a informação de saúde. O seu tratamento só é lícito em circunstâncias precisas, tipicamente para prestação de cuidados de saúde por profissionais sujeitos ao dever de sigilo. Aceder à ficha de uma criança fora dessa relação clínica não é, assim, uma irregularidade administrativa banal, é uma situação juridicamente sensível que merece análise serena, em distintos planos.
Os planos de responsabilidade que podem estar em causa
Da análise dos factos, podem vir a configurar-se diferentes crimes previstos na legislação portuguesa, designadamente no Código Penal, na Lei de Proteção de Dados Pessoais e na Lei do Cibercrime. A estas hipóteses penais soma-se a aplicação de multas e coimas que se medem em milhões de euros, e a possibilidade de reparação cível de danos não patrimoniais sofridos pelos titulares dos dados, em particular pelas crianças e suas famílias. A coexistência destes planos não significa, naturalmente, que todos sejam acionados em todos os casos. Depende sempre da factualidade que vier a ser apurada.
A hipótese paralela do incidente informático
Há uma frente que não pode ser ignorada e que serve, neste momento, de prudente reserva interpretativa. Não é impossível que as credenciais usadas para aceder às fichas tenham sido, afinal, comprometidas por terceiros. Se assim for, o profissional em causa pode ser também ele vítima de furto de identidade digital, e a discussão desloca-se para o plano da segurança informática do SNS enquanto responsável pelo tratamento, designadamente em matéria de segurança e de notificação de incidentes. Esta hipótese não diminui a gravidade do que aconteceu, antes a alarga.
A discussão sobre a responsabilidade do Estado
Independentemente da concretização das responsabilidades individuais, há uma camada que ganha relevância pública. O SNS, enquanto responsável pelo tratamento, está obrigado a implementar medidas técnicas e organizativas adequadas para proteger os dados que custodia, em particular os dados sensíveis de crianças. Se vier a confirmar-se que centenas de acessos não justificados foram possíveis durante semanas, sem alerta automático e sem auditoria interna eficaz, abre-se o terreno próprio da responsabilidade civil extracontratual do Estado.
A proteção dos dados de saúde dos menores deixou de ser matéria técnica para se tornar uma condição da própria confiança pública no Estado de Direito digital.
O que cada família pode fazer com calma
Em primeiro lugar, aceder à Área Pessoal do SNS 24, em www.sns24.gov.pt/pt/login/utente, e consultar, no perfil de cada filho, o histórico de acessos disponível. Em caso de registo sem correspondência a consulta ou contacto conhecido, é aconselhável guardar prova com a impressão da página em formato PDF e dirigir a questão, em primeiro lugar, ao encarregado de proteção de dados do Ministério da Saúde, pelo e-mail dpo@spms.min-saude.pt.
As vias institucionais cumulativas incluem a CNPD, em www.cnpd.pt/cidadaos/participacoes, e a Ordem dos Médicos, pelo e-mail denuncias@ordemdosmedicos.pt, e, conforme a gravidade do caso concreto, queixa-crime junto do Ministério Público, da PSP ou da GNR. Não é necessário, nem desejável, atuar em todas as frentes em simultâneo. A regra é simples, informação clara primeiro, ação ponderada depois.
Uma nota final, sem alarmismo
Episódios desta natureza testam a maturidade da nossa relação coletiva com a digitalização do serviço público. A resposta correta não é a desconfiança generalizada nem o pânico, é a exigência calma de mecanismos de auditoria, de transparência sobre o que aconteceu e de revisão das políticas de acesso e de deteção de anomalias. O direito existe para que esta exigência se faça de forma estruturada, e a serenidade é também ela uma forma de eficácia.
Notas e fontes
- SAPO e Cidade Hoje, edições de maio de 2026.
- Regulamento (UE) 2016/679, Regulamento Geral de Proteção de Dados.
- Lei n.º 58/2019.
- Lei n.º 12/2005.
- Lei n.º 109/2009, Lei do Cibercrime.
- Código Penal.
- Código Civil.
- Lei n.º 67/2007.