Regulação
A regulação aplicável, verificada na fonte
Cada diploma abaixo foi confirmado em fonte oficial. As disposições citadas foram lidas — não são reproduções de comentário. O que não foi possível confirmar está assinalado.
Lei nacionalPT
Lei n.º 12/2005, de 26 de Janeiro
Informação genética pessoal e informação de saúde · Em vigor, alterada pela Lei n.º 26/2016, de 22 de Agosto
- Artigo 2.º
- Define informação de saúde como «todo o tipo de informação directa ou indirectamente ligada à saúde, presente ou futura, de uma pessoa, quer se encontre com vida ou tenha falecido, e a sua história clínica e familiar».
- Artigo 3.º, n.º 1
- A informação de saúde «é propriedade da pessoa, sendo as unidades do sistema de saúde os depositários da informação».
- Artigo 3.º, n.º 3
- O acesso «é exercido por intermédio de médico, com habilitação própria, se o titular da informação o solicitar» — a intermediação é facultativa.
- Artigo 3.º, n.º 4
- «Na impossibilidade de apuramento da vontade do titular quanto ao acesso, o mesmo é sempre realizado com intermediação de médico.»
- Artigo 5.º, n.º 2
- Processo clínico é «qualquer registo, informatizado ou não, que contenha informação de saúde sobre doentes ou seus familiares».
- Artigo 5.º, n.º 5
- O processo clínico «só pode ser consultado por médico incumbido da realização de prestações de saúde a favor da pessoa a que respeita ou, sob a supervisão daquele, por outro profissional de saúde obrigado a sigilo e na medida do estritamente necessário».
Lei nacionalPT
Lei n.º 58/2019, de 8 de Agosto
Execução do Regulamento Geral sobre a Protecção de Dados · Em vigor
- Artigo 29.º, n.º 1
- Nos tratamentos de dados de saúde e genéticos, «o acesso a dados pessoais rege-se pelo princípio da necessidade de conhecer a informação».
- Artigo 29.º, n.º 3
- O acesso «é feito exclusivamente de forma eletrónica, salvo impossibilidade técnica ou expressa indicação em contrário do titular dos dados, sendo vedada a sua divulgação ou transmissão posterior».
- Artigo 29.º, n.º 6
- «O titular dos dados deve ser notificado de qualquer acesso realizado aos seus dados pessoais, cabendo ao responsável pelo tratamento assegurar a disponibilização desse mecanismo de rastreabilidade e notificação.»
- Artigo 17.º
- Os direitos de acesso, rectificação e apagamento de dados de pessoas falecidas «são exercidos por quem a pessoa falecida haja designado para o efeito ou, na sua falta, pelos respetivos herdeiros».
- Artigos 37.º e 38.º
- Contraordenações muito graves e graves, com molduras que atingem 20 000 000 € ou 4 % do volume de negócios anual a nível mundial.
Lei de BasesPT
Lei n.º 95/2019, de 4 de Setembro
Lei de Bases da Saúde · Em vigor
- Base 2, alínea g)
- Todas as pessoas têm direito «a aceder livremente à informação que lhes respeite, sem necessidade de intermediação de um profissional de saúde, exceto se por si solicitado».
- Base 15, n.º 1
- «A informação de saúde é propriedade da pessoa.»
Lei nacionalPT
Lei n.º 15/2014, de 21 de Março
Direitos e deveres do utente dos serviços de saúde · Em vigor, com alterações
- Artigo 5.º, n.º 3
- O utente «é titular do direito de acesso aos dados pessoais recolhidos e pode exigir a retificação de informações inexatas e a inclusão de informações total ou parcialmente omissas».
- Artigo 6.º
- Direito ao sigilo e dever de sigilo dos profissionais de saúde.
- Artigo 7.º, n.º 2
- A informação «deve ser transmitida de forma acessível, objetiva, completa e inteligível».
Lei nacionalPT
Lei n.º 26/2016, de 22 de Agosto
Acesso à informação administrativa e ambiental (LADA) · Em vigor
- Artigo 6.º
- Restrições ao direito de acesso. Terceiros acedem a documentos nominativos mediante autorização escrita do titular ou demonstrando interesse directo, pessoal, legítimo e constitucionalmente protegido.
