Parecer n.º 11/2026

PAR/2026/8 1 PARECER/2026/11 I. Pedido 1. O Secretário de Estado da Presidência do Conselho de Ministros solicitou à Comissão Nacional de Proteção de Dados (CNPD) que se pronunciasse sobre o Projeto de Decreto-Lei que regulamenta a Lei n.º 75/2021 de 18 de novembro, que reforça o acesso ao crédito e contrato de seguros por pessoas que tenham superado ou mitigado situações de risco agravado de saúde ou de deficiência, proibindo práticas discriminatórias e consagrando o direito ao esquecimento (Projeto) MCJD-(Reg. DL 450/XXV/2025). 2. O presente Projeto procede ainda à 2.ª alteração da Lei n.º 75/2021, de 18 de novembro. 3. A CNPD emite parecer no âmbito das suas atribuições e competências enquanto autoridade administrativa independente com poderes de autoridade para o controlo dos tratamentos de dados pessoais, conferidos pela alínea c) do n.º 1 do artigo 57.º, conjugado com a alínea b) do n.º 3 do artigo 58.º, e com o n.º 4 do artigo 36.º, todos do Regulamento (UE) 2016/679, de 27 de abril de 2016 Regulamento Geral sobre a Proteção de Dados (doravante RGPD), em conjugação com o disposto no artigo 3.º, no n.º 2 do artigo 4.º, e na alínea a) do n.º 1 do artigo 6.º, todos da Lei n.º 58/2019, de 8 de agosto, que executa na ordem jurídica interna o RGPD. 4. Note-se que o n.º 12 do artigo 15.º-A do regime jurídico do contrato de seguro, aprovado em anexo ao Decreto-Lei n.º 72/2008, de 16 de abril, prevê que estas matérias são definidas por decreto-lei, após consulta à Comissão Nacional de Proteção de Dados, à Direção-Geral da Saúde e ao Conselho Nacional de Supervisores Financeiros (CNSF) II. Análise 5. A Lei n.º 75/2021, de 18 de novembro, consagrou o chamado «direito ao esquecimento», reforçando assim a igualdade no acesso ao crédito habitação e ao crédito aos consumidores e aos contratos de seguros àqueles associados por pessoas que tenham superado ou mitigado situações de risco agravado de saúde ou de deficiência. 6. O direito ao esquecimento vem consagrado no artigo 17.º do RGPD, correspondendo-lhe a obrigação do responsável pelo tratamento de apagamento dos dados pessoais quando se verifique algum dos motivos previstos no n.º 1 do mesmo artigo; destacando-se a alínea e) do n.º 1 do artigo 17.º, de acordo com a qual  PAR/2026/8 1v. «os dados pessoais têm de ser apagados para o cumprimento de uma obrigação jurídica decorrente do direito da União ou de um Estado Membro a que o responsável pelo tratamento esteja sujeito». 7. A Lei n.º 75/2021, de 18 de novembro veio consagrar especificamente um direito a que não sejam objeto de tratamento certos dados pessoais de saúde de pessoas que tenham superado situações de risco agravado de saúde, melhorando o seu acesso a crédito e a contratos de seguros, devendo o seu regime ser regulado por Decreto-Lei, o que ora se concretiza. Este quadro pressupõe o tratamento de dados de saúde impondo, no entanto, a sua proibição de tratamento verificados determinados requisitos temporais. 8. Nos termos da referida lei cabe ainda ao Governo regulamentar a prestação de cuidados de saúde relacionados por parte do segurador cessante, nos termos do artigo 217.º do RJCS. 9. Quanto a esta matéria, refira-se que a Lei n.º 82/2023, de 19 de dezembro, alterou o artigo 7.º da Lei n.º 75/2021, conferindo à Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) habilitações legais para emissão de regulamentação. Com efeito, este diploma atribui à ASF poderes para regulamentar diversas matérias, designadamente, definir parâmetros para operacionalização do dever de não recolha ou tratamento, pelos seguradores, da informação de saúde relativa à situação médica que originou o risco agravado de saúde ou a deficiência. 10. Assim, a Norma Regulamentar n.