O consentimento é a parte de um produto de saúde que ninguém quer construir e sobre a qual todos são auditados. "O utilizador marcou uma caixa no registo" não satisfaz o Artigo 9.º do RGPD, não sobrevive a uma revisão de proteção de dados e não permite que uma pessoa retire o acesso de uma aplicação sem eliminar a sua conta. Este guia descreve o que uma plataforma de consentimento do paciente tem de fazer e como a Plataforma Anpheros o faz, para que possa reutilizá-la em vez de a reconstruir.
Versão técnica para programadores: Plataforma de consentimento do paciente · Consentimento em developers.anpheros.com, com pedidos, respostas e limites. Esta página é a versão em linguagem simples.
Consentimento como um objeto, não um sinalizador
Na Anpheros, um consentimento é uma concessão: uma pessoa, uma aplicação, um conjunto de âmbitos, um propósito, uma expiração. É criado quando a pessoa aprova o acesso na página de consentimento, é listado onde a pessoa o pode ver e pode ser revogado a qualquer momento. As leituras são verificadas contra ele em cada pedido.
- Âmbitos dizem o que a aplicação pode ler ou escrever: observações, condições, medicamentos, alergias, documentos, etc., opcionalmente restritos por categoria (por exemplo, resultados de laboratório, mas não sintomas).
- Duração é escolhida pela pessoa: 30, 90, 180 ou 365 dias. Não existe "para sempre".
- Revogação entra em vigor no próximo pedido. A aplicação recebe um webhook
consent.revoked. - Propósito é registado com a concessão e mostrado à pessoa.
Como uma aplicação pede
Através do OAuth 2.1 com PKCE, com lançamento autónomo SMART on FHIR para aplicações que já falam SMART. A pessoa inicia sessão, vê qual a aplicação que está a pedir, quais os âmbitos e por quanto tempo, e aprova ou recusa. A aplicação recebe um token limitado a esse paciente e a esses âmbitos; uma chave de projeto nunca substitui o consentimento de uma pessoa.
GET https://platform.anpheros.com/oauth/authorize?client_id=…&scope=patient/Observation.read …
POST https://platform.anpheros.com/oauth/token
Os tokens de acesso duram 30 minutos, os tokens de atualização 30 dias. Os documentos de descoberta estão em /.well-known/oauth-authorization-server e /.well-known/smart-configuration.
O que o paciente vê
GET /me/patients/{id}/grants lista todas as aplicações com acesso, os seus âmbitos e expiração. …/grants/{grant}/access-log lista o que cada uma leu ou escreveu, sob o consentimento e com a chave própria do projeto. Com format=fhir, o registo regressa como um Bundle de recursos FHIR R4 AuditEvent moldado segundo os Padrões de Registo de Auditoria Básicos IHE. Na Anpheros Daily, este é o ecrã "Ligações"; a sua própria aplicação pode mostrar o mesmo.
Leituras versus escritas
Com consentimento, uma organização vê o registo completo, incluindo o que outras clínicas escreveram, mas só pode alterar ou eliminar o que escreveu. Cada versão de cada recurso regista o projeto que a escreveu; uma escrita por outro projeto é recusada com uma explicação. Cada escrita produz um recurso Provenance que nomeia a aplicação, a organização em nome da qual agiu e a pessoa.
Agentes de IA propõem, a pessoa decide
Uma escrita feita sob o consentimento de uma pessoa por uma aplicação registada como agente de IA não é aplicada de imediato. A plataforma valida-a e responde com 202 Accepted com um ID de proposta; nada muda no registo. A pessoa vê a proposta, o que é e qual a aplicação que a enviou, e aceita-a ou rejeita-a. Uma proposta aceite é escrita exatamente como foi enviada e marcada como escrita por IA. É assim que um assistente ligado através do MCP pode ajudar a preencher um registo sem nunca escrever nele sem supervisão.
Partilha sem uma aplicação: Ligações SMART de Saúde
Uma pessoa pode também partilhar o seu registo por QR ou ligação. POST /me/patients/{id}/shl cria uma Ligação SMART de Saúde para o subconjunto de emergência (alergias, medicamentos, problemas, imunizações) ou o Resumo Internacional Completo do Paciente, com uma palavra-passe e expiração opcionais. Cada abertura está no registo de acesso, e a ligação pode ser desativada de imediato. Qualquer leitor de Ligação SMART de Saúde pode abri-la.
O modelo completo, com todas as regras, está em developers.anpheros.com/guides/consent-model.
Perguntas frequentes
O consentimento é armazenado como um recurso FHIR Consent?
A concessão é o objeto operacional verificado em cada pedido; o registo também transporta recursos FHIR Consent e Provenance para que outros sistemas possam ler o que foi acordado e quem escreveu o quê. O registo de acesso está disponível como FHIR AuditEvent.
Um paciente pode dar acesso apenas a uma parte do registo?
Sim. Os âmbitos são por tipo de recurso, com filtros de categoria, e a pessoa escolhe-os na página de consentimento. Uma aplicação pode pedir apenas resultados de laboratório, ou apenas medicamentos.
O que acontece quando o consentimento expira?
Os pedidos sob essa concessão devolvem 403 a partir da expiração. A aplicação pode pedir novamente; a pessoa decide novamente. Nada é eliminado.
A revogação elimina o que a aplicação já leu?
Nenhum sistema pode "desler" dados. A revogação impede o acesso futuro imediatamente e é registada; o que a aplicação armazenou do seu lado é regido pelas suas próprias obrigações ao abrigo do RGPD.
Uma clínica pode aceder a um registo sem o consentimento do paciente?
Um projeto vê os pacientes que criou. Ler um registo criado noutro local requer a concessão da pessoa. Não existe qualquer anulação administrativa.
Tenha o seu registo de saúde consigo
Anpheros Daily reúne sintomas, resultados de exames, medicamentos e documentos num só local, num formato standard, sob o seu controlo. O plano Basic é gratuito.