- Artigo 15.º
- Prazo de resposta de dez dias, excepcionalmente prorrogável até dois meses — prazo confirmado pela Entidade Reguladora da Saúde.
Regulamento deontológicoPT
Regulamento n.º 707/2016, de 21 de Julho
Regulamento de Deontologia Médica · Em vigor
- Artigo 30.º, n.º 1
- «O segredo médico impõe-se em todas as circunstâncias dado que resulta de um direito inalienável de todos os doentes.»
- Artigo 30.º, n.º 4
- «O segredo médico mantém-se após a morte do doente.»
- Artigo 31.º, n.º 3
- As unidades de saúde «devem impedir o acesso indevido de terceiros aos processos clínicos e aos sistemas informáticos que contenham informação de saúde».
Decreto-LeiPT
Decreto-Lei n.º 125/2025, de 4 de Dezembro
Regime Jurídico da Cibersegurança — transposição da Directiva NIS2 · Em vigor desde 3 de Abril de 2026
- Artigo 1.º
- Aprova o regime jurídico da cibersegurança, «transpondo, para a ordem jurídica interna a Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022».
- Artigo 11.º
- «O presente decreto-lei entra em vigor 120 dias após a sua publicação» — 3 de Abril de 2026.
- Artigo 27.º do regime anexo
- Medidas de cibersegurança, em nove alíneas: tratamento de incidentes; continuidade das actividades e gestão de crises; segurança da cadeia de abastecimento; segurança na aquisição, desenvolvimento e manutenção de redes e sistemas; avaliação da eficácia das medidas; ciber-higiene e formação, incluindo dos titulares dos órgãos de gestão; criptografia e cifragem; segurança dos recursos humanos, controlo de acessos e gestão de activos; autenticação multifactor ou contínua e comunicações seguras.
- Artigo 10.º, n.º 2 do decreto-lei
- As medidas do artigo 27.º e as contraordenações correspondentes produzem efeitos 24 meses após a publicação da regulamentação — publicada em 22 de Junho de 2026.
- Artigo 65.º do regime anexo
- Dispensa de aplicação de coimas, mediante pedido fundamentado, durante 12 meses a contar da entrada em vigor.
O diploma designa as medidas do artigo 27.º como «medidas de cibersegurança», modeladas pela matriz de risco do artigo 26.º, e não como «medidas mínimas». [A redacção da entrada relativa ao sector da saúde no Anexo I não foi lida directamente em fonte oficial, pelo que o elenco exacto de entidades abrangidas carece de confirmação.]
RegulamentoPT
Regulamento n.º 756/2026, de 22 de Junho
Regulamento de execução do Regime Jurídico da Cibersegurança (CNCS) · Em vigor desde 23 de Junho de 2026
- Artigo 8.º
- Autoidentificação: «resulta do preenchimento de formulário(s) eletrónico(s) disponível(eis) na plataforma eletrónica». O prazo é de 60 dias úteis para as entidades já em actividade.
- Artigo 9.º, n.º 2
- Dez dias úteis para pronúncia sobre o projecto de decisão de qualificação.
- Artigo 32.º
- Comunicação da lista de activos publicamente acessíveis até 31 de Janeiro do ano seguinte ou seis meses após a notificação de qualificação, consoante o que for mais curto.
- Artigo 34.º
- Entrada em vigor no dia seguinte ao da publicação — 23 de Junho de 2026.
O texto do Regulamento designa o sistema apenas como «plataforma electrónica»; a designação MyCiber consta do portal governamental digital.gov.pt e das páginas do Centro Nacional de Cibersegurança. [A data-limite de 15 de Setembro de 2026 resulta da contagem de 60 dias úteis a partir de 23 de Junho de 2026 e é a data indicada pela imprensa especializada, mas não foi confirmada em comunicado oficial do CNCS lido directamente. Recomenda-se confirmação em cncs.gov.pt antes de qualquer acto com efeitos jurídicos.]
Regulamento da UEUE
Regulamento (UE) 2016/679
Regulamento Geral sobre a Protecção de Dados · Aplicável desde 25 de Maio de 2018
- Artigo 4.º, ponto 15
- Dados relativos à saúde são «todos os dados relativos ao estado de saúde de um titular de dados que revelem informações sobre a sua saúde física ou mental».
