Regulação
A regulação aplicável, verificada na fonte
Cada diploma abaixo foi confirmado em fonte oficial. As disposições citadas foram lidas — não são reproduções de comentário. O que não foi possível confirmar está assinalado.
Regulamento da UEUE
Regulamento (UE) 2025/327, de 11 de Fevereiro de 2025
Espaço Europeu de Dados de Saúde · Em vigor desde 26 de Março de 2025, com aplicação faseada até 2035
- Capítulo II — uso primário
- Acesso gratuito do titular aos seus dados de saúde electrónicos, direito de inserir informação, de rectificar, de conceder e restringir o acesso de profissionais, de consultar os registos de acesso e de recusar o acesso salvo interesse vital. Infra-estrutura transfronteiriça MyHealth@EU.
- Capítulo III — sistemas de registo
- Requisitos obrigatórios de interoperabilidade e segurança para os sistemas de registo de saúde electrónico, dirigidos a fabricantes e distribuidores.
- Capítulo IV — uso secundário
- Organismos de acesso a dados de saúde, autorizações de dados, tratamento em ambientes seguros, rede HealthData@EU, direito de oposição e proibição de finalidades — entre as quais, expressamente, as decisões em matéria de seguros.
- Categorias prioritárias
- Sumários de doente, receitas e dispensas electrónicas, imagiologia médica e respectivos relatórios, resultados de exames laboratoriais e relatórios de alta.
[A numeração dos artigos que criam cada obrigação concreta não foi confirmada por indisponibilidade de leitura integral do articulado no EUR-Lex, pelo que este ecossistema cita o regulamento por capítulos.]
Regulamento da UEUE
Regulamento (UE) 2016/679
Regulamento Geral sobre a Protecção de Dados · Aplicável desde 25 de Maio de 2018
- Artigo 4.º, ponto 15
- Dados relativos à saúde são «todos os dados relativos ao estado de saúde de um titular de dados que revelem informações sobre a sua saúde física ou mental».
- Artigo 9.º, n.os 2 h) e 3
- O tratamento para prestação de cuidados é lícito, mas apenas sob reserva de ser efectuado por profissional sujeito a obrigação de segredo profissional ou sob a sua responsabilidade.
- Artigo 15.º, n.º 3
- O responsável «fornece uma cópia dos dados pessoais em fase de tratamento».
- Artigo 35.º, n.º 3, alínea b)
- Avaliação de impacto obrigatória em caso de tratamento em larga escala de categorias especiais de dados.
- Artigo 37.º, n.º 1, alínea c)
- Designação obrigatória de encarregado de protecção de dados quando as actividades principais consistam em tratamento em larga escala dessas categorias.
Directiva da UEUE
Directiva (UE) 2022/2555
NIS2 — nível elevado comum de cibersegurança na União · Transposta em Portugal pelo Decreto-Lei n.º 125/2025
- Anexo I
- Integra o sector da saúde nos sectores de elevada criticidade.
Regulamento da UEUE
Regulamento (UE) 2024/1689
Regulamento da Inteligência Artificial · Calendário alterado pelo Regulamento (UE) 2026/1744, de 8 de Julho de 2026
- Anexo III — 2 de Dezembro de 2027
- Sistemas de alto risco, incluindo avaliação de elegibilidade para serviços de saúde, triagem de chamadas de emergência e avaliação de risco e tarifação em seguros de vida e de saúde.
- Anexo I — 2 de Agosto de 2028
- Sistemas de IA que sejam dispositivos médicos ou componentes de segurança destes.
Regulamento da UEUE
Regulamento (UE) 2023/2854
Regulamento Dados · Aplicável desde 12 de Setembro de 2025
- Relevância clínica
- Direito do utilizador de aceder aos dados gerados pela utilização de produtos conectados e de os transmitir a terceiros, com incidência directa sobre dispositivos médicos conectados.
