Lei, diretiva e anexos: como tudo se articula
A lei em si não contém pormenores técnicos. O § 390 SGB V incumbe a Associação Federal dos Médicos Convencionados e a Associação Federal dos Médicos Dentistas Convencionados de fixar os requisitos numa diretiva, em concertação com o BSI e articulada com outras entidades. A diretiva tem de ser adaptada ao estado da técnica e é, por isso, atualizada regularmente. Para consultórios médicos e de psicoterapia aplica-se a diretiva da KBV; para consultórios de medicina dentária, a da KZBV. Ambas seguem a mesma ideia de base, mas diferem na estrutura e nos pormenores. O que conta é sempre a versão da sua associação federal.
A diretiva da KBV divide-se num texto principal e em anexos. Os anexos contêm os requisitos propriamente ditos, escalonados por tipo de consultório: o que se aplica a todos os consultórios, o que acresce nos consultórios médios e o que os grandes consultórios têm de cumprir adicionalmente. Outros anexos dizem respeito aos grandes equipamentos médicos e aos componentes descentralizados da infraestrutura telemática. Os requisitos são cumulativos; um grande consultório cumpre, portanto, também todos os requisitos dos tipos menores.
A última versão revista da KBV entrou em vigor em 1 de abril de 2025, e os novos requisitos tinham de ser implementados no prazo de seis meses. Os focos da revisão são a sensibilização e a formação da equipa do consultório, as cópias de segurança e a configuração segura do e-mail. O Sightadel reproduz os requisitos em 49 controlos e mostra apenas os que se aplicam ao perfil do seu consultório. Quando surge uma nova versão, os controlos são adaptados e as suas evidências anteriores mantêm-se.
Que tipo de consultório é o seu?
O enquadramento é o primeiro e mais importante passo, porque determina quantos requisitos se aplicam. O decisivo não é o número total de trabalhadores nem o volume de horas, mas o número de pessoas permanentemente encarregadas do tratamento de dados de doentes. Contam tanto os médicos como os assistentes na receção. O pessoal de limpeza sem acesso aos sistemas não conta.
Até cinco destas pessoas, trata-se de um consultório na aceção da diretiva. Com seis a vinte pessoas, é um consultório médio. Acima disso, ou quando os dados são tratados em volume considerável, por exemplo em grandes centros médicos (MVZ) ou laboratórios, é um grande consultório. Independentemente disso, acrescem os anexos para grandes equipamentos e componentes telemáticos, se os utilizar.
No Sightadel, define estes dados no perfil do consultório. Daí resulta automaticamente que controlos aparecem. Se a dimensão mudar, por exemplo com novos colegas ou uma fusão, ajusta o perfil e os requisitos adicionais ficam visíveis como pontos em aberto. Registe a fundamentação do seu enquadramento, para que seja compreensível mais tarde.
Custos e esforço para o consultório
Para o § 390 SGB V não existe preço de tabela no Sightadel. O preço depende do tipo de consultório e do âmbito e é proposto a pedido. Os prestadores de serviços de TI que assistem vários consultórios recebem uma proposta própria. Pode experimentar o Sightadel durante 14 dias sem dados de pagamento; tudo o que criar passa para o plano pago.
Os custos maiores surgem normalmente na tecnologia e no prestador. Rubricas típicas são uma firewall adequada, a substituição de equipamentos antigos sem suporte do fabricante, cópias de segurança com uma cópia fora da rede do consultório, a cifragem de equipamentos e suportes de dados e o tempo de trabalho do prestador de serviços de TI para configuração e documentação. Estes custos são faturados diretamente pelos respetivos fornecedores. Se procura uma firewall de hardware, fale connosco sobre o pacote adequado.
O esforço interno no consultório é razoável, se for planeado: uma pessoa responsável que acompanha o estado, um levantamento em conjunto com o prestador, uma instrução da equipa e a revisão periódica. O que costuma ser subestimado é o tempo necessário para obter as evidências do prestador. Um acesso próprio para o prestador no Sightadel encurta esse caminho.
