Alojamento de dados de saúde para psicólogos: HDS e RGPD

O sítio da My International Therapy, o seu painel para terapeutas e os respetivos dados estão alojados na Amazon Web Services (AWS), na região Europa (Estocolmo, Suécia). Na sua página pública, a AWS indica deter a certificação HDS (em francês «hébergeur de données de santé», referencial versão 2) para as seis atividades do referencial e coloca Estocolmo entre as regiões abrangidas. A certificação diz respeito ao fornecedor de alojamento, não à My International Therapy.

Esta página destina-se a psicólogos, psicoterapeutas e terapeutas que querem saber como são alojados os dados dos seus pacientes. A HDS é uma certificação francesa e não é uma obrigação em Portugal. A página explica o que é a HDS, que regras contam em Portugal em seu lugar, o que inclui o alojamento da My International Therapy e como pode verificar por si um fornecedor de alojamento. Dá informação geral e não substitui aconselhamento jurídico.

O que é a certificação HDS

HDS significa «hébergeur de données de santé», o termo francês para um fornecedor de alojamento de dados de saúde. O artigo L.1111-8 do Código da Saúde Pública francês regula o alojamento de dados pessoais de saúde recolhidos por ocasião da prevenção, do diagnóstico, dos cuidados ou do acompanhamento social e médico-social, quando é feito por conta de quem produz esses dados ou do paciente. Quem aloja esses dados em suporte digital tem de possuir um certificado de conformidade emitido por um organismo de certificação acreditado. O referencial em vigor, a «versão 2», foi aprovado pela portaria de 26 de abril de 2024 e publicado no Jornal Oficial francês em 16 de maio de 2024. O procedimento está descrito no sítio da Agência francesa de Saúde Digital (ANS).

As seis atividades do referencial

O referencial distingue seis atividades de alojamento. Um fornecedor de alojamento está certificado para todas ou para parte delas:

disponibilização e manutenção dos locais físicos;
disponibilização e manutenção da infraestrutura de hardware;
disponibilização e manutenção da infraestrutura virtual;
disponibilização e manutenção da plataforma de alojamento de aplicações;
administração e exploração do sistema de informação que contém os dados de saúde;
cópia de segurança externalizada.

O que a certificação não cobre

A certificação diz respeito ao fornecedor de alojamento e ao seu âmbito. Não certifica um programa informático, um consultório nem um terapeuta. O operador de uma plataforma que recorre a um fornecedor de alojamento certificado continua responsável pela utilização que faz dessa infraestrutura, e o terapeuta continua responsável pelos dados dos seus pacientes nos termos do RGPD. A AWS lembra-o também: segundo o seu modelo de responsabilidade partilhada, cada cliente avalia as suas próprias obrigações.

A HDS é exigida em Portugal?

A HDS é direito francês. A legislação portuguesa não impõe a escolha de um fornecedor de alojamento certificado HDS. Para um consultório em Portugal contam o RGPD, a Lei n.º 58/2019, o sigilo profissional e as regras da ordem profissional.

O certificado tem, ainda assim, utilidade: é uma prova verificável publicamente de que um fornecedor de alojamento cumpre um referencial exigente para dados de saúde. Se atende pacientes em França ou aí tem estabelecimento, convém verificar também se o direito francês é relevante. Quem o pode esclarecer é a ANS, a autoridade francesa de proteção de dados (CNIL) ou um consultor jurídico. Tanto quanto sabemos, nenhum organismo oficial esclareceu expressamente como a obrigação HDS afeta psicólogos e psicoterapeutas.

Que regras contam em Portugal

RGPD: dados relativos à saúde (artigos 4.º e 9.º)

Segundo o artigo 4.º, ponto 15, do RGPD, os dados relativos à saúde são os que dizem respeito à saúde física ou mental de uma pessoa. Uma psicoterapia diz respeito à saúde mental e cabe nessa definição. O artigo 9.º proíbe, em princípio, o tratamento desses dados e permite-o para fins de cuidados de saúde quando é realizado por um profissional sujeito a sigilo profissional (artigo 9.º, n.º 2, alínea h, e n.º 3).

