4 min de leitura
À medida que os cuidados de saúde continuam a sua rápida transformação digital com dispositivos médicos conectados, plataformas de telemedicina, dispositivos de uso pessoal e Software as a Medical Device (SaMD), a proteção dos dados dos doentes tornou-se uma prioridade crítica. Além da conformidade regulamentar, a privacidade de dados desempenha agora um papel central na construção da confiança dos doentes e na garantia de uma prestação de cuidados de saúde ética. A Lei de Proteção de Dados Pessoais Digitais (DPDP) da Índia de 2023 estabelece um enquadramento abrangente para salvaguardar os dados pessoais digitais. Para os fabricantes de dispositivos médicos e empresas de saúde digital, a lei marca uma mudança significativa na forma como os dados dos doentes devem ser recolhidos, processados, armazenados e protegidos ao longo de todo o ciclo de vida do produto.
Porque é que a Lei DPDP é importante para os fabricantes de dispositivos médicos
Os dados de saúde estão entre as formas mais sensíveis de informação pessoal. Os dispositivos médicos modernos e as soluções de saúde digital capturam habitualmente dados altamente granulares — tais como sinais cardíacos, leituras de glicemia, dados de imagem e métricas de saúde comportamental — que podem revelar informações profundamente pessoais sobre os indivíduos. Embora os regulamentos existentes, como as Regras de Dispositivos Médicos (MDR) de 2017 e a Lei de Tecnologia da Informação de 2000, abordem a segurança dos dispositivos e a cibersegurança até certo ponto, a Lei DPDP reforça a responsabilização e introduz uma abordagem centrada no doente para a governação de dados.
Para os fabricantes de dispositivos médicos e fornecedores de software de saúde, a conformidade com a DPDP exige:
- A implementação de mecanismos robustos de proteção de dados e cibersegurança
- A obtenção do consentimento explícito e informado do doente para o processamento de dados
- A demonstração de privacidade desde a conceção em todo o desenvolvimento, implementação e atividades pós-comercialização do dispositivo
Âmbito da Lei DPDP nos cuidados de saúde
A Lei DPDP aplica-se a todos os dados pessoais digitais, quer sejam recolhidos diretamente em formato digital ou digitalizados numa fase posterior. No contexto dos cuidados de saúde e dos dispositivos médicos, isto inclui:
- Dados de doentes capturados por dispositivos de diagnóstico ou monitorização conectados
- Informação de saúde transmitida através de dispositivos médicos com capacidade na cloud
- Dados armazenados em plataformas de telemedicina ou sistemas de informação hospitalar
- Dados pessoais processados por software médico ativado por IA e aplicações de saúde móvel
Notavelmente, a lei aplica-se a entidades indianas e estrangeiras que ofereçam produtos ou serviços de saúde a indivíduos dentro da Índia, estendendo o seu alcance a todas as operações globais de tecnologia médica.
Principais funções definidas ao abrigo da Lei DPDP
A lei define claramente as responsabilidades em todo o ecossistema de dados:
- Titular dos dados: O indivíduo (paciente ou utilizador) cujos dados pessoais estão a ser objeto de tratamento
- Fiduciário de dados: A entidade que determina a finalidade e os meios do tratamento de dados (por exemplo, fabricantes de dispositivos médicos, hospitais, prestadores de cuidados de saúde)
- Subcontratante: Terceiros, tais como prestadores de serviços em nuvem ou fornecedores de TI, que realizam o tratamento de dados em nome de um fiduciário
- Fiduciário de Dados Significativo (SDF): Organizações que lidam com grandes volumes de dados pessoais sensíveis — incluindo frequentemente empresas de tecnologia médica, SaMD e de saúde digital
Obrigações Principais para Empresas de Dispositivos Médicos
Consentimento e Transparência
Antes de recolher ou tratar dados pessoais, o consentimento deve ser livre, informado, específico e inequívoco. O aviso fornecido aos pacientes deve explicar claramente:
- O tipo de dados que estão a ser recolhidos
- A finalidade do tratamento (por exemplo, diagnóstico, monitorização, investigação clínica)
- Prazos de retenção de dados
- Qualquer partilha ou transferência transfronteiriça de dados
Os pacientes também devem poder retirar o consentimento facilmente em qualquer fase.