JurisprudênciaUE
Acórdão do Tribunal de Justiça de 26 de Outubro de 2023
FT contra DW, processo C-307/22 · Jurisprudência assente
- Primeira cópia gratuita
- Os artigos 12.º, n.º 5, e 15.º, n.os 1 a 3, obrigam o responsável a fornecer uma primeira cópia gratuita dos dados, independentemente dos motivos do pedido.
- Sem dever de justificar
- Não é exigível ao doente justificar o pedido, designadamente por pretender apurar responsabilidade médica.
- Cópia integral e inteligível
- O artigo 15.º, n.º 3, confere direito a uma reprodução fiel e inteligível, incluindo a cópia integral dos documentos do processo clínico com diagnósticos, resultados de exames, apreciações dos médicos e tratamentos.
Lei nacionalPT
Lei n.º 58/2019, de 8 de Agosto
Execução do Regulamento Geral sobre a Protecção de Dados · Em vigor
- Artigo 29.º, n.º 1
- Nos tratamentos de dados de saúde e genéticos, «o acesso a dados pessoais rege-se pelo princípio da necessidade de conhecer a informação».
- Artigo 29.º, n.º 3
- O acesso «é feito exclusivamente de forma eletrónica, salvo impossibilidade técnica ou expressa indicação em contrário do titular dos dados, sendo vedada a sua divulgação ou transmissão posterior».
- Artigo 29.º, n.º 6
- «O titular dos dados deve ser notificado de qualquer acesso realizado aos seus dados pessoais, cabendo ao responsável pelo tratamento assegurar a disponibilização desse mecanismo de rastreabilidade e notificação.»
- Artigo 17.º
- Os direitos de acesso, rectificação e apagamento de dados de pessoas falecidas «são exercidos por quem a pessoa falecida haja designado para o efeito ou, na sua falta, pelos respetivos herdeiros».
- Artigos 37.º e 38.º
- Contraordenações muito graves e graves, com molduras que atingem 20 000 000 € ou 4 % do volume de negócios anual a nível mundial.
Decreto-LeiPT
Decreto-Lei n.º 125/2025, de 4 de Dezembro
Regime Jurídico da Cibersegurança — transposição da Directiva NIS2 · Em vigor desde 3 de Abril de 2026
- Artigo 1.º
- Aprova o regime jurídico da cibersegurança, «transpondo, para a ordem jurídica interna a Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022».
- Artigo 11.º
- «O presente decreto-lei entra em vigor 120 dias após a sua publicação» — 3 de Abril de 2026.
- Artigo 27.º do regime anexo
- Medidas de cibersegurança, em nove alíneas: tratamento de incidentes; continuidade das actividades e gestão de crises; segurança da cadeia de abastecimento; segurança na aquisição, desenvolvimento e manutenção de redes e sistemas; avaliação da eficácia das medidas; ciber-higiene e formação, incluindo dos titulares dos órgãos de gestão; criptografia e cifragem; segurança dos recursos humanos, controlo de acessos e gestão de activos; autenticação multifactor ou contínua e comunicações seguras.
- Artigo 10.º, n.º 2 do decreto-lei
- As medidas do artigo 27.º e as contraordenações correspondentes produzem efeitos 24 meses após a publicação da regulamentação — publicada em 22 de Junho de 2026.
- Artigo 65.º do regime anexo
- Dispensa de aplicação de coimas, mediante pedido fundamentado, durante 12 meses a contar da entrada em vigor.
O diploma designa as medidas do artigo 27.º como «medidas de cibersegurança», modeladas pela matriz de risco do artigo 26.º, e não como «medidas mínimas». [A redacção da entrada relativa ao sector da saúde no Anexo I não foi lida directamente em fonte oficial, pelo que o elenco exacto de entidades abrangidas carece de confirmação.]
Última verificação em 2 de Setembro de 2026. A regulação nesta matéria está em movimento acelerado, com marcos sucessivos até 2035. Recomenda-se a confirmação da vigência das normas citadas antes de qualquer acto com efeitos jurídicos.