Portabilidade de dados: saúde pública vs privada ao abrigo da lei da UE

As organizações de saúde que atuam na Europa enfrentam uma obrigação legal quanto à portabilidade dos dados dos doentes, e não apenas um objetivo técnico. O que é menos compreendido é que essa obrigação não se aplica de forma uniforme. Uma clínica privada em Amesterdão, um hospital público em Madrid e um prestador de modelo misto em Berlim podem todos tratar o mesmo tipo de registo de doente, mas enfrentar requisitos legais significativamente diferentes quando um doente solicita a transferência dos seus dados para outro local. A razão está numa característica estrutural do direito da UE: as regras de proteção de dados são definidas a nível supranacional, mas a prestação de cuidados de saúde permanece uma competência nacional. O fundamento jurídico em que um prestador se baseia para tratar dados de doentes determina quais direitos de portabilidade se aplicam efetivamente. Para os decisores na área da saúde responsáveis pela conformidade, infraestrutura de TI ou operações clínicas, compreender esta distinção é um trabalho de base essencial antes que os prazos de implementação do Espaço Europeu de Dados de Saúde comecem a apertar. Conhecer as obrigações de segurança e privacidade de dados é pré-requisito para esta análise.

O enquadramento jurídico: o que a legislação da UE efetivamente exige

Três camadas regulamentares distintas regem a portabilidade de dados de doentes na Europa. Elas interagem de forma diferente consoante o tipo de prestador.

A primeira é o Regulamento Geral sobre a Proteção de Dados (RGPD), que estabelece o direito básico à portabilidade de dados ao abrigo do artigo 20.º, mas contém uma limitação crítica que reduz significativamente a sua aplicação nos cuidados de saúde públicos. A segunda é o Regulamento do Espaço Europeu de Dados de Saúde (EEDS), Regulamento (UE) 2025/327, que entrou em vigor a 26 de março de 2025 e representa a mudança estrutural mais significativa na governação de dados de saúde na história da UE. A terceira camada é a legislação nacional de transposição, que rege a forma como os sistemas de saúde públicos gerem o acesso e a transferência de registos, frequentemente através de legislação setorial de saúde.

Estas camadas não funcionam de forma independente. O RGPD continua a ser o enquadramento principal de proteção de dados. O EEDS introduz obrigações setoriais específicas que coexistem com ele. Como destaca a análise da Taylor Wessing sobre a relação EEDS-RGPD, o EEDS não substitui o RGPD, mas constrói um enquadramento setorial sobre ele, com implementação faseada a partir de março de 2027 para as disposições gerais e março de 2029 para as regras de utilização primária e secundária. Os decisores precisam de compreender as três camadas para avaliar corretamente as suas obrigações. Confiar apenas no RGPD dá uma visão incompleta.

Artigo 20.º do RGPD: onde a distinção público/privado surge pela primeira vez

O artigo 20.º do RGPD concede aos indivíduos o direito de receber os seus dados pessoais num formato estruturado, de uso corrente e de leitura automática. Podem transmiti-los a outro responsável pelo tratamento. Este direito não é universal. Aplica-se apenas quando o tratamento se baseia no consentimento (artigo 6.º, n.º 1, alínea a), ou artigo 9.º, n.º 2, alínea a)) ou num contrato (artigo 6.º, n.º 1, alínea b)). Quando o tratamento se fundamenta numa obrigação jurídica ou no exercício de funções de interesse público, artigos 6.º, n.º 1, alíneas c) e e), respetivamente, o artigo 20.º não se aplica.

É neste ponto que a distinção público/privado se torna operacionalmente significativa pela primeira vez. A maioria dos prestadores de cuidados de saúde públicos trata dados de doentes ao abrigo de um mandato legal. Um serviço nacional de saúde que atende um doente fá-lo não com base num contrato com esse doente, nem normalmente com base no consentimento. Cumpre uma função pública legalmente definida. Isto significa que o direito de portabilidade do RGPD não se aplica diretamente à maioria do tratamento de dados do sistema de saúde público na UE.

A consequência prática é que os doentes que pretendem transferir os seus registos de um hospital público para um especialista privado, ou de um sistema nacional de saúde para outro, não podem invocar o artigo 20.º do RGPD para exigir essa transferência. Devem, em vez disso, recorrer às disposições da legislação nacional de saúde, que variam consideravelmente entre os Estados-Membros.

