Respostas com a norma à vista
Cada resposta indica a norma, o artigo ou a decisão em que se funda. Quando a resposta não pôde ser confirmada em fonte oficial, é assinalada.
Somos obrigados a ter encarregado de protecção de dados?
O artigo 37.º, n.º 1, alínea c), do RGPD torna a designação obrigatória quando as actividades principais consistam em tratamento em larga escala de categorias especiais de dados, entre as quais os dados relativos à saúde. Para a generalidade dos prestadores de cuidados de saúde a resposta é afirmativa.
Temos de fazer avaliação de impacto?
O artigo 35.º, n.º 3, alínea b), do RGPD torna a avaliação obrigatória em caso de tratamento em larga escala de categorias especiais de dados. A avaliação não é um acto isolado: exige revisão sempre que as operações, os riscos ou as medidas se alterem.
O que exige o artigo 29.º da Lei n.º 58/2019?
Estabelece o princípio da necessidade de conhecer, exige que o tratamento seja efectuado por profissional sujeito a sigilo, impõe que o acesso seja feito exclusivamente por via electrónica salvo impossibilidade técnica ou indicação em contrário do titular, estende o dever de sigilo a todos os intervenientes e — no n.º 6 — obriga a notificar o titular de qualquer acesso aos seus dados, disponibilizando mecanismo de rastreabilidade.
Existe portaria com os requisitos técnicos mínimos?
O n.º 7 do artigo 29.º remete para portaria dos membros do Governo responsáveis pelas áreas da saúde e da justiça a aprovação das medidas e requisitos técnicos mínimos de segurança, incluindo permissões diferenciadas, autenticação prévia e registo electrónico de acessos. [Não foi possível localizar essa portaria em fonte oficial, pelo que se assinala como carecendo de confirmação a conclusão de que continua por emitir.]
O Regime Jurídico da Cibersegurança aplica-se ao sector da saúde?
O Decreto-Lei n.º 125/2025, de 4 de Dezembro, transpõe a Directiva (UE) 2022/2555, cujo Anexo I integra o sector da saúde nos sectores de elevada criticidade. Está em vigor desde 3 de Abril de 2026, por força do artigo 11.º, que fixa a entrada em vigor 120 dias após a publicação. [A redacção da entrada relativa ao sector da saúde no Anexo I do decreto-lei não foi lida directamente em fonte oficial.]
Quais são as nove medidas do artigo 27.º?
Tratamento de incidentes; continuidade das actividades, incluindo cópias de segurança, recuperação de desastres e gestão de crises; segurança da cadeia de abastecimento; segurança na aquisição, desenvolvimento e manutenção de redes e sistemas, incluindo tratamento e divulgação de vulnerabilidades; políticas de avaliação da eficácia das medidas; ciber-higiene e formação, incluindo dos titulares dos órgãos máximos de gestão; criptografia e cifragem; segurança dos recursos humanos, controlo de acessos e gestão de activos; e autenticação multifactor ou contínua, comunicações seguras e sistemas seguros de comunicações de emergência. O diploma designa-as como «medidas de cibersegurança», modeladas pela matriz de risco do artigo 26.º.
Quando se tornam exigíveis essas medidas?
O artigo 10.º, n.º 2, do Decreto-Lei n.º 125/2025 determina que as medidas do artigo 27.º e as contraordenações correspondentes produzem efeitos vinte e quatro meses após a publicação da regulamentação prevista, que ocorreu em 22 de Junho de 2026. Existe ainda, no artigo 65.º do regime anexo, a possibilidade de requerer dispensa de aplicação de coimas durante doze meses a contar da entrada em vigor.
Qual é o prazo para a autoidentificação?
O artigo 8.º do Regulamento n.º 756/2026 estabelece que a autoidentificação resulta do preenchimento de formulário electrónico disponível na plataforma electrónica, sendo o prazo de sessenta dias úteis para as entidades já em actividade. [A contagem desses sessenta dias úteis a partir de 23 de Junho de 2026, data de entrada em vigor do Regulamento, conduz a 15 de Setembro de 2026 — data indicada pela imprensa especializada mas não confirmada em comunicado oficial do CNCS lido directamente. Recomenda-se confirmação imediata em cncs.gov.pt.]
Quando se aplica o Espaço Europeu de Dados de Saúde?
O Regulamento (UE) 2025/327 entrou em vigor em 26 de Março de 2025 e aplica-se de forma geral a partir de 26 de Março de 2027. A partir de 26 de Março de 2029 aplicam-se o primeiro grupo de categorias prioritárias e a generalidade do regime de uso secundário; a partir de 26 de Março de 2031, as restantes categorias. A abertura do HealthData@EU a países terceiros ocorre a partir de 2035.
Uma coima é o principal risco?
É o mais visível, mas não necessariamente o maior. A estatística europeia mostra que as coimas do sector das ciências da vida e da saúde ascendem a 32,3 milhões de euros em 265 decisões, com 22,8 milhões atribuíveis a medidas técnicas e organizativas insuficientes. O risco reputacional e o custo de remediação de um acesso indevido ou de um incidente de ransomware excedem, com frequência, o valor da coima.