Para o seu fornecedor de alojamento ou o seu programa de gestão de consultório, isso significa: um contrato de subcontratação (artigo 28.º), um registo das atividades de tratamento (artigo 30.º) e medidas de segurança adequadas ao risco (artigo 32.º).

Lei n.º 58/2019: o artigo 29.º

Em Portugal, a Lei n.º 58/2019 assegura a execução do RGPD. O seu artigo 29.º trata do tratamento de dados de saúde e prevê, entre outros pontos:

o acesso aos dados pessoais rege-se pelo princípio da necessidade de conhecer a informação (n.º 1);
nos casos das alíneas h) e i) do n.º 2 do artigo 9.º do RGPD, o tratamento deve ser feito por um profissional obrigado a sigilo ou por outra pessoa sujeita a dever de confidencialidade, devendo ser garantidas medidas adequadas de segurança da informação (n.º 2);
os prestadores de serviços do responsável pelo tratamento de dados de saúde e os profissionais de saúde que tenham acesso a esses dados estão obrigados a um dever de sigilo (n.º 4).

Sigilo profissional

O sigilo profissional não muda consoante o fornecedor escolhido. Como se aplica à sua atividade, verifique-o junto da sua ordem profissional ou de um consultor jurídico.

Onde estão alojados os seus dados com a My International Therapy

Amazon Web Services, região Europa (Estocolmo)

O sítio da My International Therapy, o painel dos terapeutas e os seus dados estão alojados na Amazon Web Services, na região Europa (Estocolmo), na Suécia, ou seja, na União Europeia. Na sua página pública sobre a HDS, a AWS indica deter a certificação HDS versão 2 para as seis atividades e coloca Estocolmo entre as regiões do Espaço Económico Europeu elegíveis para as seis. Precisa que as atividades 1, 2 e 6 (locais físicos, infraestrutura de hardware, cópia de segurança externalizada) exigem um armazenamento exclusivamente dentro desse espaço. O aviso legal do sítio indica a entidade contratante do fornecedor de alojamento.

O que inclui o alojamento

a base de dados e os discos estão cifrados em repouso, e a base de dados não é acessível publicamente;
o sítio e o painel são servidos por HTTPS;
são feitas cópias de segurança automáticas todas as noites, conservadas durante sete dias;
as ações de administração da conta de alojamento são registadas;
os terapeutas iniciam sessão com uma palavra-passe e podem acrescentar, a título facultativo, uma chave de segurança (WebAuthn).

O que faz o painel

O painel reúne o perfil público do terapeuta, a agenda e as disponibilidades, a marcação em linha pelo paciente, a videoconsulta com uma ligação de sessão assinada e sem gravação, uma ficha por paciente com notas privadas que o paciente nunca vê, as mensagens, os pagamentos e as faturas. Os pacientes dispõem de um espaço próprio para marcar, acompanhar as suas consultas e comunicar com o seu terapeuta. Para conhecer a plataforma, consulte o diretório de terapeutas ou junte-se a nós como terapeuta.

O que esta página não diz

A certificação HDS diz respeito ao fornecedor de alojamento. A My International Therapy não se apresenta como «certificada HDS».
Alguns serviços complementares, como a videoconsulta, o pagamento em linha ou o envio dos e-mails de notificação, recorrem a outros fornecedores. Não são cobertos pela certificação do fornecedor de alojamento e esta página não descreve onde estão alojados.
O alojamento situa-se na Suécia, não em França, e a AWS pertence a um grupo norte-americano. Segundo a página pública da AWS, a versão 2 do referencial reforça as exigências de transparência sobre os subcontratantes ulteriores e sobre a eventual exposição a legislações não europeias.

Como verificar um fornecedor de alojamento

Quer escolha a My International Therapy, quer outra ferramenta, a verificação demora poucos minutos.

