Mapa de regulamentação de dados de saúde: UE e EUA, explicado

Resposta curta: o software que lida com dados de saúde responde a quatro famílias de regras em simultâneo. Proteção de dados diz o que pode fazer com dados de saúde pessoais: o Artigo 9.º do RGPD na UE, a HIPAA e um conjunto de leis estaduais nos EUA. Regras do sistema de saúde dizem como os dados devem mover-se e ser partilhados: o Espaço Europeu de Dados de Saúde (EHDS) na UE, o TEFCA, o USCDI e as regras de bloqueio de informação nos EUA. Segurança do produto aplica-se quando o software faz algo médico: o Regulamento de Dispositivos Médicos (MDR) e o Regulamento de Dispositivos Médicos para Diagnóstico In Vitro (IVDR) na UE, as regras da FDA nos EUA, com a IEC 62304 e a ISO 13485 como os padrões de engenharia e qualidade por trás deles. Segurança define a base que todos devem cumprir: ISO 27001 e 27799, NIS2 para setores críticos, a Regra de Segurança da HIPAA. Identidade (eIDAS e a Carteira Europeia de Identidade Digital, NHS login, IDs nacionais) atravessa as quatro.

O mapa

O mapa da regulamentação de dados de saúde agrupa as regras para software que lida com dados de saúde em famílias: proteção de dados (Artigo 9.º do RGPD, HIPAA, leis estaduais dos EUA), regras do sistema de saúde (EHDS, Cures Act, TEFCA), segurança de produtos (MDR, IVDR, FDA), normas de engenharia e qualidade (IEC 62304, ISO 13485), segurança (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) e identidade (eIDAS 2).

Família	Regra	Aplica-se a	O que pede
Proteção de dados	RGPD, Art. 9.º e Art. 35.º	Qualquer pessoa que processe dados de saúde de residentes da UE	Uma base legal do Art. 9.º(2), uma AVD, um DPO para processamento em larga escala, direitos, notificação de violação em 72 h
Proteção de dados	HIPAA (Regras de Privacidade, Segurança, Violação)	Entidades abrangidas pelos EUA e seus associados comerciais	Usos permitidos, salvaguardas, notificação de violação; não abrange a maioria das aplicações para consumidores
Proteção de dados	Leis estaduais dos EUA (CCPA/CPRA, Washington My Health My Data…)	Empresas que lidam com dados de residentes	Consentimento para dados de saúde do consumidor, direitos de eliminação, restrições de venda
Sistema de saúde	EHDS, Regulamento (UE) 2025/327	Sistemas de DME, aplicações de bem-estar que reivindicam interoperabilidade, detentores de dados, organismos de acesso a dados de saúde	Acesso e portabilidade do paciente no formato de intercâmbio europeu, MyHealth@EU obrigatório, licenças de uso secundário
Sistema de saúde	21st Century Cures Act, regras ONC HTI, TEFCA	TI de saúde certificada nos EUA, prestadores de cuidados, redes	APIs FHIR, dados USCDI, sem bloqueio de informação, intercâmbio a nível nacional
Segurança do produto	MDR 2017/745, IVDR 2017/746	Software com propósito médico para pacientes da UE	Classificação, avaliação de conformidade, avaliação clínica, vigilância pós-comercialização, marcação CE
Segurança do produto	FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA)	Software como dispositivo médico para os EUA	Via de pré-comercialização por classe, sistema de qualidade, documentação de cibersegurança
Engenharia	IEC 62304, IEC 82304-1, ISO 14971	Equipas de software de dispositivos médicos	Ciclo de vida do software por classe de segurança, gestão de riscos
Qualidade	ISO 13485	Fabricantes de dispositivos	Um sistema de gestão de qualidade que abrange design, produção, reclamações
Segurança	ISO/IEC 27001, ISO 27799, ISO 27701	Qualquer organização; orientação específica para a saúde	Um sistema de gestão de segurança da informação, controlos de saúde, extensão de privacidade
Segurança	NIS2, Diretiva 2022/2555	Prestadores de cuidados de saúde, fabricantes de dispositivos, fornecedores de nuvem e digitais acima de limiares de dimensão	Medidas de risco, comunicação de incidentes em 24/72 h, responsabilidade da gestão
Segurança	Regra de Segurança da HIPAA	Entidades abrangidas pelos EUA e associados comerciais	Salvaguardas administrativas, físicas e técnicas; análise de risco
Identidade	eIDAS 2 e a Carteira Europeia de Identidade Digital	Serviços que verificam a identidade de cidadãos da UE	Aceitação da carteira para identificação forte a partir de 2026–2027