Como os prestadores de cuidados de saúde públicos são tratados ao abrigo da legislação da UE e nacional

Os prestadores de cuidados de saúde públicos em toda a UE implementam direitos de acesso e transferência de registos de doentes através de legislação setorial específica. As obrigações existem, mas estão enraizadas em enquadramentos legislativos de saúde que diferem substancialmente consoante a jurisdição.

Nos principais mercados europeus, o panorama é fragmentado:

• Modelos nórdicos (Dinamarca, Finlândia, Suécia) contam com infraestrutura nacional de registos médicos e portais de doente relativamente maduros, com direitos legais de acesso a registos incorporados na legislação de saúde. O sistema Kanta da Finlândia oferece aos doentes um ponto de acesso digital centralizado para registos detidos por prestadores públicos.

• Alemanha introduziu um direito legal para os doentes receberem cópias dos seus registos ao abrigo da Lei dos Direitos dos Doentes (Patientenrechtegesetz), com os prestadores obrigados a responder sem demora injustificada. O país também tem vindo a desenvolver a sua Telematikinfrastruktur (TI) como espinha dorsal nacional de interoperabilidade.

• França implementou a plataforma Mon Espace Santé como um espaço de dados de saúde centrado no doente. Fornece acesso a registos de prestadores públicos ao abrigo da legislação nacional de saúde digital.

• Sistemas públicos do sul da Europa (Espanha, Itália, Portugal) possuem direitos legais de acesso, mas enfrentam maior variação ao nível regional. A qualidade da implementação está intimamente ligada à capacidade da autoridade de saúde regional.

O ponto-chave para os decisores é que estas obrigações são reais e executáveis, mas são administradas através dos enquadramentos dos ministérios da saúde. Isto significa que o organismo de supervisão, o mecanismo de execução e o prazo aplicável podem todos diferir daqueles que se aplicam a um prestador privado ao abrigo do RGPD.

Como os prestadores de cuidados de saúde privados são tratados ao abrigo do RGPD

Os prestadores de cuidados de saúde privados que tratam dados de doentes com base no consentimento ou contrato estão diretamente sujeitos ao artigo 20.º do RGPD. Isto aplica-se à maioria das clínicas privadas, consultórios de especialistas e serviços de diagnóstico independentes que operam na UE, onde não existe um mandato legal que regule a relação de tratamento.

Ao abrigo do artigo 20.º, os doentes podem solicitar:

• Os seus dados pessoais num formato estruturado, de uso corrente e de leitura automática

• Transmissão direta desses dados a outro responsável pelo tratamento, quando tecnicamente viável

• Uma resposta no prazo de um mês a contar do pedido, prorrogável por mais dois meses quando os pedidos são complexos ou numerosos (com notificação ao doente no primeiro mês)

O que conta como "dados pessoais" para efeitos de portabilidade num contexto clínico é mais amplo do que muitos prestadores privados supõem. Inclui dados ativamente fornecidos pelo doente (informações de registo, histórico médico fornecido na admissão) e dados gerados durante a relação de serviço (registos de consultas, notas clínicas, resultados de exames). Não inclui dados derivados ou inferidos pelo prestador, uma distinção que se torna relevante ao considerar códigos clínicos gerados por IA ou pontuações de risco.

"Leitura automática" ao abrigo do RGPD significa um formato que um computador pode processar automaticamente, como JSON, XML ou CSV, em vez de um PDF digitalizado ou documento impresso. Na prática, muitos sistemas de registos médicos privados podem exportar dados nestes formatos, mas produzir uma exportação estruturada clinicamente significativa que preserve a codificação, terminologia e relações entre registos é um desafio técnico à parte.

O Espaço Europeu de Dados de Saúde: colmatar a lacuna entre setores

O Regulamento EEDS é o desenvolvimento mais relevante nesta área para os decisores de saúde acompanharem. A sua ambição central é estabelecer um enquadramento consistente para o acesso e portabilidade de dados de saúde que se aplique tanto a prestadores públicos como privados, colmatando a lacuna criada pela dependência do fundamento jurídico do RGPD.

