O mesmo dado está sujeito a três regimes que ninguém articulou.
Protecção de dados pessoais, acesso à informação administrativa e cibersegurança sectorial incidem simultaneamente sobre o processo clínico electrónico — com prazos, autoridades e obrigações de reporte distintas. Tratá-los como projectos isolados multiplica o custo e produz políticas contraditórias.
«O titular dos dados deve ser notificado de qualquer acesso realizado aos seus dados pessoais, cabendo ao responsável pelo tratamento assegurar a disponibilização desse mecanismo de rastreabilidade e notificação.»
O Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança, em vigor desde 23 de Junho de 2026, fixa no artigo 8.º o dever de autoidentificação das entidades essenciais, importantes e públicas relevantes, com prazo de sessenta dias úteis para as entidades já em actividade. As medidas de cibersegurança do artigo 27.º do regime anexo ao Decreto-Lei n.º 125/2025 produzem efeitos vinte e quatro meses após a publicação da regulamentação, ocorrida em 22 de Junho de 2026. [A contagem dos sessenta dias úteis a partir de 23 de Junho de 2026 conduz a 15 de Setembro de 2026, data indicada pela imprensa especializada mas não confirmada em comunicado oficial do CNCS lido directamente.]
Os números que sustentam esta prática
Todos os valores foram verificados na fonte oficial indicada. Nenhum é estimativa.
Seis regimes que incidem sobre o mesmo dado
Protecção de dados
Regulamento Geral sobre a Protecção de Dados e Lei n.º 58/2019. O artigo 9.º, n.º 2, alínea h), conjugado com o n.º 3, é o fundamento nuclear do tratamento clínico; o artigo 29.º da lei nacional acrescenta obrigações operacionais que raramente se encontram implementadas.
Acesso à informação
Lei n.º 26/2016 para as entidades públicas, Lei n.º 12/2005 e Lei n.º 15/2014 para todas. Prazos, restrições e regime dos documentos nominativos com dados de saúde.
Cibersegurança sectorial
Decreto-Lei n.º 125/2025, em vigor desde 3 de Abril de 2026, e Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança. Autoidentificação, qualificação e nove medidas de cibersegurança do artigo 27.º.
Espaço Europeu de Dados de Saúde
Regulamento (UE) 2025/327, com aplicação geral a partir de 26 de Março de 2027 e faseamento em 2029 e 2031. Transforma o responsável pelo tratamento em detentor de dados.
Inteligência artificial
Regulamento (UE) 2024/1689, com o calendário alterado pelo Regulamento (UE) 2026/1744. Sistemas de alto risco do Anexo III a 2 de Dezembro de 2027 e dispositivos médicos do Anexo I a 2 de Agosto de 2028.
Dispositivos conectados
Regulamento (UE) 2023/2854, aplicável desde 12 de Setembro de 2025, com incidência directa sobre os dados gerados por dispositivos médicos conectados.
Um único ciclo de conformidade para os três regimes
Consolidação das obrigações dos três regimes numa matriz com norma, obrigação, responsável interno, evidência exigida e prazo. É este o documento que evita tratar cada regime como projecto isolado.
Identificação dos tratamentos de dados de saúde, do respectivo fundamento de licitude e da qualificação como tratamento em larga escala para efeitos dos artigos 35.º e 37.º do RGPD.
Avaliação de impacto sobre a protecção de dados para os tratamentos em larga escala e definição das medidas técnicas e organizativas, articuladas com as medidas do artigo 27.º do regime de cibersegurança.
Determinação da qualificação como entidade essencial, importante ou pública relevante e cumprimento do dever de autoidentificação na plataforma electrónica.
Constituição do dossier de prestação de contas comum aos três regimes, com calendário de revisão e responsáveis identificados.
Roteiro para os marcos de 2027, 2029 e 2031 do Espaço Europeu de Dados de Saúde e para o calendário do Regulamento da Inteligência Artificial.
O que a Audiqcer faz nesta matéria
6 produtos e serviços minimamente viáveis, cada um com ficha técnica, entregáveis identificados e base normativa verificada.
Matriz integrada de obrigações
Consolidação das obrigações decorrentes da protecção de dados, do acesso à informação e da cibersegurança sectorial numa matriz única, com responsável interno e evidência associada a cada obrigação.
Ficha técnicaAvaliação de impacto sobre a protecção de dados
Avaliação de impacto para tratamentos de dados de saúde em larga escala, com identificação de riscos, medidas de mitigação e regime de revisão periódica.
Ficha técnicaQualificação e autoidentificação no Regime Jurídico da Cibersegurança
Determinação da qualificação como entidade essencial, importante ou pública relevante, preparação e submissão da autoidentificação e planeamento da adaptação às medidas do artigo 27.º.
Ficha técnicaRegisto de acessos e notificação ao titular
Implementação efectiva do mecanismo de rastreabilidade e notificação exigido pelo artigo 29.º, n.º 6, da Lei n.º 58/2019, articulada com a revisão dos perfis de acesso.
Ficha técnica