Proteção de dados de pacientes na Espanha: guia LOPDGDD 3/2018 e RGPD para clínicas dentárias

Uma clínica dentária que opera na Espanha lida com dados de categoria especial todos os dias: nomes de pacientes, datas de nascimento, diagnósticos, tomografias CBCT e radiografias. Esses dados estão protegidos por um dos marcos regulatórios mais rigorosos do mundo. Uma única violação mal gerida pode custar até 20 milhões de euros ou 4 por cento do faturamento global anual do responsável.

Este artigo explica o que diz a Lei Orgânica 3/2018 de Proteção de Dados Pessoais e Garantia dos Direitos Digitais (LOPDGDD), como ela se articula com o Regulamento Geral sobre Proteção de Dados (UE 2016/679, RGPD) e a Lei 41/2002 de Autonomia do Paciente, e como o CBCTHub cumpre cada exigência técnica para que seu centro de radiologia não precise reinventar a roda. Brasileiros que comparam com a LGPD vão reconhecer muitos conceitos: a LOPDGDD foi a inspiração direta de vários artigos da Lei 13.709/2018.

A LOPDGDD 3/2018 em poucas palavras

A LOPDGDD é a lei espanhola que desenvolve e complementa o RGPD europeu. Entrou em vigor em 7 de dezembro de 2018 e aplica-se a qualquer tratamento de dados pessoais realizado em território espanhol, incluindo dados de saúde. Os dados de saúde são dados de categoria especial segundo o artigo 9 do RGPD, o que significa que o tratamento está proibido por padrão e só se permite com base legal específica (consentimento explícito, assistência sanitária, interesse vital, etc.).

Marco regulatório aplicável a uma clínica dentária

• RGPD (Regulamento UE 2016/679): base europeia, define princípios e direitos universais.
• LOPDGDD 3/2018: desenvolvimento nacional, adiciona direitos digitais e detalha o regime sancionatório.
• Lei 41/2002: regula o prontuário, o consentimento informado e os prazos mínimos de conservação (cinco anos a partir da alta).
• Real Decreto 1720/2007: parcialmente revogado, mas referência para medidas de segurança em prontuário.
• Código Deontológico dos Colégios Oficiais de Odontólogos: reforça o sigilo profissional.

O que a lei exige sobre os dados do paciente

Consentimento informado e base jurídica

Antes de tratar dados de saúde, o responsável deve identificar uma base jurídica do artigo 6 do RGPD e uma exceção do artigo 9.2. Para uma tomografia CBCT, normalmente combinam-se duas: o consentimento explícito do paciente (artigo 9.2.a) e a assistência sanitária (artigo 9.2.h). O consentimento deve ser livre, específico, informado e inequívoco, e deve poder ser retirado com a mesma facilidade com que foi concedido.

Direitos do titular: acesso, retificação, eliminação, oposição, portabilidade

O paciente pode pedir a qualquer momento cópia dos seus dados, sua correção, sua eliminação (direito ao esquecimento), opor-se a tratamentos concretos ou exigir sua portabilidade em formato estruturado. A clínica deve responder em um prazo máximo de um mês, ampliável a três em casos complexos.

Segurança técnica e organizativa (artigo 32 RGPD)

Responsável e operador devem aplicar medidas técnicas e organizativas apropriadas: criptografia e pseudonimização, capacidade de garantir confidencialidade, integridade, disponibilidade e resiliência, restauração do acesso após incidente e processo de verificação regular. Para dados de saúde, a AEPD recomenda nível alto.

Notificação de violações em 72 horas

Qualquer violação de segurança que afete dados pessoais deve ser notificada a Agência Espanhola de Proteção de Dados em um prazo de 72 horas. Se o risco para os direitos do paciente for alto, também deve ser comunicado aos afetados sem demora indevida.

Transferências internacionais

Transferir dados para fora do Espaço Econômico Europeu só é legal com decisão de adequação (por exemplo, EUA sob o Data Privacy Framework), Clausulas Contratuais Tipo ou normas corporativas vinculantes. Se seu provedor cloud hospeda servidores fora da UE, você deve documentar a garantia adotada.

Encarregado de Proteção de Dados (DPO)

O artigo 37 do RGPD obriga a designar DPO quando o tratamento principal consista em operações em grande escala de categorias especiais de dados. A AEPD interpreta que qualquer centro sanitário que trate dados de vários milhares de pacientes está obrigado. A nomeação se comunica a AEPD via portal eletrônico.

Registro de atividades de tratamento

Toda clínica deve manter um registro escrito ou eletrônico de suas atividades de tratamento (RAT). É o primeiro documento que a AEPD pede em uma inspeção.

Conservação e prazos

A Lei 41/2002 fixa um mínimo de cinco anos a partir da alta, mas várias comunidades autônomas ampliam a quinze anos para imagem diagnóstica. Vencido o prazo, os dados devem ser eliminados ou anonimizados de forma irreversível.

Sanções por descumprimento

• Infrações leves: até EUR 40.000 (LOPDGDD art. 74).
• Infrações graves: até EUR 300.000 (art. 73) ou 2 por cento do faturamento global anual.
• Infrações muito graves: até EUR 20 milhões ou 4 por cento do faturamento global anual (art. 83.5 RGPD).
• Publicação no Diário Oficial espanhol da decisão em infrações muito graves.