O EEDS introduz vários mecanismos diretamente relevantes para a portabilidade:

• Um direito de portabilidade de utilização primária reforçado ao abrigo do artigo 3.º, n.º 8, que vai além do artigo 20.º do RGPD ao remover a restrição do fundamento jurídico e abranger dados tratados ao abrigo de qualquer fundamento jurídico do artigo 9.º do RGPD. No entanto, este direito aplica-se apenas a detentores de dados do setor da saúde e segurança social. Isto significa que os doentes podem solicitar a portabilidade dos seus dados de saúde de prestadores públicos neste setor que antes estavam fora do âmbito do artigo 20.º do RGPD.

• A infraestrutura MyHealth@EU, que permite o acesso transfronteiriço aos dados de saúde dos doentes nos Estados-Membros participantes, com pontos de contacto nacionais a coordenar a interoperabilidade.

• Formatos de dados normalizados, com o HL7 FHIR a emergir como a base de interoperabilidade para sistemas de registos médicos ao abrigo dos requisitos do EEDS.

• Organismos de Acesso a Dados de Saúde (HDABs), que irão reger a utilização secundária de dados de saúde por investigadores, indústria e organismos públicos, sujeitos a um sistema de autorização em vez de consentimento individual.

Como confirma o briefing jurídico da Skadden sobre o EEDS, todos os prestadores de cuidados de saúde estabelecidos na UE, incluindo hospitais, clínicas e consultórios privados, estão sujeitos às mesmas obrigações de conformidade do EEDS para partilha de dados, interoperabilidade e acesso dos doentes. O não cumprimento acarreta coimas equivalentes às do RGPD.

A literatura académica assinala ambiguidades importantes no texto do EEDS. Uma análise revista por pares na Computer Law & Security Review destaca uma tensão entre o Considerando 12, que apela a que a portabilidade se aplique a qualquer responsável pelo tratamento de dados, público ou privado, e o próprio artigo 3.º, n.º 8, que limita as obrigações aos detentores de dados "do setor da saúde e segurança social". O âmbito preciso de quem se qualifica como detentor de dados de saúde em casos limítrofes (aplicações de bem-estar, prestadores de saúde ocupacional, plataformas de telemedicina) permanece sujeito a interpretação.

Prazos de transferência de registos: uma comparação por tipo de prestador e mercado

Os prazos de resposta para pedidos de portabilidade e transferência de registos variam significativamente consoante o tipo de prestador, legislação aplicável e jurisdição.

Espera-se que o EEDS introduza prazos mais harmonizados entre os Estados-Membros, mas os prazos específicos para pedidos de portabilidade feitos pelos doentes ao abrigo do enquadramento de utilização primária do EEDS serão definidos através de atos de execução e transposição pelos Estados-Membros. Os decisores devem acompanhar de perto os processos de transposição nacional do EEDS, pois estes definirão os parâmetros operacionais para os programas de conformidade.

Requisitos de formato: dados estruturados, interoperabilidade e o que os sistemas devem suportar

O RGPD exige que os dados portáveis sejam fornecidos num formato de leitura automática, mas não impõe uma norma técnica específica. Isto resultou numa variação significativa na prática, com alguns prestadores a fornecer exportações em JSON ou XML e outros a oferecer ficheiros CSV que carecem de notas estruturadas ou contexto de terminologia.

O EEDS aborda esta questão diretamente. Como confirmado pela análise da A&O Shearman sobre os requisitos de sistemas de registos médicos do EEDS, o regulamento exige que os detentores de dados de saúde mantenham dados estruturados e interoperáveis em formatos compatíveis com o enquadramento técnico do EEDS, com o HL7 FHIR a emergir como a norma para troca de dados clínicos.

Para sistemas de registos médicos que operam em ambientes públicos e privados, isto cria vários requisitos práticos:

• A capacidade de exportar dados clínicos estruturados em formatos compatíveis com HL7 FHIR, preservando códigos SNOMED CT, classificações ICD e terminologia de medicamentos

• Portais de acesso voltados para o doente que permitam aos indivíduos visualizar, descarregar e transmitir os seus registos sem necessidade de intermediação administrativa

• Registo de auditoria de todos os eventos de acesso e exportação de dados, para demonstrar conformidade tanto com as obrigações de responsabilização do RGPD como com os controlos de acesso do EEDS

