Introdução: o processo que nunca abriu
Consultou um médico há três semanas por causa de uma dor nas costas. Apresentou o seu cartão de utente, levantou uma receita, passou pela farmácia do bairro onde já sabem o seu nome e marcou online uma radiografia. Entretanto, o seu relógio registou as noites mal dormidas e você escreveu «dor lombar de manhã» num motor de busca às duas da madrugada.
Nenhum destes gestos é suspeito. Cada um deles era razoável. Somados, compõem, no entanto, um relato médico de uma precisão que nunca releu, repartido por sete ou oito entidades diferentes, algumas das quais não estão sujeitas ao sigilo médico.
A saúde é, juntamente com as opiniões políticas e a orientação sexual, uma das categorias de dados que o RGPD qualifica como «sensíveis» (artigo 9.º). O seu tratamento é, em princípio, proibido, salvo exceções — e a prestação de cuidados é obviamente uma delas. O problema não está aí. O problema é tudo o que gravita em torno dos cuidados: as plataformas de marcação de consultas, as aplicações de bem-estar, os cartões de fidelização das parafarmácias, os questionários dos seguros de saúde, os objetos conectados que medem sem serem dispositivos médicos.
Este guia nunca lhe dirá para dispensar um exame ou mentir ao seu médico. Explica-lhe quem vê o quê no sistema francês, o que pode legalmente recusar e os gestos concretos que reduzem a superfície de fuga.
Parte 1 — Cartografar os intervenientes: quem detém realmente o quê
Os três círculos dos dados de saúde
Não todos têm acesso às mesmas informações, e isso é a primeira coisa a compreender para não lutar contra moinhos errados.
| Círculo | Intervenientes | O que veem | Sigilo médico |
|---|---|---|---|
| Círculo dos cuidados | Médico de família, especialistas, hospital, farmacêutico, laboratório | Diagnóstico, prescrições, resultados, antecedentes | Sim, com sanção penal |
| Círculo do reembolso | Assurance Maladie, seguro complementar, previdência | Atos faturados, códigos CIP dos medicamentos, datas, profissionais | Parcial, através do médico-consultor |
| Círculo periférico | Plataformas de marcação, aplicações de bem-estar, objetos conectados, sites de informação sobre saúde | Sintomas declarados, especialidades consultadas, hábitos, métricas fisiológicas | Não |
O terceiro círculo é o que levanta problemas. Não é ilegal, está simplesmente fora do regime protetor do sigilo profissional. Um episódio de insónia registado por uma bracelete não é um diagnóstico, mas uma série de milhares de medições de insónia parece-se muito com uma informação médica.
O que a Segurança Social sabe realmente
A Assurance Maladie não recebe o seu diagnóstico em cada consulta. Recebe um ato codificado: «consulta de medicina geral», «ato técnico de radiologia», o valor, a data, o profissional. O diagnóstico só chega em casos precisos — doença de longa duração (ALD), baixa médica, pedido de autorização prévia — e é então tratado pelo serviço médico, distinto do serviço administrativo.
Os seus reembolsos podem ser consultados na sua conta ameli, e aliás é um bom hábito relê-los: o histórico está lá detalhado ao longo de vários meses e constitui, sem que o tenha desejado, uma cronologia médica explorável por quem quer que acedesse à sua conta.
O que o seu seguro de saúde sabe — e não deveria saber
É o ponto cego mais frequente. Quando um seguro complementar reembolsa, recebe a natureza do ato e, no caso dos medicamentos, o código CIP da embalagem. Esse código identifica o produto com precisão. Um seguro complementar pode, portanto, tecnicamente, deduzir um tratamento crónico a partir da repetição de reembolsos, mesmo sem nunca ler uma receita.
A CNIL enquadra este ponto: os organismos complementares só devem tratar os dados estritamente necessários à liquidação das prestações, e os dados médicos detalhados devem permanecer sob a responsabilidade de um profissional de saúde. Na prática, os controlos existem, mas as zonas cinzentas subsistem, em particular quanto aos questionários de saúde propostos na subscrição de contratos de previdência ou de seguro de crédito.