Responsabilidade, proteção de dados e consequências das lacunas
A diretiva em si não contém um regime próprio de coimas, e não está prevista uma fiscalização regular dos consultórios pelas associações regionais de médicos convencionados. Concluir daí que a obrigação não é vinculativa seria um erro. A diretiva é vinculativa para os consultórios médicos e de medicina dentária que prestam cuidados no âmbito do seguro de saúde público e concretiza o que se considera segurança adequada.
Isto torna-se relevante sobretudo após um incidente. Se um consultório for vítima de cifragem maliciosa ou se dados de doentes caírem em mãos erradas, a autoridade de controlo da proteção de dados verifica se tinham sido tomadas medidas técnicas e organizativas adequadas nos termos do art. 32.º do RGPD. A diretiva é para isso uma referência óbvia. A isto juntam-se possíveis obrigações de notificação nos termos do RGPD, pretensões de doentes, questões de sigilo médico e, eventualmente, consequências perante as seguradoras.
Pelo contrário, quem consegue demonstrar que os requisitos estavam implementados, as cópias de segurança testadas e a equipa instruída fica em melhor posição em cada uma destas conversas. Por isso compensa ter um estado de evidências organizado e datado. A avaliação jurídica no caso concreto deve ser feita com o seu consultor jurídico ou com a sua ordem profissional; o Sightadel não presta aconselhamento jurídico.
Colaboração com o prestador de serviços de TI
A maioria dos consultórios não implementa a diretiva sozinha, mas com um prestador de serviços de TI ou com o fornecedor do seu software de gestão do consultório. Isso faz sentido, mas não transfere a responsabilidade. Responsável continua a ser o titular do consultório. Por isso, é importante uma divisão clara: o que o prestador configura, o que documenta e o que o próprio consultório tem de fazer, como instruções, plano de emergência e regras de acesso.
A KBV certifica prestadores de serviços de TI que apoiam os consultórios na implementação. Um prestador certificado conhece os requisitos. A certificação diz, porém, respeito ao prestador, não ao seu consultório, e não substitui uma evidência própria. Pergunte que controlos o prestador assume e que evidências lhe entrega.
No Sightadel, o prestador recebe um acesso próprio. Regista o conjunto de regras da firewall, os níveis de atualização, os registos de cópias de segurança e o inventário de equipamentos diretamente nos controlos correspondentes. Vê a qualquer momento o que está feito e o que falta. Se um prestador assistir vários consultórios, trabalha em todos com a mesma estrutura. Um acordo de subcontratação com o prestador também faz parte das evidências.
Manter o estado: revisão periódica no dia a dia do consultório
Muitos requisitos não são tarefas pontuais. As atualizações têm de ser instaladas continuamente, as cópias de segurança testadas regularmente, os novos trabalhadores instruídos e as contas dos que saem bloqueadas. Se a tecnologia mudar, por exemplo com um novo grande equipamento, um novo conector ou uma mudança de instalações, a rede e a documentação têm de ser atualizadas.
Um ritmo fixo tem dado bons resultados. Mensalmente, o prestador verifica as atualizações e as cópias de segurança; trimestralmente, testa-se uma recuperação por amostragem; anualmente, a equipa é instruída, a documentação de emergência atualizada e o estado global revisto. Para consultórios maiores, está expressamente prevista uma revisão anual.
No Sightadel, cada evidência tem uma data de validade. Quando expira, o Sightadel lembra a pessoa responsável e o prestador antes de surgir uma lacuna. A folha de evidências com o estado atual pode ser gerada, assinada e arquivada a qualquer momento. Quando a diretiva é atualizada, vê que controlos foram acrescentados.
Quem quer ir além do mínimo obrigatório, por exemplo um grande centro médico que possa ficar abrangido pela NIS2, constrói sobre as mesmas evidências. A firewall, as cópias de segurança, o plano de emergência e a instrução contam no Sightadel também para o RGPD, a NIS2 e a ISO 27001, sem serem arquivados em duplicado.
