Acessos indevidos às fichas clínicas de menores no SNS. Uma análise jurídica.

Corporate, Tech & VC Sports Law Bruno Gutman bruno@grpclaw.com www.grpclaw.com Acessos indevidos às fichas clínicas de menores no SNS. Uma análise jurídica. Nos últimos dias chegaram à esfera pública relatos de que terão sido consultadas, sem motivo clínico conhecido, fichas de saúde de várias crianças, por um profissional registado no SNS. Antes que se cristalizem juízos definitivos, importa fazer um exercício jurídico sereno sobre o que está em causa, sobre quem responde, e sobre o que cada família pode fazer com calma, sem cair em alarmismo nem em descrédito do serviço público de saúde.MAIO/2026 POR BRUNO GUTMAN SAPO e Cidade Hoje, edições de maio de 2026. Regulamento (UE) 2016/679, Regulamento Geral de Proteção de Dados. Lei n.º 58/2019. Lei n.º 12/2005. Lei n.º 109/2009, Lei do Cibercrime. Código Penal. Código Civil. Lei n.º 67/2007. O caso, em síntese factua A proteção dos dados de saúde dos menores deixou de ser matéria técnica para se tornar uma condição da própria confiança pública no Estado de Direito digital. Os relatos vieram a público pela imprensa generalista, em particular pela SAPO e pela Cidade Hoje, e ganharam densidade através de grupos de WhatsApp e redes sociais. A descrição comum aponta para acessos repetidos a fichas de crianças que nunca foram doentes do profissional referenciado, ocorridos durante um período prolongado. As autoridades competentes estão em fase de apuramento e há, neste momento, mais perguntas do que respostas. É precisamente por isso que a leitura adequada exige tempo e prudência. A natureza dos dados e o regime aplicável Dados de saúde são uma categoria especial de dados pessoais, com regime particularmente protetivo. Quando os titulares são menores, o nível de proteção é ainda mais reforçado, com expressão no Regulamento Geral de Proteção de Dados e na Lei n.º 12/2005, que disciplina a informação de saúde. O seu tratamento sóélícito em circunstâncias precisas, tipicamente para prestação de cuidados de saúde por profissionais sujeitos ao dever de sigilo. Aceder à ficha de uma criança fora dessa relação clínica não é, assim, uma irregularidade administrativa banal, é uma situação juridicamente sensível que merece análise serena, em distintos planos. Em primeiro lugar, aceder à Área Pessoal do SNS 24, em www.sns24.gov.pt/pt/login/utente, e consultar, no perfil de cada filho, o histórico de acessos disponível. Em caso de registo sem correspondência a consulta ou contacto conhecido, é aconselhável guardar prova com a impressão da página em formato PDF e dirigir a questão, em primeiro lugar, ao encarregado de proteção de dados do Ministério da Saúde, pelo e-mail dpo@spms.min-saude.pt. As vias institucionais cumulativas incluem a CNPD, em www.cnpd.pt/cidadaos/participacoes, e a Ordem dos Médicos, pelo e-mail denuncias@ordemdosmedicos.pt, e, conforme a gravidade do caso concreto, queixa crime junto do Ministério Público, da PSP ou da GNR. Não é necessário, nem desejável, atuar em todas as frentes em simultâneo. A regra é simples, informação clara primeiro, ação ponderada depois. O que cada família pode fazer com calma Uma nota final, sem alarmismo Episódios desta natureza testam a maturidade da nossa relação coletiva com a digitalização do serviço público. A resposta correta nãoéa desconfiança generalizada nem o pânico, é a exigência calma de mecanismos de auditoria, de transparência sobre o que aconteceu e de revisão das políticas de acesso e de deteção de anomalias. O direito existe para que esta exigência se faça de forma estruturada, e a serenidade é também ela uma forma de eficácia NOTAS E FONTES Os planos de responsabilidade que podem estar em causa Da análise dos factos, podem vir a configurar se diferentes crimes previstos na legislação portuguesa, designadamente no Código Penal, na Lei de Proteção de Dados Pessoais e na Lei do Cibercrime. A estas hipóteses penais soma se a aplicação de multas e coimas que se medem em milhões de euros, e a possibilidade de reparação cível de danos não patrimoniais sofridos pelos titulares dos dados, em particular pelas crianças e suas famílias. A coexistência destes planos não significa, naturalmente, que todos sejam acionados em todos os casos. Depende sempre da factualidade que vier a ser apurada. A hipótese paralela do incidente informático Há uma frente que não pode ser ignorada e que serve, neste momento, de prudente reserva interpretativa. Não é impossível que as credenciais usadas para aceder às fichas tenham sido, afinal, comprometidas por terceiros. Se assim for, o profissional em causa pode ser também ele vítima de furto de identidade digital, e a discussão desloca se para o plano da segurança informática do SNS enquanto responsável pelo tratamento, designadamente em matéria de segurança e de notificação de incidentes. Esta hipótese não diminui a gravidade do que aconteceu, antes a alarga. A discussão sobre a responsabilidade do Estado Independentemente da concretização das responsabilidades individuais, há uma camada que ganha relevância pública. O SNS, enquanto responsável pelo tratamento, está obrigado a implementar medidas técnicas e organizativas adequadas para proteger os dados que custodia, em particular os dados sensíveis de crianças. Se vier a confirmar se que centenas de acessos não justificados foram possíveis durante semanas, sem alerta automático e sem auditoria interna eficaz, abre se o terreno próprio da responsabilidade civil extracontratual do Estado.