Resposta curta: ao abrigo do RGPD, dados relativos à saúde são uma categoria especial. O Artigo 9(1) proíbe o seu tratamento; o Artigo 9(2) lista as exceções que levantam a proibição. Para uma equipa de produto, quatro são relevantes: (a) consentimento explícito da pessoa, (h) prestação de cuidados de saúde por ou sob a responsabilidade de um profissional sujeito a segredo, (i) saúde pública, e (j) investigação científica com salvaguardas ao abrigo do Artigo 89. É necessária uma exceção do Artigo 9 além de uma base legal ordinária ao abrigo do Artigo 6, não em vez dela. O tratamento de dados de saúde em larga escala também aciona uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) (Artigo 35) e um Encarregado de Proteção de Dados (EPD) (Artigo 37).
O que conta como dados de saúde
Ao abrigo do RGPD, dados relativos à saúde são dados pessoais relacionados com a saúde física ou mental de uma pessoa, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde (Artigo 4.º, n.º 15). Numa interpretação alargada, abrange valores de laboratório, diagnósticos, medicamentos, consultas e atestados médicos, bem como quaisquer dados a partir dos quais uma condição de saúde possa ser inferida.
O Artigo 4(15) define dados relativos à saúde como dados pessoais relacionados com a saúde física ou mental de uma pessoa, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde. O Considerando 35 e a jurisprudência interpretam-no de forma ampla: um valor laboratorial, um diagnóstico, um medicamento, uma consulta médica, um atestado de baixa médica, uma contagem de passos combinada com uma condição cardíaca, uma pesquisa de um sintoma associada a uma conta. Dados que revelam o estado de saúde são dados de saúde mesmo que não tenham sido recolhidos como tal. O Tribunal de Justiça confirmou em 2022 (OT, C-184/20) que dados a partir dos quais um facto de categoria especial pode ser inferido são, eles próprios, dados de categoria especial.
As exceções relevantes
As exceções do Artigo 9.º, n.º 2 do RGPD mais relevantes para produtos de saúde são o consentimento explícito (a), utilizado por aplicações de saúde para consumidores e registos controlados pelo paciente; a prestação de cuidados de saúde (h), utilizada por clínicas e seus fornecedores de software sob sigilo profissional; a saúde pública (i); a investigação científica (j) com salvaguardas do Artigo 89.º; e o interesse público relevante (g), em que se baseia o EHDS para uso secundário.
| Artigo 9(2) | Quem o utiliza tipicamente | Condições |
|---|---|---|
| (a) Consentimento explícito | Aplicações de saúde para consumidores, serviços de bem-estar, registos controlados pelo paciente | Livremente dado, específico, informado, inequívoco, por um ato afirmativo claro, tão fácil de retirar como de dar; não agrupado com o serviço, a menos que o serviço necessite dos dados |
| (c) Interesses vitais | Acesso de emergência | Apenas quando a pessoa é física ou legalmente incapaz de consentir |
| (h) Prestação de cuidados de saúde | Clínicas, hospitais, médicos de clínica geral, seus fornecedores de software como subcontratantes | Necessário para diagnóstico, cuidados, tratamento ou gestão de sistemas de saúde, ao abrigo do direito da UE ou nacional ou de um contrato com um profissional, e sob segredo profissional (Artigo 9(3)) |
| (i) Saúde pública | Autoridades de saúde pública, farmacovigilância | Com base em lei que preveja medidas adequadas |
| (j) Investigação, estatísticas, arquivo | Institutos de investigação, registos, plataformas que permitem a investigação | Com base em lei, proporcionado, com salvaguardas do Artigo 89 (pseudonimização, minimização) |
| (g) Interesse público relevante | Infraestruturas nacionais de dados de saúde | Com base em lei; o EHDS baseia-se nele para uso secundário |
Um registo de saúde pessoal controlado pelo paciente funciona com base em (a): a pessoa decide o que armazenar e com quem partilhar. Uma clínica que escreve nesse registo funciona com base em (h) para o seu próprio tratamento, e o consentimento do paciente rege a partilha. Uma plataforma que serve ambos é um subcontratante para a clínica (contrato do Artigo 28) e um responsável pelo tratamento para a conta que oferece à pessoa. Escrever isto, por operação de tratamento, é o cerne dos registos exigidos pelo Artigo 30.
