Um objecto, vários regimes, nenhuma articulação legislativa.
Protecção de dados pessoais, acesso à informação administrativa e cibersegurança sectorial incidem simultaneamente sobre o processo clínico electrónico — com prazos, autoridades e obrigações de reporte distintas. Tratá-los como projectos isolados multiplica o custo e produz políticas contraditórias.
O que sustenta esta matéria
Protecção de dados
Regulamento Geral sobre a Protecção de Dados e Lei n.º 58/2019. O artigo 9.º, n.º 2, alínea h), conjugado com o n.º 3, é o fundamento nuclear do tratamento clínico; o artigo 29.º da lei nacional acrescenta obrigações operacionais que raramente se encontram implementadas.
Acesso à informação
Lei n.º 26/2016 para as entidades públicas, Lei n.º 12/2005 e Lei n.º 15/2014 para todas. Prazos, restrições e regime dos documentos nominativos com dados de saúde.
Cibersegurança sectorial
Decreto-Lei n.º 125/2025, em vigor desde 3 de Abril de 2026, e Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança. Autoidentificação, qualificação e nove medidas de cibersegurança do artigo 27.º.
Espaço Europeu de Dados de Saúde
Regulamento (UE) 2025/327, com aplicação geral a partir de 26 de Março de 2027 e faseamento em 2029 e 2031. Transforma o responsável pelo tratamento em detentor de dados.
Inteligência artificial
Regulamento (UE) 2024/1689, com o calendário alterado pelo Regulamento (UE) 2026/1744. Sistemas de alto risco do Anexo III a 2 de Dezembro de 2027 e dispositivos médicos do Anexo I a 2 de Agosto de 2028.
Dispositivos conectados
Regulamento (UE) 2023/2854, aplicável desde 12 de Setembro de 2025, com incidência directa sobre os dados gerados por dispositivos médicos conectados.
Um único ciclo de conformidade para os três regimes
Consolidação das obrigações dos três regimes numa matriz com norma, obrigação, responsável interno, evidência exigida e prazo. É este o documento que evita tratar cada regime como projecto isolado.
Identificação dos tratamentos de dados de saúde, do respectivo fundamento de licitude e da qualificação como tratamento em larga escala para efeitos dos artigos 35.º e 37.º do RGPD.
Avaliação de impacto sobre a protecção de dados para os tratamentos em larga escala e definição das medidas técnicas e organizativas, articuladas com as medidas do artigo 27.º do regime de cibersegurança.
Determinação da qualificação como entidade essencial, importante ou pública relevante e cumprimento do dever de autoidentificação na plataforma electrónica.
Constituição do dossier de prestação de contas comum aos três regimes, com calendário de revisão e responsáveis identificados.
Roteiro para os marcos de 2027, 2029 e 2031 do Espaço Europeu de Dados de Saúde e para o calendário do Regulamento da Inteligência Artificial.
Como este sítio trata a incerteza
Todo o conteúdo normativo publicado neste sítio foi verificado em fonte oficial, tendo sido lido o texto da norma e não apenas a referência ao diploma. Quando uma afirmação não pôde ser confirmada directamente, é assinalada assim: [exemplo de conteúdo que carece de confirmação adicional].
Esta convenção não é uma cautela decorativa. Em matéria de dados de saúde circula uma quantidade considerável de informação de segunda mão, com números de artigo trocados, datas incorrectas e designações de autoridades já alteradas. A distinção entre o que foi lido na fonte e o que foi lido em comentário é, nesta matéria, a diferença entre uma peça utilizável e uma peça que não resiste a contraditório.
Recomenda-se, em qualquer caso, a confirmação da vigência das normas citadas antes de acto com efeitos jurídicos. A regulação nesta área está em movimento acelerado, com marcos sucessivos até 2035.