- Artigo 9.º, n.os 2 h) e 3
- O tratamento para prestação de cuidados é lícito, mas apenas sob reserva de ser efectuado por profissional sujeito a obrigação de segredo profissional ou sob a sua responsabilidade.
- Artigo 15.º, n.º 3
- O responsável «fornece uma cópia dos dados pessoais em fase de tratamento».
- Artigo 35.º, n.º 3, alínea b)
- Avaliação de impacto obrigatória em caso de tratamento em larga escala de categorias especiais de dados.
- Artigo 37.º, n.º 1, alínea c)
- Designação obrigatória de encarregado de protecção de dados quando as actividades principais consistam em tratamento em larga escala dessas categorias.
Regulamento da UEUE
Regulamento (UE) 2025/327, de 11 de Fevereiro de 2025
Espaço Europeu de Dados de Saúde · Em vigor desde 26 de Março de 2025, com aplicação faseada até 2035
- Capítulo II — uso primário
- Acesso gratuito do titular aos seus dados de saúde electrónicos, direito de inserir informação, de rectificar, de conceder e restringir o acesso de profissionais, de consultar os registos de acesso e de recusar o acesso salvo interesse vital. Infra-estrutura transfronteiriça MyHealth@EU.
- Capítulo III — sistemas de registo
- Requisitos obrigatórios de interoperabilidade e segurança para os sistemas de registo de saúde electrónico, dirigidos a fabricantes e distribuidores.
- Capítulo IV — uso secundário
- Organismos de acesso a dados de saúde, autorizações de dados, tratamento em ambientes seguros, rede HealthData@EU, direito de oposição e proibição de finalidades — entre as quais, expressamente, as decisões em matéria de seguros.
- Categorias prioritárias
- Sumários de doente, receitas e dispensas electrónicas, imagiologia médica e respectivos relatórios, resultados de exames laboratoriais e relatórios de alta.
[A numeração dos artigos que criam cada obrigação concreta não foi confirmada por indisponibilidade de leitura integral do articulado no EUR-Lex, pelo que este ecossistema cita o regulamento por capítulos.]
JurisprudênciaUE
Acórdão do Tribunal de Justiça de 26 de Outubro de 2023
FT contra DW, processo C-307/22 · Jurisprudência assente
- Primeira cópia gratuita
- Os artigos 12.º, n.º 5, e 15.º, n.os 1 a 3, obrigam o responsável a fornecer uma primeira cópia gratuita dos dados, independentemente dos motivos do pedido.
- Sem dever de justificar
- Não é exigível ao doente justificar o pedido, designadamente por pretender apurar responsabilidade médica.
- Cópia integral e inteligível
- O artigo 15.º, n.º 3, confere direito a uma reprodução fiel e inteligível, incluindo a cópia integral dos documentos do processo clínico com diagnósticos, resultados de exames, apreciações dos médicos e tratamentos.
JurisprudênciaPT
Acórdão do Tribunal da Relação do Porto de 15 de Junho de 2023
Processo n.º 12957/22.6T8PRT-A.P1 · Jurisprudência nacional
- Sumário
- «A celebração de um seguro do ramo vida não permite a interpretação que o segurado autorizou tacitamente a ré a aceder aos seus registos clínicos e outra documentação clínica e ainda que essa autorização tivesse sido expressamente concedida, designadamente na proposta de seguro, pode ser revogada pelo segurado.»
Decreto-LeiPT
Decreto-Lei n.º 72/2008, de 16 de Abril
Regime jurídico do contrato de seguro · Em vigor, com alterações
- Artigo 24.º, n.º 1
- O tomador ou segurado «está obrigado, antes da celebração do contrato, a declarar com exactidão todas as circunstâncias que conheça e razoavelmente deva ter por significativas para a apreciação do risco pelo segurador».
- Artigo 25.º, n.º 1
- Em caso de incumprimento doloso desse dever, «o contrato é anulável mediante declaração enviada pelo segurador ao tomador do seguro».
- Leitura essencial
- O dever impende sobre o tomador ou segurado. Nenhuma norma verificada confere ao segurador um direito de acesso directo ao processo clínico.
Última verificação em 2 de Setembro de 2026. A regulação nesta matéria está em movimento acelerado, com marcos sucessivos até 2035. Recomenda-se a confirmação da vigência das normas citadas antes de qualquer acto com efeitos jurídicos.