Consentimento que realmente vale
O consentimento explícito para dados de saúde ao abrigo do RGPD só é válido quando for uma declaração separada e específica para cada finalidade, dada por um ato inequívoco de confirmação, informada sobre os destinatários, registada com a data e o método, e tão fácil de revogar como foi dado. Caixas pré-marcadas, finalidades agrupadas e aplicações inutilizáveis sem consentir na análise foram todas consideradas inválidas.
Os reguladores invalidaram o consentimento para aplicações de saúde pelas mesmas razões repetidamente: caixas pré-marcadas; consentimento solicitado para tudo de uma vez; impossibilidade de usar a aplicação sem consentir em análises; textos de consentimento que não nomeiam os destinatários; ausência de via de retirada. Consentimento explícito válido para dados de saúde significa uma declaração separada e específica ("Concordo que a Anpheros armazene os resultados laboratoriais que carrego"), granular por finalidade (armazenamento; partilha com uma clínica nomeada; estatísticas anonimizadas), com um registo de quando e como foi dado, e um interruptor que o revoga com efeito imediato no tratamento futuro. Os dados de crianças necessitam do titular da responsabilidade parental, com limiares de idade definidos por cada Estado-Membro entre 13 e 16 anos.
Segredo, Artigo 9(3)
O Artigo 9.º, n.º 3 do RGPD estabelece a condição de sigilo para a exceção de cuidados de saúde: os dados de saúde só podem ser processados ao abrigo do Artigo 9.º, n.º 2, alínea (h) por ou sob a responsabilidade de um profissional sujeito ao dever de sigilo ao abrigo do direito da UE ou nacional, ou por outra pessoa sujeita a uma obrigação de sigilo equivalente.
Os fornecedores de software para clínicas cumprem isto por contrato: o acordo de processador impõe confidencialidade ao pessoal com acesso, e o acesso é registado.
Para além do Artigo 9
Uma exceção ao abrigo do Artigo 9.º, n.º 2 não é a única obrigação do RGPD para dados de saúde. O processamento também necessita de uma base ao abrigo do Artigo 6.º, geralmente uma AIVD ao abrigo do Artigo 35.º e um encarregado de proteção de dados ao abrigo do Artigo 37.º, limites a decisões automatizadas ao abrigo do Artigo 22.º, uma ferramenta do Capítulo V para transferências para fora da UE, notificação de violação em 72 horas e leis nacionais de registos de saúde.
- O Artigo 6 continua a aplicar-se: contrato (6(1)(b)) para a prestação do serviço solicitado pela pessoa, consentimento (6(1)(a)), obrigação legal, tarefa de interesse público ou interesses legítimos, que não podem ser usados para sobrepor-se ao Artigo 9.
- Artigo 35 AIPD é obrigatório para o tratamento em larga escala de categorias especiais; a maioria das aplicações de saúde e todas as plataformas qualificam-se. Ver AIPD para uma aplicação de saúde.
- Artigo 37 EPD é obrigatório para atividades principais que consistam no tratamento em larga escala de categorias especiais.
- O Artigo 22 limita as decisões baseadas unicamente no tratamento automatizado com efeitos significativos, o que inclui triagem ou elegibilidade automatizadas; os dados de saúde só podem ser utilizados para estes fins com consentimento explícito ou base legal prevista na lei, com salvaguardas.
- Artigo 44 em diante: as transferências para fora da UE necessitam de adequação (o Quadro de Proteção de Dados UE-EUA para empresas certificadas dos EUA), cláusulas contratuais tipo com uma avaliação de impacto da transferência, ou outra ferramenta do Capítulo V. A hospedagem na UE evita a questão para os dados em repouso; o pessoal de apoio no estrangeiro não.
- Artigos 33-34: notificação de violação à autoridade no prazo de 72 horas e às pessoas quando o risco é elevado, o que para dados de saúde geralmente é.