Quem está abrangido pelo quê

Quais regras de dados de saúde se aplicam depende do que o software faz. Uma aplicação para consumidores sem alegações médicas responde ao Artigo 9.º do RGPD, a uma DPIA e prática de segurança; adicionar interpretação torna-a um dispositivo médico ao abrigo do MDR; uma plataforma FHIR é um processador RGPD e, por vezes, ao abrigo da NIS2; um hospital abrange tudo isto mais a NIS2 como entidade essencial.

Uma aplicação de saúde para o consumidor sem alegações médicas (um diário de sintomas, um registo de relatórios de laboratório): Artigo 9.º do RGPD com consentimento explícito, uma AVD, prática de segurança ao nível da ISO 27001, e o rótulo de aplicação de bem-estar do EHDS se reivindicar ligação a sistemas de DME. Não é um dispositivo médico, desde que o seu propósito pretendido permaneça não médico. Nos EUA: regras da FTC e leis estaduais de privacidade da saúde em vez da HIPAA.
A mesma aplicação com uma funcionalidade de interpretação ("o seu resultado sugere…"): um dispositivo médico ao abrigo da Regra 11 do MDR, geralmente classe IIa, com IEC 62304 e ISO 13485 por trás. Ver Uma aplicação de saúde é um dispositivo médico? e Classes de SaMD.
Um fornecedor de plataforma ou integração FHIR: RGPD como processador (contratos do Artigo 28.º), ISO 27001, possivelmente NIS2 como fornecedor de infraestrutura digital ou serviço TIC, obrigações do EHDS quando faz parte de um sistema de DME, HIPAA como associado comercial nos EUA.
Um hospital: tudo o acima como controlador e operador, mais NIS2 como entidade essencial, leis nacionais de registo de saúde e os prazos do EHDS para ligação à infraestrutura nacional.
Uma plataforma de investigação: Artigo 9.º(2)(j) e Artigo 89.º do RGPD, o capítulo de uso secundário do EHDS (licenças de um organismo de acesso a dados de saúde, ambientes de processamento seguros), e normas de anonimização. Ver Uso secundário de dados de saúde.

Em que ordem

A conformidade dos dados de saúde é melhor abordada numa ordem fixa: primeiro escreva o propósito pretendido, porque decide se o software é um dispositivo médico; depois a proteção de dados (base legal, DPIA, contratos de processador); depois uma linha de base de segurança ao abrigo da ISO 27001; depois os mandatos de interoperabilidade como FHIR e EHDS ou USCDI; depois a rota do dispositivo, se houver; finalmente questões transfronteiriças.

Decida o propósito pretendido por escrito. Determina se é um dispositivo médico, e todo o resto segue-se disso.
Proteção de dados primeiro: base legal, AVD, contratos de processador, DPO. Estes são necessários antes do primeiro utilizador real, em todos os cenários. Ver Artigo 9.º do RGPD para dados de saúde e AVD para uma aplicação de saúde.
Base de segurança: um SGSI ao abrigo da ISO 27001, mapeado para os controlos de saúde da 27799; isto também responde à maior parte da NIS2 e da Regra de Segurança da HIPAA. Ver ISO 27001 vs ISO 27799 e NIS2 para hospitais e fornecedores.
Mandatos de interoperabilidade: FHIR e o formato de intercâmbio do seu mercado (EHDS, USCDI/US Core) para que o produto não seja excluído da infraestrutura nacional. Ver USCDI explicado e TEFCA explicado.
Rota do dispositivo, se aplicável: classificação, sistema de qualidade, ciclo de vida, organismo notificado ou via FDA. Orçamente um ano.
Transfronteiriço: diferenças HIPAA vs RGPD ao servir ambos os mercados (HIPAA vs RGPD), mecanismos de transferência, localização do alojamento.

