Os pontos onde a conformidade se rompe, e a resposta a cada um.
Cada obstáculo abaixo foi identificado em levantamento documentado e é confrontado com a norma verificada que lhe responde.
Protecção de dados, acesso à informação e cibersegurança incidem sobre o mesmo objecto — o processo clínico electrónico. Uma matriz única de obrigações elimina duplicação, revela contradições entre políticas e reduz o custo total de conformidade.
O artigo 29.º, n.º 6, da Lei n.º 58/2019 impõe-no desde 2019. A implementação exige articulação entre a componente jurídica e o fornecedor do sistema clínico, o que explica — mas não desculpa — o incumprimento generalizado.
A qualificação determina obrigações e prazos. Depende da natureza da entidade e dos limiares de dimensão. [A redacção da entrada relativa ao sector da saúde no Anexo I do Decreto-Lei n.º 125/2025 não foi lida directamente em fonte oficial.]
O artigo 35.º, n.º 3, alínea b), torna a avaliação obrigatória para tratamentos em larga escala de dados de saúde. Uma avaliação desactualizada não cumpre a obrigação e não constitui prova.
O artigo 27.º do regime de cibersegurança exige medidas modeladas pela matriz de risco do artigo anterior. Medidas adoptadas sem essa matriz não são defensáveis perante a autoridade.
O artigo 29.º, n.º 3, da Lei n.º 58/2019 impõe que o acesso seja feito exclusivamente por via electrónica, salvo impossibilidade técnica ou indicação expressa em contrário do titular, sendo vedada a divulgação ou transmissão posterior.
A preparação organizacional para 2029 e 2031 exige começar agora: governação, papéis, qualidade e codificação dos dados nas categorias prioritárias. Nenhum operador português comercializa hoje essa preparação como serviço estruturado.
De cada dor decorre um serviço
Os produtos e serviços minimamente viáveis foram desenhados a partir desta lista, e não a partir de um catálogo genérico de conformidade.
Matriz integrada de obrigações
Consolidação das obrigações decorrentes da protecção de dados, do acesso à informação e da cibersegurança sectorial numa matriz única, com responsável interno e evidência associada a cada obrigação.
Ficha técnicaAvaliação de impacto sobre a protecção de dados
Avaliação de impacto para tratamentos de dados de saúde em larga escala, com identificação de riscos, medidas de mitigação e regime de revisão periódica.
Ficha técnicaQualificação e autoidentificação no Regime Jurídico da Cibersegurança
Determinação da qualificação como entidade essencial, importante ou pública relevante, preparação e submissão da autoidentificação e planeamento da adaptação às medidas do artigo 27.º.
Ficha técnicaRegisto de acessos e notificação ao titular
Implementação efectiva do mecanismo de rastreabilidade e notificação exigido pelo artigo 29.º, n.º 6, da Lei n.º 58/2019, articulada com a revisão dos perfis de acesso.
Ficha técnicaEncarregado de protecção de dados especializado em saúde
Exercício das funções de encarregado de protecção de dados com especialização sectorial, incluindo a realização de auditorias periódicas e não programadas expressamente previstas na lei nacional.
Ficha técnicaResposta a violação de dados de saúde
Apoio integrado à qualificação, contenção, notificação e documentação de violação de dados de saúde, articulando as obrigações de notificação à autoridade de protecção de dados e ao regime de cibersegurança.
Ficha técnica