A reter: desde a lei Lemoine de 2022, o questionário médico é suprimido nos créditos à habitação cuja parte segurada seja inferior a 200 000 € por mutuário e cujo reembolso termine antes dos 60 anos do segurado. É um dos raros recuos legislativos da recolha de dados de saúde em França. Verifique sistematicamente se a sua situação se enquadra aí antes de preencher o que seja.
Parte 2 — Mon espace santé: compreender a ferramenta antes de a temer
Implementado em larga escala desde 2022, o Mon espace santé é um boletim de saúde digital aberto automaticamente a todos os beneficiários, salvo oposição. Está alojado em França por um alojador certificado para dados de saúde (HDS) e o seu acesso está protegido por autenticação reforçada.
O que controla realmente
Ao contrário de uma ideia difundida, a ferramenta deixa uma margem de manobra importante:
- A ocultação de documentos: pode tornar um documento invisível para os profissionais de saúde, com exceção daquele que o depositou e do seu médico de família.
- O bloqueio nominativo: pode proibir o acesso a um profissional ou a um estabelecimento identificado.
- A consulta do registo de acessos: cada abertura do seu processo fica registada e pode ser consultada. Ganhe o hábito de o reler duas vezes por ano.
- O encerramento do perfil: possível em qualquer momento, com conservação dos dados durante dez anos e posterior eliminação.
Os limites a conhecer
A ocultação protege do olhar, não da existência. Um documento oculto continua armazenado. Além disso, em caso de emergência vital, existem alguns acessos derrogatórios — o que é bom do ponto de vista médico, mas deve ser conhecido.
O compromisso honesto é o seguinte: um processo médico partilhado bem mantido melhora a segurança dos cuidados (interações medicamentosas, alergias, exames duplicados). A recusa sistemática tem um custo sanitário real. A boa postura não é a abstenção, é a gestão ativa: preenche-se o essencial, oculta-se o contextual, releem-se os acessos.
Parte 3 — O terceiro círculo: onde as fugas realmente acontecem
As plataformas de marcação de consultas
Marcar consulta num dermatologista não é um ato médico, mas o motivo da consulta que indica num menu suspenso é uma aproximação temível. Estas plataformas sabem que especialidade consulta, com que frequência, em que cidade e, às vezes, porquê.
Boas práticas:
- Escolha o motivo mais genérico disponível («consulta», «seguimento») em vez do motivo detalhado, quando o campo o permitir.
- Utilize um endereço de e-mail dedicado à saúde, distinto do seu endereço principal e das suas contas comerciais.
- Recuse as caixas de «comunicações de parceiros»: nada têm a ver com os cuidados de saúde.
- Elimine a sua conta depois de um uso pontual, em vez de a deixar adormecida com um histórico.
As aplicações de bem-estar e de monitorização
Uma aplicação de registo do período menstrual, de contagem de calorias, de meditação ou de monitorização do sono quase nunca é um dispositivo médico. Não está, por isso, sujeita às mesmas obrigações que um software hospitalar. A CNIL publicou vários avisos sobre este setor, e os casos de aplicações que transmitem dados de ciclo menstrual ou de humor a agências de publicidade foram documentados repetidas vezes pela imprensa especializada e pelas autoridades europeias.
Três perguntas antes de instalar:
- Onde estão alojados os dados? Um alojador certificado HDS na União Europeia é um sinal positivo.
- A aplicação funciona sem conta e offline? Se sim, é essa a opção a privilegiar.
- O modelo económico é claro? Uma aplicação gratuita sem publicidade visível e sem subscrição deve levantar-lhe dúvidas.
Para muitos usos, o suporte mais discreto continua a ser o mais simples. Um caderno de registo de saúde em papel não sincroniza nada, não é pirateável à distância e guarda-se numa gaveta. Para a tensão arterial, um medidor de braço sem ligação Bluetooth faz exatamente o mesmo trabalho clínico que um modelo conectado, sem criar conta nem fluxo de saída.