• Interoperabilidade com a infraestrutura nacional de sistemas de registos médicos (como a TI da Alemanha, o Mon Espace Santé de França ou o Kanta da Finlândia), quando aplicável

Os sistemas legados em instituições públicas apresentam um desafio particular. Muitos sistemas nacionais de saúde operam em plataformas de registos médicos que não foram concebidas para exportação de dados estruturados. O custo e a complexidade de atualizar ou substituir estes sistemas é substancial. A investigação sobre infraestrutura segura compatível com o EEDS destaca que cumprir os requisitos do artigo 50.º para ambientes de processamento seguros e normas de interoperabilidade exige investimento técnico significativo, especialmente em instituições que historicamente operaram sistemas isolados e não interoperáveis.

Condições de consentimento e fundamento jurídico: porque mudam tudo

O fundamento jurídico em que um prestador se baseia para tratar dados de doentes é a variável mais determinante na definição de que obrigações de portabilidade se aplicam. Isto não é um detalhe técnico. É a base de toda a análise de conformidade.

Para prestadores de cuidados de saúde públicos, os fundamentos relevantes são tipicamente o artigo 6.º, n.º 1, alínea c) (obrigação jurídica) e o artigo 6.º, n.º 1, alínea e) (interesse público), combinados com o artigo 9.º, n.º 2, alínea h) (fins de saúde ou assistência social) para dados de categorias especiais. Estes fundamentos excluem o prestador do artigo 20.º do RGPD, mas não eliminam todas as obrigações relacionadas com a portabilidade. A legislação nacional de saúde ainda rege o acesso e transferência de registos.

Para prestadores de cuidados de saúde privados, a situação é mais complexa. Muitos tratam dados ao abrigo de uma combinação de fundamentos: consentimento para utilizações opcionais (marketing, participação em investigação), contrato para a relação de tratamento central e, em alguns casos, obrigação jurídica para notificações obrigatórias. O direito de portabilidade ao abrigo do artigo 20.º do RGPD aplica-se apenas aos dados tratados com base em consentimento ou contrato. Isto significa que um prestador privado deve ser capaz de identificar, ao nível do registo, que dados foram tratados com base em que fundamento.

Os prestadores de modelo misto, como clínicas privadas contratadas para prestar serviços dentro de um sistema de saúde público, ou hospitais públicos com alas de doentes privados, enfrentam a análise mais complexa. O parecer da Arnold & Porter sobre o EEDS destaca que a definição de "detentor de dados de saúde" do EEDS se aplica a qualquer pessoa coletiva com o direito ou obrigação de tratar dados pessoais de saúde, independentemente de serem nominalmente públicos ou privados. As pessoas singulares e microempresas (menos de 10 trabalhadores e volume de negócios anual ou balanço total não superior a 2 milhões de euros) estão excluídas das obrigações de detentor de dados de saúde por defeito, embora os Estados-Membros possam estender as obrigações a elas.

Uma análise indexada no PubMed sobre o enquadramento de utilização secundária do EEDS nota que o desenho do regulamento reflete uma escolha política deliberada de se afastar do consentimento como mecanismo primário para a governação de dados de saúde, substituindo-o por um sistema baseado em autorizações administrado por Organismos de Acesso a Dados de Saúde para utilização secundária. Para utilização primária, o direito de portabilidade reforçado ao abrigo do artigo 3.º, n.º 8, contorna a dependência do fundamento jurídico, mas apenas quando as disposições relevantes do EEDS entrarem em vigor em março de 2029.

Portabilidade transfronteiriça: o que acontece quando os doentes se deslocam entre Estados-Membros

A portabilidade transfronteiriça de registos é a área onde a fragmentação é mais acentuada e onde se espera que o EEDS tenha o maior impacto prático. Atualmente, um doente que se desloca de França para os Países Baixos, ou um trabalhador transfronteiriço que recebe cuidados num Estado-Membro diferente, não tem nenhum mecanismo fiável para garantir que os seus registos de saúde o acompanham. Os sistemas nacionais de registos médicos usam diferentes modelos de dados, diferentes sistemas de codificação e diferentes protocolos de acesso.