Riscos concretos para um centro de radiologia dentária

O pendrive esquecido na recepção, o CD entregue ao paciente errado, o email com a tomografia anexada sem criptografia, o backup exposto em um NAS sem senha. Todos são cenários reais sancionados pela AEPD. Em 2023, uma clínica espanhola foi multada em EUR 70.000 por enviar resultados clínicos sem criptografia para um endereço errado.

Como o CBCTHub ajuda você a cumprir a LOPDGDD e o RGPD

Criptografia em trânsito e em repouso

Todas as conexões ao CBCTHub usam HTTPS com TLS 1.3. O armazenamento de DICOM acontece no Cloudflare R2 com criptografia AES-256 em repouso. As senhas são armazenadas com bcrypt e os tokens de sessão são JWT assinados.

Controle de acesso por PIN e links únicos

Cada exame gera uma URL única com identificador opaco e, opcionalmente, um PIN de quatro a seis dígitos. Ninguém pode acessar um estudo adivinhando a URL. A página pública da clínica exige PIN obrigatório para revelar o exame.

Audit log de todos os acessos

Cada abertura do visualizador fica registrada com timestamp, IP e exam_id. O responsável pode exportar o log no painel da clínica em /dashboard/ajustes para responder a uma inspeção da AEPD ou demonstrar diligencia diante de uma reclamação.

Consentimento informado integrado

O CBCTHub inclui modelos legais adaptados por país e por idioma. Gera o documento, envia ao paciente por email, recolhe a assinatura eletrônica com verificação pública e arquiva vinculado ao exame. Atende aos requisitos do artigo 7 do RGPD e da Lei 41/2002.

Expiração automática de links

A clínica configura a validade do link compartilhado: 24 horas, 7 dias, 90 dias ou personalizado. Por padrão os links expiram e o destinatário externo perde o acesso. Esse controle apoia o principio de minimização do artigo 5 do RGPD.

Direito ao esquecimento e exclusão segura

O endpoint DELETE /api/v1/exams/{id} remove o exame e todos os DICOM associados em R2 de forma irreversível. Atende ao direito de eliminação do artigo 17 do RGPD e da Lei 41/2002.

Portabilidade de dados (artigo 20 RGPD)

O endpoint /api/account/export-data permite a clínica ou ao paciente baixar todos os seus dados em JSON estruturado. Cumpre o direito de portabilidade sem intervenção manual.

Acordo de tratamento de dados (DPA)

O CBCTHub assina um DPA com cada clínica do EEE sob as Clausulas Contratuais Tipo da Comissão Europeia. O modelo está disponível para download em /privacidad e cumpre os requisitos do artigo 28 do RGPD.

Localização do servidor

Os dados das clínicas europeias são hospedados em regiões do EEE (Frankfurt, Madrid) quando o plano permite. As transferências auxiliares aos EUA (Resend, Stripe) são amparadas pelo Data Privacy Framework.

RLS multi-tenant no Supabase

Cada clínica só acessa seus próprios dados via Row Level Security do Supabase. Nem a equipe do CBCTHub pode ver dados de pacientes sem autorização expressa: o acesso da equipe fica registrado e notificado.

Checklist de conformidade LOPDGDD para seu centro

• Designar Encarregado de Proteção de Dados e comunicar a AEPD.
• Manter Registro de Atividades de Tratamento atualizado.
• Assinar DPA com o CBCTHub e com todos os operadores.
• Modelo de consentimento informado vigente e revisado por advogado.
• Procedimento documentado de resposta aos direitos do titular.
• Plano de resposta a incidentes com prazo de 72 horas.
• Política de retenção segundo Lei 41/2002 e normativa autonômica.
• Treinamento anual da equipe em proteção de dados.
• Auditoria bienal de segurança.

FAQ

Posso enviar tomografias por Gmail ou WhatsApp?

Não diretamente. Gmail e WhatsApp não cumprem os requisitos do artigo 32 do RGPD para dados de saúde porque não garantem criptografia ponta-a-ponta verificável nem controle de acesso adequado. O correto e enviar um link seguro gerado pelo CBCTHub.

Por quanto tempo devo conservar a tomografia?

Mínimo cinco anos a partir da alta segundo a Lei 41/2002, até quinze em algumas comunidades autônomas. Para imagem diagnóstica de implantes muitas clínicas conservam por toda a vida útil do implante.

O que acontece se eu perder um disco com dados de pacientes?

Você tem 72 horas para notificar a AEPD e, se o risco for alto, comunicar aos pacientes afetados. Não notificar é uma infração muito grave com sanção de até EUR 20 milhões.

Preciso assinar algo com o CBCTHub?

Sim. O artigo 28 do RGPD obriga a assinar um contrato de tratamento de dados. O CBCTHub o fornece como modelo para download em /privacidad.

Recursos oficiais

• Agência Espanhola de Proteção de Dados (AEPD)
• LOPDGDD 3/2018 no BOE
• Regulamento UE 2016/679 (RGPD)
• Lei 41/2002 de Autonomia do Paciente

Baixe o modelo DPA do CBCTHub | Nossa solução para centros de radiologia | Planos e preços

Este artigo é informativo e não constitui assessoria legal. Consulte um advogado especializado em proteção de dados para o seu caso específico.