Os objetos conectados usados no pulso
Um relógio que mede a frequência cardíaca, a saturação de oxigénio e a variabilidade do ritmo produz um fluxo fisiológico contínuo. Estes dados não são médicos no sentido regulamentar, mas permitem inferências: stress, consumo de álcool, gravidez, apneia do sono.
Configurações mínimas a fazer desde a primeira utilização:
- Desativar a partilha de dados «para fins de melhoria do produto» e «de investigação».
- Recusar a geolocalização em segundo plano quando não é necessária à atividade desportiva.
- Verificar, na conta associada, o separador de descarregamento e de eliminação dos dados, imposto pelo RGPD.
Parte 4 — A farmácia, o sítio de que nos esquecemos
O farmacêutico está sujeito ao sigilo profissional, e o dossier farmacêutico — que registra os medicamentos dispensados nos últimos quatro meses — é um instrumento de segurança real contra interações perigosas. Pode, no entanto:
- Recusar o registo no dossier farmacêutico pontualmente, para uma determinada dispensa. O farmacêutico tem de o respeitar.
- Declinar o cartão de fidelização da parafarmácia: liga compras de suplementos, produtos de higiene íntima ou de cessação tabágica à sua identidade, fora de qualquer enquadramento de sigilo médico.
- Pagar em dinheiro as compras de parafarmácia que não queira ver aparecer num extrato bancário legível pelo seu banco, pelo seu cônjuge ou por um terceiro com acesso à sua conta.
- Evitar as encomendas online dos produtos mais reveladores: uma entrega em casa cria um rasto de endereço, uma encomenda com o seu nome e um histórico de compras guardado durante anos.
Sobre este último ponto, há um detalhe material que conta: as etiquetas das encomendas continuam legíveis nos contentores coletivos. Uma pequena destruidora de documentos de corte cruzado, colocada ao lado do cesto dos papéis, resolve em dez segundos um problema largamente subestimado.
Parte 5 — Teleconsulta, pesquisa de informações, mensagens
Fazer teleconsultas corretamente
A teleconsulta é um ato médico de pleno direito, enquadrado pela Assurance Maladie. O profissional está sujeito ao sigilo; a plataforma técnica, por sua vez, deve estar alojada num alojador HDS. Vale a pena tomar algumas precauções:
- Faça a consulta num local onde ninguém a escute. O wi-fi partilhado de um espaço de coworking ou do átrio de um hotel não é um consultório.
- Prefira auscultadores com fio a um altifalante: a fuga mais frequente em teleconsulta é acústica, não informática.
- Verifique se a receita lhe é enviada por um canal seguro (Mon espace santé, mensagem eletrónica segura de saúde) e não por um e-mail comum.
- Desconfie das plataformas que propõem um questionário prévio muito detalhado sem um médico identificado por trás.
Se trabalha frequentemente em locais partilhados, um filtro de privacidade para ecrã evita que um resultado de análises apareça para quem está na mesa ao lado. É um acessório banal que resolve um ângulo morto real.
Pesquisar informações sem ser perfilado
Escrever um sintoma num motor de busca é um dos sinais mais monetizados da web. As agências de publicidade extraem daí segmentos de audiência «saúde» com uma granularidade incómoda.
- Utilize um motor de busca que não guarde histórico ligado a uma conta.
- Consulte prioritariamente fontes institucionais: Ameli, Santé publique France, la Haute Autorité de santé, Vidal para os folhetos informativos, l'ANSES para a alimentação e as exposições ambientais. Não revendem a sua curiosidade.
- Evite os fóruns de saúde nominativos: um pseudónimo reutilizado noutro sítio liga um testemunho íntimo à sua identidade real.