- A lei nacional adiciona camadas: leis de segredo médico, leis de registos de saúde, períodos de retenção e, em alguns países, regras específicas para aplicações de saúde (certificação de alojamento HDS em França, quadro DiGA na Alemanha).
O EHDS por cima
O regulamento do Espaço Europeu de Dados de Saúde (2025/327) não altera o Artigo 9. Adiciona direitos de acesso e portabilidade de dados de saúde num formato comum, obrigações para sistemas de registos eletrónicos de saúde (RES) e um sistema de permissão para uso secundário que se baseia nos Artigos 9(2)(g), (h), (i) e (j) com as suas próprias salvaguardas e uma opção de exclusão. Ver Os seus dados médicos na UE.
Na Anpheros
A Anpheros trata dados de saúde com base no consentimento explícito da pessoa para o registo que esta mantém (Artigo 9(2)(a)), por finalidade e revogável na aplicação, e como subcontratante para clínicas que escrevem nesse registo ao abrigo da sua própria base do Artigo 9(2)(h). Cada acesso por uma clínica requer a aprovação da pessoa para um âmbito e duração, e aparece no seu registo de acesso. Ver Plataforma de consentimento do paciente e Quem visualizou o meu registo médico?.
Esta página explica a regulamentação para equipas de produto e engenharia. Não constitui aconselhamento jurídico; os textos ligados em Fontes são a autoridade, e o seu encarregado de proteção de dados, organismo notificado ou consultor decide para o seu caso. Última revisão: Outubro de 2026.
Páginas relacionadas
- AIPD para uma aplicação de saúde: lista de verificação e modelo
- Os seus dados médicos na UE: RGPD, EHDS e os seus direitos
- HIPAA vs RGPD
- Desidentificação de dados de saúde
- Plataforma de consentimento do paciente
- Mapa da regulamentação de dados de saúde
- RGPD para programadores (site do programador)
Fontes
- Artigo 9 do RGPD, EUR-Lex
- Artigo 4(15) e Considerando 35 do RGPD, EUR-Lex
- EDPB: Orientações 05/2020 sobre consentimento
- TJUE, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Orientações sobre o tratamento de dados de saúde para investigação no contexto da COVID-19 (03/2020)
- Regulamento (UE) 2025/327 (EHDS), EUR-Lex
Perguntas frequentes
Uma contagem de passos é um dado de saúde?
Por si só, geralmente não. Combinada com outros dados que revelem um estado de saúde (um diagnóstico, um programa de reabilitação, uma condição cardíaca), ou tratada para inferir um, torna-se um dado relativo à saúde. Os reguladores analisam a finalidade e a inferência, não apenas o campo bruto.
Posso usar interesses legítimos para dados de saúde?
Não. Interesses legítimos é uma base do Artigo 6; os dados de saúde necessitam adicionalmente de uma exceção do Artigo 9(2), e nenhuma delas é interesses legítimos. As análises sobre dados de saúde requerem consentimento ou anonimização.
Uma clínica precisa do consentimento do paciente para manter registos?
Não ao abrigo do RGPD: trata com base no Artigo 9(2)(h) e na lei nacional de saúde. O consentimento torna-se relevante quando os dados são utilizados para outra finalidade (partilha com uma aplicação, investigação, marketing) ou quando a lei nacional o exige.
Por quanto tempo os dados de saúde podem ser mantidos?
O RGPD diz que não mais do que o necessário; as leis nacionais de registos de saúde estabelecem períodos de retenção concretos para registos clínicos (frequentemente 10 a 30 anos). Um registo pessoal controlado pela pessoa é mantido enquanto esta o desejar, e é eliminado a pedido.
Experimente grátis no sandbox
Sua primeira chamada FHIR em 5 minutos. Uma API HL7 FHIR R4 com o consentimento do paciente integrado: experimente na sandbox e depois conecte a sua própria app ou sistema clínico.
Grátis · 30 pacientes sintéticos · sem cartão
A Anpheros desenvolve um registo médico que o doente controla e pode partilhar com qualquer clínica, numa plataforma HL7 FHIR R4, sediada na UE. Estes guias ajudam-no a compreender e organizar a sua saúde; não substituem o seu médico.
Sobre a Anpheros →