Onde a Anpheros se posiciona

Anpheros Daily é um registo de saúde pessoal com um propósito pretendido não médico declarado: armazena, exibe e partilha, e não interpreta nem recomenda. Anpheros Platform é um backend FHIR R4 oferecido a clínicas e desenvolvedores como processador ao abrigo do Artigo 28.º do RGPD, com consentimento controlado pelo paciente e registos de acesso. As páginas de regulamentação neste cluster descrevem as regras como se aplicam a qualquer produto deste tipo; a página de transparência descreve como a Anpheros as aplica a si mesma.

Esta página explica a regulamentação para equipas de produto e engenharia. Não constitui aconselhamento jurídico; os textos ligados em Fontes são a autoridade, e o seu responsável pela proteção de dados, organismo notificado ou consultor decide para o seu caso. Última revisão: Outubro de 2026.

Páginas relacionadas

Fontes

Perguntas frequentes

O RGPD aplica-se a uma empresa dos EUA com utilizadores da UE?

Sim, ao abrigo do Artigo 3.º(2), assim que oferece serviços a pessoas na UE ou monitoriza o seu comportamento, independentemente de onde os servidores estejam localizados. Necessita então de um representante na UE, uma base legal ao abrigo do Artigo 9.º e um mecanismo de transferência legal.

A HIPAA é mais rigorosa que o RGPD?

Nenhum é estritamente mais rigoroso. A HIPAA tem um âmbito mais restrito (apenas entidades abrangidas e associados comerciais) e é mais prescritiva sobre salvaguardas; o RGPD é mais amplo (qualquer pessoa que processe dados de residentes da UE), baseado em direitos e requer uma base legal para cada uso. Um produto em ambos os mercados deve cumprir ambos.

O EHDS substitui o RGPD para dados de saúde?

Não. O EHDS baseia-se no RGPD e adiciona obrigações para sistemas de DME, acesso do paciente, intercâmbio transfronteiriço e uso secundário. O RGPD continua a ser a base para cada operação de processamento.

Por onde começo se não tiver uma equipa de conformidade?

Escreva o propósito pretendido, execute uma AVD com um modelo, adote uma base de segurança ao estilo ISO 27001 e utilize FHIR com os perfis do seu mercado. Estes quatro passos cobrem a maior parte do que uma primeira auditoria ou um primeiro cliente hospitalar irá pedir.

Anpheros Platform

Experimente grátis no sandbox

Sua primeira chamada FHIR em 5 minutos. Uma API HL7 FHIR R4 com o consentimento do paciente integrado: experimente na sandbox e depois conecte a sua própria app ou sistema clínico.

Criar um sandbox grátis Ler os guias para programadores →

Grátis · 30 pacientes sintéticos · sem cartão

Este guia é meramente informativo e não substitui aconselhamento médico. Para decisões sobre a sua saúde, fale com o seu médico. Em uma emergência, ligue para o número de emergência local (112 na Europa).

Escrito por

A equipa Anpheros

A Anpheros desenvolve um registo médico que o doente controla e pode partilhar com qualquer clínica, numa plataforma HL7 FHIR R4, sediada na UE. Estes guias ajudam-no a compreender e organizar a sua saúde; não substituem o seu médico.

Sobre a Anpheros →

Mapa de regulamentação de dados de saúde: EHDS, Artigo 9.º do RGPD, MDR e IVDR, IEC 62304, ISO 13485, 27001 e 27799, NIS2, HIPAA, TEFCA e eIDAS