Comunicar uma informação sensível
Acontece ser necessário transmitir uma informação de saúde a alguém próximo, a um empregador ou a uma associação sem expor a sua identidade ou o seu número. Sinalizar um caso de contágio, avisar um parceiro, alertar um serviço sobre uma situação médica preocupante: são situações em que um envio de SMS com remetente oculto permite dizer o que deve ser dito sem abrir um canal permanente para si. O princípio continua a ser o mesmo que em todo o resto deste site: transmite-se a informação útil, não o identificador que a acompanhará durante dez anos.
Parte 6 — Os seus direitos, na prática
O RGPD e o Código da Saúde Pública dão-lhe alavancas reais, mas é preciso ativá-las.
| Direito | O que pode fazer | Prazo legal |
|---|---|---|
| Acesso ao seu processo clínico | Pedir cópia integral ao estabelecimento ou ao profissional | 8 dias (2 meses se os dados tiverem mais de 5 anos) |
| Acesso RGPD a uma aplicação de saúde | Exigir todos os dados detidos | 1 mês |
| Apagamento | Pedir a eliminação a um interveniente fora da esfera dos cuidados (aplicação, plataforma) | 1 mês |
| Oposição | Recusar um tratamento não necessário (prospeção, investigação) | Imediato |
| Reclamação | Apresentar queixa online à CNIL em caso de recusa ou de silêncio | — |
Escreva sempre por escrito, deixando rasto: um e-mail é suficiente, um envio registado eletrónico é preferível em processos conflituosos. Guarde as respostas. Em caso de silêncio além do prazo, a queixa à CNIL é gratuita e faz-se em poucos minutos.
Para ir mais longe na mecânica jurídica, um guia prático do RGPD em formato de bolso torna o assunto bem menos opaco do que a leitura crua do regulamento, em especial quanto à distinção entre responsável pelo tratamento e subcontratante, que determina a quem dirigir os seus pedidos.
Parte 7 — A rotina em sete gestos
Para fazer uma vez e depois revisitar uma vez por ano:
- Reler o registo de acessos do Mon espace santé e bloquear os estabelecimentos com os quais já não tem qualquer ligação.
- Criar um endereço de e-mail dedicado à saúde, nunca utilizado noutro contexto.
- Auditar as aplicações instaladas: desinstalar as que já não servem, pedir o apagamento das contas associadas.
- Verificar os parâmetros de partilha do relógio ou da bracelete conectada.
- Recusar os questionários de saúde não obrigatórios, verificando primeiro se a lei Lemoine se aplica à sua situação.
- Arrumar as receitas em papel guardadas sem necessidade e destruir as que já não servem.
- Bloquear o acesso físico ao telemóvel que contém as suas aplicações de saúde: um código de seis dígitos no mínimo, biometria ativada, notificações ocultas no ecrã bloqueado.
Para os documentos que tem de guardar — relatórios de exames, radiografias, processos de seguro — uma bolsa de arquivo com fecho seguro numa gaveta fechada vale mais do que uma pilha em cima da secretária. A segurança física continua a ser o elo que negligenciamos por acreditarmos que tudo se decide online.
Conclusão: cuidar do corpo sem expor a pessoa
O sistema de saúde francês é, comparado com muitos outros, bastante protetor: sigilo médico com sanção penal, alojamento certificado, supervisão da CNIL, uma Assurance Maladie que não vê os seus diagnósticos. Não é aí que a fuga acontece.
Ela acontece na margem: no motivo de consulta demasiado preciso, na aplicação gratuita instalada num domingo, no cartão de fidelização da parafarmácia, no questionário do seguro de saúde preenchido sem ser lido, no relógio que envia ritmos cardíacos para um servidor cujo endereço desconhece.
A boa notícia é que essa margem se reduz sem qualquer esforço médico: nenhum dos gestos aqui descritos degrada a qualidade dos seus cuidados. Simplesmente restabelecem uma distinção que a digitalização apagou — a que existe entre o que o seu médico deve saber e o que o resto do mundo não tem razão alguma para vir a saber.