º 12/2024-R, de 17 de dezembro, veio estabelecer o dever de a empresa de seguros informar o tomador do seguro e o segurado de que, em caso de não renovação do contrato de seguro ou da cobertura e não estando o risco coberto de forma proporcional por um contrato de seguro posterior, o segurador não pode, nos dois anos subsequentes e até que se mostre esgotado o capital seguro no último período de vigência do contrato, recusar as prestações resultantes de doença manifestada, de outros cuidados de saúde relacionados ou outro facto ocorrido na vigência do contrato, desde que cobertos pelo seguro. 11. Adicionalmente, a empresa de seguros deve prestar outras informações, em particular, o capital seguro remanescente à data da não renovação do contrato de seguro de saúde ou da cobertura e que a empresa de seguros deve ser informada da existência da doença nos 30 dias imediatos ao termo do contrato. 12. Atendendo à sobreposição de habilitação regulamentar, o Legislador opta por incorporar este regime no presente decreto-lei. Relativamente à previsão de um mecanismo de mediação entre os seguradores e as instituições de crédito remete para o sistema de garantias existente. 13. Da análise do Projeto resulta que o mesmo alarga o âmbito de aplicação da lei que consagra o direito ao esquecimento às instituições de pagamento e às instituições de moeda eletrónica, uma vez que  PAR/2026/8 2 estas entidades também concedem crédito ao consumo e atuam como distribuidores de seguros, e, determina a sua não aplicação às empresas de resseguros por não terem uma relação direta com o consumidor no âmbito da comercialização de seguros no âmbito do crédito à habitação e ao consumo. 14. Quanto à previsão de um mecanismo de mediação entre os seguradores e as instituições de crédito e as pessoas que tenham superado ou mitigado situações de risco agravado de saúde ou de deficiência, «opta-se pela remissão para os mecanismos de tratamento de reclamações e de resolução alternativa de litígios já existentes no âmbito do crédito à habitação, ao abrigo do Decreto-Lei n.º 74- A/2017, de 23 de junho, e do crédito aos consumidores, ao abrigo do Decreto-Lei n.º 133/2009, de 2 de junho, bem como no âmbito da atividade seguradora, nos termos do regime jurídico de acesso e exercício da atividade seguradora e resseguradora, aprovado em anexo à Lei n.º 147/2015, de 9 de setembro, e da atividade de distribuição de seguros, nos termos do regime jurídico da distribuição de seguros, aprovado pela Lei n.º 7/2019, de 16 de janeiro, e respetiva regulamentação aplicável.» in trument e cri çã regi e urí ic g r ntístic o ireit es ueciment 15. Começa-se por assinalar que a Lei n.º 75/2021, de 18 de novembro, não define diretamente o regime garantístico do pretendido direito ao esquecimento; antes remete a definição do regime para um «acordo nacional» previsto no n.º 1 do artigo 15.º-A do Regime Jurídico do Contrato de Seguro (RJCS), aprovado em anexo ao Decreto-Lei n.º 72/2008, de 16 de abril aditado pelo seu artigo 6.º - «O Estado, através dos membros do Governo responsáveis pelas áreas das finanças, do comércio, da inclusão e da saúde, celebra e mantém um acordo nacional relativo ao acesso ao crédito e a contratos de seguros por parte de pessoas que tenham superado ou mitigado situações de risco agravado de saúde ou de deficiência entre este e as associações setoriais representativas de instituições de crédito, sociedades financeiras, sociedades mútuas, instituições de previdência e empresas de seguros e resseguros, bem como organizações nacionais que representam pessoas com risco agravado de saúde, pessoas com deficiência e utentes do sistema de saúde.». 16. Na falta de acordo até 30 de junho de 2024, as matérias que este devia abranger são definidas por Decreto Lei, após consulta à Comissão Nacional de Proteção de Dados, à Direção-Geral de Saúde, ao Conselho Nacional de Supervisores Financeiros (CNSF) à Direção Geral do Consumidor e ao Instituto Nacional para a Reabilitação, I.P. vide n.