Minimização de Dados e Limitação das Finalidades
As empresas de dispositivos médicos devem recolher apenas os dados necessários para a finalidade médica ou regulamentar prevista do dispositivo. Por exemplo, uma aplicação de diagnóstico não deve solicitar dados pessoais não relacionados, a menos que exista uma necessidade legítima e justificada.
Armazenamento e Retenção Segura de Dados
Os dados pessoais devem ser protegidos com recurso a salvaguardas técnicas e organizativas adequadas. Os dados devem ser retidos apenas durante o período necessário para fins clínicos, regulamentares ou legais, e apagados de forma segura assim que essas finalidades forem cumpridas, exceto se a retenção for obrigatória por lei.
Prevenção e Notificação de Violações
Os fabricantes devem implementar controlos de segurança robustos, tais como encriptação, gestão de acessos e monitorização contínua. Em caso de violação de dados, tanto o Data Protection Board of India (DPBI) como os indivíduos afetados devem ser notificados prontamente.
Proteção de Dados de Menores
Os dispositivos e aplicações concebidos para menores exigem consentimento parental verificável e devem evitar o rastreio, a criação de perfis ou a análise direcionada que envolva crianças.
Direitos dos Pacientes e Utilizadores
A Lei DPDP confere aos pacientes um maior controlo sobre os respetivos dados pessoais, incluindo o direito de:
- Aceder a informações sobre a forma como os seus dados são tratados
- Solicitar a correção ou o apagamento de dados inexatos ou desatualizados
- Retirar o consentimento a qualquer momento
- Nomear um representante em caso de morte ou incapacidade
Para apoiar estes direitos, os fabricantes de dispositivos médicos devem implementar interfaces digitais fáceis de utilizar, mecanismos de resolução de reclamações ou balcões de atendimento dedicados.
Foco especial: Software como Dispositivo Médico (SaMD)
No caso do SaMD e das soluções de saúde digital impulsionadas por IA, a conformidade com a DPDP vai para além da proteção básica de dados, abrangendo a utilização responsável de dados e a transparência algorítmica. As principais Considerações incluem:
- Manter a rastreabilidade e a documentação dos dados utilizados no desenvolvimento de software e no treino de modelos de IA
- Utilizar conjuntos de dados anonimizados ou pseudonimizados sempre que possível
- Garantir que o consentimento abrange qualquer utilização secundária ou subsequente de dados de pacientes
- Integrar os princípios de privacidade nos processos do ciclo de vida do software, em conformidade com a norma IEC 62304 e os referenciais de cibersegurança
Fiscalização e Coimas
A Lei DPDP autoriza o Data Protection Board of India a monitorizar o cumprimento, investigar infrações e aplicar coimas. O incumprimento pode resultar em coimas que chegam a atingir 250 crores de rupias, dependendo da gravidade e da natureza da infração.
Para os fabricantes de dispositivos médicos, isto evidencia a importância de integrar controlos de proteção de dados nos Sistemas de Gestão da Qualidade (QMS), nos controlos de conceção e nos processos de gestão de riscos.
Integração da Conformidade com a DPDP no Ecossistema Regulamentar de Dispositivos Médicos
Os requisitos da DPDP alinham-se estreitamente com as normas de qualidade e de dispositivos médicos existentes, incluindo:
- Medical Device Rules (MDR), 2017 – segurança, desempenho e vigilância pós-comercialização
- ISO 13485 – sistemas de gestão da qualidade para dispositivos médicos
- IEC 62304 – processos do ciclo de vida do software de dispositivos médicos
- ISO 14971 – gestão de riscos para dispositivos médicos
Ao integrar a conformidade com a DPDP nestes referenciais, os fabricantes conseguem um alinhamento regulamentar holístico, reforçam a preparação para auditorias e reduzem os riscos de conformidade.
Na Freyr Solutions, apoiamos empresas de dispositivos médicos e de saúde digital no alinhamento com a Digital Personal Data Protection Act (DPDP Act), 2023, garantindo simultaneamente uma integração harmoniosa com os regulamentos de dispositivos médicos existentes e os referenciais globais de proteção de dados.