O EEDS aborda esta questão através da infraestrutura MyHealth@EU, que exige que os Estados-Membros participem na troca transfronteiriça de dados de saúde através de pontos de contacto nacionais. A infraestrutura baseia-se no enquadramento existente epSOS/eHealth Digital Service Infrastructure (eHDSI), mas expande significativamente o seu âmbito e mandato legal.

A investigação sobre a implementação de Organismos de Acesso a Dados de Saúde do EEDS identifica vários desafios persistentes para a utilização secundária transfronteiriça de dados de saúde: maturidade inconsistente dos sistemas de saúde digital entre Estados-Membros, normas de qualidade de dados variáveis e ausência de enquadramentos de governação harmonizados para Organismos de Acesso a Dados de Saúde. Estes desafios aplicam-se com igual ou maior intensidade à portabilidade transfronteiriça de utilização primária, onde a infraestrutura técnica e jurídica para transferência contínua de registos permanece subdesenvolvida na maioria dos Estados-Membros.

Para prestadores que operam em regiões fronteiriças, como a fronteira germano-francesa, o corredor Benelux ou o mercado de trabalho transfronteiriço nórdico, ou que servem populações de doentes internacionalmente móveis, a abordagem prática atual envolve registos detidos pelo doente (em papel ou digitais) como solução-ponte até que a infraestrutura do EEDS esteja operacional.

Implicações práticas para a infraestrutura de TI em ambientes mistos público-privados

Para decisores que gerem TI em ambientes de cuidados públicos e privados, a análise jurídica acima traduz-se num conjunto de requisitos operacionais concretos.

Suportar múltiplos fundamentos jurídicos dentro de uma única plataforma é o desafio mais imediato. Um sistema de registos médicos utilizado num ambiente de modelo misto deve ser capaz de registar e agir sobre diferentes fundamentos de tratamento para diferentes categorias de dados e populações de doentes. Deve gerar exportações de portabilidade que reflitam corretamente que dados se qualificam ao abrigo do artigo 20.º do RGPD e que dados serão abrangidos pelo artigo 3.º, n.º 8 do EEDS quando este entrar em vigor.

As obrigações de auditoria e registo aplicam-se a ambos os enquadramentos. Os requisitos de responsabilização do RGPD (artigo 5.º, n.º 2) exigem que os responsáveis pelo tratamento demonstrem conformidade, o que na prática significa registar todos os eventos de acesso, exportação e transferência de dados. O EEDS acrescenta requisitos adicionais de registo para interações com organismos de acesso a dados de saúde e trocas transfronteiriças.

As decisões de arquitetura de interoperabilidade tomadas agora determinarão a prontidão de conformidade em 2027 a 2029. A Lei de Dados da UE (Regulamento (UE) 2023/2854), que se tornou aplicável a 12 de setembro de 2025, acrescenta obrigações adicionais de partilha de dados para dispositivos médicos conectados e ferramentas de saúde digital, criando uma camada de conformidade adicional para prestadores privados que usam equipamento clínico habilitado para IoT ou dispositivos vestíveis de monitorização de saúde. Para uma visão mais ampla do panorama regulamentar, consulte o nosso guia sobre regulamentos de IA na saúde da UE.

Os portais de acesso voltados para o doente são cada vez mais um requisito de conformidade. Tanto o RGPD (através do direito de acesso ao abrigo do artigo 15.º) como o EEDS (através do direito de acesso de utilização primária) exigem que os doentes possam aceder aos seus dados de forma atempada e acessível. Os prestadores que dependem de processos de pedido manuais, como formulários em papel, equipas administrativas ou entrega postal, enfrentam tanto risco de conformidade como ineficiência operacional à medida que os volumes de pedidos aumentam.

Principais lacunas de conformidade a avaliar antes da implementação do EEDS

As áreas mais comuns onde os prestadores públicos e privados atualmente ficam aquém da norma de conformidade emergente são identificáveis a partir da análise jurídica e técnica acima. Para equipas de TI e conformidade que constroem roteiros antes dos prazos faseados do EEDS, as seguintes representam as lacunas de maior prioridade:

• Formatos de registo não legíveis automaticamente: Muitos prestadores, especialmente em sistemas públicos, ainda geram documentação clínica em formatos como PDFs digitalizados ou formatos legados proprietários que não podem ser processados automaticamente. Cumprir os requisitos de formato do EEDS exigirá substituição de sistemas ou soluções de middleware capazes de transformar saídas legadas em exportações compatíveis com HL7 FHIR.