Peça ao editor da ferramenta o nome exato do fornecedor de alojamento, a entidade que contrata consigo e o local onde os dados são armazenados.
Exija um contrato de subcontratação nos termos do artigo 28.º do RGPD e peça a lista dos subcontratantes ulteriores.
Verifique se o contrato prevê um dever de sigilo ou de confidencialidade para o pessoal do editor e do fornecedor de alojamento.
Se a ferramenta se apresentar como HDS, procure a entidade indicada na lista pública de fornecedores de alojamento certificados da ANS. Confirme a versão do referencial (versão 2.0), as atividades cobertas e o organismo de certificação. Se o nome do seu contrato não constar, pergunte qual a entidade do grupo que está certificada.
A menção «conforme HDS» num programa só tem significado se o fornecedor de alojamento ou o editor constar da lista da ANS.

Perguntas frequentes

O que é a certificação HDS?

É o certificado de conformidade de que, em França, precisa quem aloja em suporte digital dados pessoais de saúde recolhidos por ocasião da prevenção, do diagnóstico, dos cuidados ou do acompanhamento social e médico-social (artigo L.1111-8 do Código da Saúde Pública francês). É emitido por um organismo de certificação acreditado, com base num referencial aprovado por portaria.

Um psicólogo em Portugal precisa de um fornecedor de alojamento certificado HDS?

A HDS é direito francês e a legislação portuguesa não impõe essa obrigação. Para o seu consultório contam o RGPD, a Lei n.º 58/2019 e o sigilo profissional. Se atende pacientes em França ou aí tem estabelecimento, esclareça também a situação junto da ANS, da CNIL ou de um consultor jurídico.

Que regras se aplicam aos dados de saúde em Portugal?

O RGPD, em particular os artigos 4.º, 9.º, 28.º, 30.º e 32.º, e a Lei n.º 58/2019, cujo artigo 29.º prevê que o tratamento de dados de saúde seja feito por um profissional obrigado a sigilo ou por outra pessoa sujeita a dever de confidencialidade, com medidas adequadas de segurança da informação.

Onde estão alojados os dados da My International Therapy?

Na Amazon Web Services, região Europa (Estocolmo), na Suécia. A AWS indica na sua página pública deter a certificação HDS versão 2 para as seis atividades, constando Estocolmo entre as regiões elegíveis.

A My International Therapy tem certificação HDS?

A certificação HDS diz respeito ao fornecedor de alojamento, a Amazon Web Services, e não à My International Therapy. A plataforma utiliza esse alojamento e não se apresenta como certificada HDS.

Como verifico um fornecedor de alojamento de dados de saúde?

Peça o nome exato do fornecedor de alojamento e o local de armazenamento, exija um contrato de subcontratação nos termos do artigo 28.º do RGPD e verifique o dever de sigilo. Se a ferramenta se apresentar como HDS, procure o fornecedor de alojamento na lista pública da ANS.

A certificação HDS substitui o RGPD?

Não. A HDS diz respeito ao fornecedor de alojamento. O RGPD aplica-se além disso ao terapeuta, como responsável pelo tratamento: a exceção do artigo 9.º para os cuidados de saúde, o contrato de subcontratação (artigo 28.º), as medidas de segurança (artigo 32.º) e o registo das atividades de tratamento (artigo 30.º).

Existe uma certificação equivalente fora de França?

A HDS é uma particularidade francesa. Nos outros países da União Europeia aplica-se o RGPD com normas nacionais. Em Portugal, essas normas são sobretudo a Lei n.º 58/2019, cujo artigo 29.º trata do tratamento de dados de saúde.

Fontes oficiais

Para terapeutas

É terapeuta e quer saber mais sobre a plataforma? Consulte o diretório de terapeutas ou junte-se à My International Therapy.

Alojamento de dados de saúde para psicólogos e terapeutas: HDS, RGPD e regras em Portugal