A norma está definida. O procedimento é que não existe.
Quem recebe o pedido de acesso ao processo clínico é um assistente técnico ao balcão. A decisão que toma vincula a instituição, expõe-na a reclamação e a coima, e não está escrita em lado nenhum. É esse vazio que este sítio se propõe fechar — com procedimento, formação e prova.
«O processo clínico só pode ser consultado por médico incumbido da realização de prestações de saúde a favor da pessoa a que respeita ou, sob a supervisão daquele, por outro profissional de saúde obrigado a sigilo e na medida do estritamente necessário à realização das mesmas.»
O Decreto-Lei n.º 125/2025, de 4 de Dezembro, transpôs a Directiva NIS2 e está em vigor desde 3 de Abril de 2026. O Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança, em vigor desde 23 de Junho de 2026, fixa no artigo 8.º um prazo de sessenta dias úteis para as entidades já em actividade se autoidentificarem na plataforma electrónica. [A contagem desses sessenta dias úteis a partir de 23 de Junho de 2026 conduz a 15 de Setembro de 2026, data indicada pela imprensa especializada mas não confirmada em comunicado oficial do CNCS lido directamente. Recomenda-se a confirmação imediata em cncs.gov.pt.]
Os números que sustentam esta prática
Todos os valores foram verificados na fonte oficial indicada. Nenhum é estimativa.
Seis frentes de conformidade sobre o mesmo objecto
Procedimento documentado
Quem recebe o pedido, como se verifica a identidade e a legitimidade, que prazo corre, que suporte se usa, o que se entrega, o que se oculta e como se documenta. Escrito, aprovado e auditável — não decidido caso a caso ao balcão.
Perfis de acesso
O artigo 5.º, n.º 5, da Lei n.º 12/2005 e o princípio da necessidade de conhecer do artigo 29.º, n.º 1, da Lei n.º 58/2019 exigem controlo efectivo de acessos. É o vector sobre o qual incidiu o caso sancionatório mais notório do sector em Portugal.
Notificação de acessos
O artigo 29.º, n.º 6, da Lei n.º 58/2019 impõe notificar o titular de qualquer acesso aos seus dados e disponibilizar mecanismo de rastreabilidade. Obrigação legal expressa desde 2019, cujo cumprimento sistemático não se verifica no sector.
Dossier de prova
O princípio da responsabilidade exige demonstrabilidade. Políticas não bastam: é preciso registo estruturado de pedidos e respostas, avaliações de impacto vivas, evidência de revisão de perfis e registos de formação.
Pedidos de terceiros
Seguradoras, medicina do trabalho, peritos e tribunais. Cada um com base de legitimidade distinta — e nenhuma delas conferindo, por si só, direito de acesso directo ao processo clínico.
Preparação para 2029 e 2031
O Regulamento do Espaço Europeu de Dados de Saúde transforma o prestador em detentor de dados, com obrigações activas de disponibilização. A preparação é plurianual e tem de começar agora.
Do diagnóstico à prova, em quatro fases
Exercício delimitado que confronta a prática instalada com o quadro normativo verificado. Produz relatório de desconformidades hierarquizadas por risco e serve de base à decisão de investimento.
Redacção e aprovação do procedimento normalizado de resposta: árvore de decisão, matriz de prazos, modelos, critérios de ocultação parcial, registo de execução e indicadores.
Formação de quem decide — a linha da frente antes do encarregado de protecção de dados, porque é ao balcão que a decisão se toma.
Constituição e manutenção do dossier de prestação de contas, revisto periodicamente e apresentável a inspecção sem trabalho de reconstituição.
O que a Audiqcer faz nesta matéria
6 produtos e serviços minimamente viáveis, cada um com ficha técnica, entregáveis identificados e base normativa verificada.
Diagnóstico de conformidade do acesso ao processo clínico
Confronto da prática instalada com o quadro normativo verificado, em todos os pontos onde a instituição recebe, decide e responde a pedidos de acesso.
Ficha técnicaProcedimento normalizado de resposta a pedidos de acesso
Construção, aprovação e implementação do procedimento escrito que converte a decisão casuística ao balcão em processo documentado e auditável.
Ficha técnicaResposta a pedidos de entidades terceiras
Procedimento específico e fundamentação normativa de cada decisão-tipo perante pedidos de terceiros, com modelos de recusa fundamentada e de deferimento delimitado.
Ficha técnicaRevisão de perfis de acesso e regime de registo e notificação
Alinhamento da arquitectura de perfis com o princípio da necessidade de conhecer e implementação efectiva dos mecanismos de registo de acessos e de notificação do titular.
Ficha técnica