• Ausência de portais de acesso a dados voltados para o doente: Os prestadores que ainda não implementaram portais de doentes de autosserviço precisarão de construir ou adquirir esta capacidade. O enquadramento de utilização primária do EEDS assume o acesso digital como padrão.

• Documentação de consentimento pouco clara em contextos privados: Os prestadores privados que se baseiam no consentimento como fundamento jurídico para algum tratamento devem ser capazes de demonstrar que o consentimento foi dado livremente, de forma específica, informada e inequívoca. Devem ser capazes de associar registos de consentimento a categorias de dados específicas para fins de portabilidade.

• Sistemas de registos médicos legados que não podem exportar dados estruturados: Esta é a lacuna de infraestrutura mais significativa nos sistemas de saúde públicos. A investigação IMPaCT-Data sobre infraestrutura compatível com o EEDS demonstra que cumprir os requisitos de segurança e interoperabilidade do artigo 50.º do EEDS exige investimento técnico substancial. Muitas implementações de sistemas de registos médicos do setor público existentes carecem da arquitetura para suportar isto sem remediação significativa.

• Classificação pouco clara de tratamento de modelo misto: Os prestadores que operam em modalidades públicas e privadas sem um mapeamento claro de que atividades se baseiam em que fundamento jurídico estão expostos tanto ao risco de conformidade do RGPD como do EEDS. Um mapeamento documentado de atividades de tratamento, atualizado para refletir as obrigações de detentor de dados de saúde do EEDS, é um pré-requisito fundamental.

Vale a pena reconhecer uma limitação genuína no estado atual da evidência. A análise académica das disposições de portabilidade do EEDS identifica ambiguidades não resolvidas no texto do regulamento que só serão clarificadas através de atos de execução, transposição pelos Estados-Membros e, eventualmente, orientação de autoridades de supervisão ou jurisprudência. Os decisores devem tratar as avaliações de conformidade atuais como hipóteses de trabalho sujeitas a revisão à medida que o enquadramento regulamentar amadurece, em vez de conclusões definitivas.

A evolução do conceito de dados de saúde através do RGPD, da Lei de Governação de Dados e do EEDS reflete uma trajetória política deliberada em direção a maior acesso a dados e portabilidade intersectorial. O ritmo de implementação, e o grau de harmonização alcançado na prática, dependerá fortemente de escolhas de transposição nacional que ainda estão a ser feitas nos Estados-Membros da UE.

Perguntas frequentes

O RGPD dá aos doentes o direito de transferir os seus dados de saúde de qualquer prestador?

Não. O direito à portabilidade de dados do Regulamento Geral sobre a Proteção de Dados ao abrigo do artigo 20.º aplica-se apenas quando o tratamento se baseia no consentimento ou contrato. A maioria dos prestadores de cuidados de saúde públicos trata dados de doentes ao abrigo de um mandato legal, o que significa que o artigo 20.º não se lhes aplica. Os doentes que pretendem transferir registos de um hospital público devem recorrer à legislação nacional de saúde, que varia consideravelmente entre os Estados-Membros da UE.

O que é o Espaço Europeu de Dados de Saúde e quando se aplica?

O Espaço Europeu de Dados de Saúde (EEDS) é um regulamento da UE (Regulamento (UE) 2025/327) que entrou em vigor a 26 de março de 2025. Introduz um enquadramento setorial específico para acesso e portabilidade de dados de saúde que coexiste com o Regulamento Geral sobre a Proteção de Dados, em vez de o substituir. As disposições gerais aplicam-se a partir de março de 2027, com as regras de utilização primária e secundária a seguir em março de 2029. Aplica-se a todos os prestadores de cuidados de saúde estabelecidos na UE, incluindo hospitais públicos e clínicas privadas.

Como é que o EEDS altera os direitos de portabilidade em comparação com o RGPD?

O EEDS introduz um direito de portabilidade reforçado ao abrigo do artigo 3.º, n.º 8, que remove a restrição do fundamento jurídico encontrada no artigo 20.º do RGPD. Isto significa que os doentes poderão solicitar a portabilidade dos seus dados de saúde de prestadores públicos que antes estavam fora do âmbito do RGPD. No entanto, este direito aplica-se apenas a detentores de dados do setor da saúde e segurança social e só entra em vigor em março de 2029.

