Violação de dados no consultório de psicologia: o que fazer em 72 horas

Um relatório enviado por engano a outro paciente, um portátil roubado, um email invadido: tudo isto pode ser uma violação de dados pessoais. O RGPD faz então correr um prazo. Aqui fica como funciona para um consultório em Portugal e um plano de uma página.

Nota: este texto é informação geral e não aconselhamento jurídico. Quando um ponto depende da Ordem dos Psicólogos Portugueses ou da tua situação, dizemo-lo em vez de adivinhar.

O que conta como violação num consultório

Não é só pirataria. Uma violação de dados é uma violação da segurança que provoca a destruição, perda, alteração ou acesso não autorizado a dados pessoais, acidental ou ilícita. Exemplos: um relatório enviado para o email errado, um telemóvel ou portátil sem cifragem que se perde, uma caixa de correio partilhada que outra pessoa consegue ler, processos em papel deixados em local acessível, ou um fornecedor que te comunica que dados ficaram expostos.

O que dizem o artigo 33.º do RGPD e a CNPD

• Notificar a autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter conhecimento da violação. Se notificares depois, tens de justificar o atraso.
• Não é necessário notificar se for improvável que a violação resulte em risco para os direitos e liberdades das pessoas.
• Como notificar à CNPD. A CNPD indica que a notificação se faz através do formulário específico que disponibiliza no seu site (ligação na página da CNPD indicada nas fontes).
• O conteúdo da notificação inclui a natureza da violação, um ponto de contacto, as consequências prováveis e as medidas tomadas ou propostas.
• Documenta todas as violações, mesmo as que não notificas, nos termos do artigo 33.º, n.º 5: os factos, os efeitos e as medidas de reparação.
• Comunicação aos titulares, quando se verificarem os requisitos legais e as condições do artigo 34.º do RGPD.
• O subcontratante avisa-te sem demora injustificada depois de tomar conhecimento, para que cumpras o teu próprio prazo.

Um plano de uma página

1. Quem decide? Escreve um nome (e um substituto). Num consultório individual, és tu.
2. Regista o momento em que soubeste. As 72 horas contam desde o conhecimento: data, hora e como soubeste.
3. Limita o dano. Muda palavras-passe, revoga o acesso de dispositivos perdidos, pede ao destinatário que apague o email e o confirme.
4. Avalia o risco. Que dados, quantos pacientes, que sensibilidade (notas de sessão pesam mais do que a hora de uma marcação), estava tudo cifrado?
5. Decide e documenta. Notificar ou não, informar os pacientes ou não, e porquê.
6. Notifica e informa dentro do prazo, se necessário, em linguagem clara.
7. Aprende. O que teria evitado isto? Muda o processo, não só a palavra-passe.

Prevenir: o que mantém os incidentes pequenos

O artigo 32.º cita a cifragem e a capacidade de restabelecer o acesso aos dados em tempo útil após um incidente entre as medidas a considerar. Na prática:

• Dispositivos cifrados e com bloqueio de ecrã para tudo o que usas no trabalho.
• Fichas num sistema com controlo de acessos e registo de atividade, não em anexos de email.
• Verificação em dois passos no email e no software da clínica.
• Confirmar o destinatário antes de enviar algo sobre um paciente e não pôr nomes no assunto.
• Um fornecedor que se comprometa, no contrato de subcontratação, a avisar-te depressa de qualquer violação do lado dele.

O que este texto não decide

Saber se um incidente é «suscetível de implicar risco» é um juízo. Um lembrete de consulta enviado à pessoa errada e um relatório psicológico enviado à pessoa errada não têm a mesma gravidade. Em caso de dúvida, pede aconselhamento e regista como decidiste. Verifica também se o teu seguro de responsabilidade profissional ou ciber tem prazos próprios de participação.

Treina uma vez, antes de ser preciso

Um plano só funciona se o percorreres uma vez. Imagina um cenário fictício: enviaste um relatório para o endereço errado. Percorre os sete passos e regista quanto tempo demorou cada um e onde tiveste de procurar informação. Muitas vezes descobre-se que faltam os contactos do fornecedor, o endereço do formulário da CNPD ou a indicação de quem pode ajudar. Escreve esses dados na tua página e guarda uma cópia em papel num local que não dependa dos sistemas que podem falhar.

Fontes

Todas as páginas abaixo foram consultadas a 7 de novembro de 2026.

• CNPD: violação de dados ou data breach
• RGPD, artigo 33.º: notificação de uma violação de dados à autoridade de controlo (texto em inglês)
• RGPD, artigo 32.º: segurança do tratamento (texto em inglês)
• RGPD, artigo 28.º: subcontratante (texto em inglês)