Que formato devem os prestadores usar ao responder a um pedido de portabilidade?

Ao abrigo do RGPD, os dados portáveis devem ser fornecidos num formato estruturado, de uso corrente e de leitura automática, como JSON, XML ou CSV. Um PDF digitalizado ou documento impresso não cumpre este requisito. O EEDS vai mais longe ao exigir que os detentores de dados de saúde mantenham dados estruturados e interoperáveis compatíveis com o enquadramento técnico do EEDS, com o HL7 FHIR a emergir como a norma para troca de dados clínicos.

Quanto tempo tem um prestador privado para responder a um pedido de portabilidade de dados?

Ao abrigo do artigo 20.º do RGPD, um prestador privado que trata dados com base no consentimento ou contrato deve responder no prazo de um mês a contar da receção do pedido. Quando os pedidos são complexos ou numerosos, este prazo pode ser prorrogado por mais dois meses, desde que o prestador notifique o doente no primeiro mês. Os prestadores públicos são regidos pela legislação nacional de saúde e os prazos variam por Estado-Membro.

Que obrigações de portabilidade se aplicam aos prestadores de modelo misto?

Os prestadores de modelo misto, como clínicas privadas contratadas para prestar serviços dentro de um sistema de saúde público, enfrentam a análise de conformidade mais complexa. O EEDS define um "detentor de dados de saúde" como qualquer pessoa coletiva com o direito ou obrigação de tratar dados pessoais de saúde, independentemente de serem nominalmente públicos ou privados. Isto significa que os prestadores de modelo misto precisam de um mapeamento claro de que atividades se baseiam em que fundamento jurídico para avaliar corretamente as suas obrigações ao abrigo tanto do RGPD como do EEDS.

Como funciona a portabilidade transfronteiriça para doentes que se deslocam entre Estados-Membros da UE?

Atualmente, não existe nenhum mecanismo fiável para doentes que se deslocam entre Estados-Membros garantirem que os seus registos de saúde os acompanham. Os sistemas nacionais de registos médicos usam diferentes modelos de dados, sistemas de codificação e protocolos de acesso. O EEDS aborda esta questão através da infraestrutura MyHealth@EU, que exige que os Estados-Membros participem na troca transfronteiriça de dados de saúde através de pontos de contacto nacionais. Até que essa infraestrutura esteja operacional, os registos detidos pelo doente permanecem a solução-ponte prática para doentes internacionalmente móveis.

Quais são as lacunas de conformidade mais comuns que os prestadores devem abordar antes dos prazos do EEDS?

As lacunas de maior prioridade identificadas no artigo são: documentação clínica armazenada em formatos não legíveis automaticamente, como PDFs digitalizados; ausência de portais de acesso a dados de autosserviço voltados para o doente; documentação de consentimento pouco clara em contextos privados; sistemas de registos médicos legados que não podem exportar dados estruturados em formatos compatíveis com HL7 FHIR; e ausência de um mapeamento documentado de atividades de tratamento que distinga o tratamento de interesse público do tratamento baseado em consentimento ou contrato.

O EEDS aplica-se a pequenos consultórios privados e microempresas?

As pessoas singulares e microempresas, definidas como organizações com menos de 10 trabalhadores e um volume de negócios anual ou balanço total não superior a 2 milhões de euros, estão excluídas das obrigações de detentor de dados de saúde ao abrigo do EEDS por defeito. No entanto, os Estados-Membros têm a opção de estender estas obrigações a elas através de legislação nacional de transposição, pelo que os prestadores nesta categoria devem acompanhar de perto a implementação na sua própria jurisdição.

O que significa o EEDS para os sistemas de registos médicos em instituições públicas?

As instituições públicas enfrentam um desafio de infraestrutura significativo. Muitos sistemas nacionais de saúde operam em plataformas de registos médicos que não foram concebidas para exportação de dados estruturados. Cumprir os requisitos do artigo 50.º do EEDS para ambientes de processamento seguros e normas de interoperabilidade exige investimento técnico substancial. A investigação citada no artigo confirma que muitas implementações do setor público existentes carecem da arquitetura para suportar a conformidade com o EEDS sem trabalho de remediação significativo.