º 12 do mesmo artigo.  PAR/2026/8 2v. 17. A CNPD relembra que se pronunciou sobre o Projeto de Lei n.º 691/XIV/2.ª que «reforça a proteção da pessoa segurada, proibindo práticas discriminatórias, melhorando o acesso ao crédito e contratos de no Parecer n.º 75/2021, de 9 de junho de 2021. 18. Sobre esta opção legislativa atualmente consagrada no artigo n.º 15.º- A do RJCS, pronunciou-se no sentido de que a solução supletiva na falta de acordo ou na circunstância da sua renúncia ou não- prorrogação ou renovação, o regime jurídico é definido por decreto-lei não é clara quanto à sua natureza. Com efeito, incidindo o regime sobre direitos, liberdades e garantias, a sua definição cabe à Assembleia da República, podendo esta recorrer a uma lei de autorização cf. alínea b) do n.º 1 do artigo 165.º da Constituição da República Portuguesa (CRP). 19. A CNPD recomenda, por isso, que se reveja a opção legislativa prevista no n.º 12 do Artigo n.º 15.º-A do regime jurídico do contrato de seguro, aprovado em anexo ao Decreto-Lei n.º 72/2008, de 16 de abril por forma a assegurar que o regime jurídico relativo à garantia do direito ao esquecimento aqui em causa seja definido em instrumento jurídico idóneo a cumprir a finalidade visada. B - O regime jurídico dos tratamentos de dados pessoais dos titulares deste direito ao esquecimento 20. Consideram-se agora as disposições previstas no n.º 2 do artigo 15.º-A do regime jurídico do contrato de seguro, aprovado em anexo ao Decreto-Lei n.º 72/2008, de 16 de abril, aditado pelo artigo 6.º da Lei n.º 75/2021, que prescrevem os elementos regulatórios sobre que o acordo (ou o decreto-lei) deve incidir, revelando para este parecer as disposições que diretamente se reportam a tratamento de dados pessoais. 21. Este acordo que tem como objeto facilitar o acesso ao crédito por parte de pessoas que tenham superado ou mitigado situações de risco agravado de saúde ou de deficiência bem como assegurar que as instituições de crédito ou sociedades financeiras tenham em conta os seus direitos, liberdades e garantias, devendo definir categorias específicas de dados e informações e das suas garantias de sigilo; desenvolver um mecanismo de mediação entre os seguradores e as instituições de crédito e as pessoas que tenham superado ou mitigado situações de risco agravado de saúde ou de deficiência e definir orientações gerais relativamente à informação a divulgar obrigatoriamente nos sítios da internet das instituições de crédito, das sociedades financeiras, das sociedades mútuas, das instituições de previdência e dos seguradores  PAR/2026/8 3 22. Assim, o Projeto em análise vem concretizar as regras que visam assegurar o direito ao esquecimento, consagrando o seu regime jurídico. 23. Porém o Projeto é deliberadamente omisso quanto à definição de categorias específicas de dados e informações que possam ser exigidas e operações de tratamento desses dados e informações e das suas garantias de sigilo. 24. De facto, no Preâmbulo refere-se expressamente ter sido uma opção do legislador não regular tais matérias, «considerando que o direito ao esquecimento pressupõe que, ultrapassados os prazos previstos na lei, a pessoa que superou ou mitigou uma situação de risco agravado de saúde ou de deficiência tem o direito a não prestar informações ao segurador ou à instituição que lhe concedeu crédito por tal ser contrário ao próprio espírito da lei.». E é ainda sublinhado que tais deveres de não recolha e tratamento de informação de saúde pelos seguradores são operacionalizados na Norma Regulamentar n.º 12/2024-R da ASF, de 17 de dezembro, nos termos do artigo 7.º da Lei n.º 75/2021, de 18 de novembro». 25. A CNPD mais uma vez afirma ter dificuldade em perceber como é que as pessoas respondem, no contexto pré-contratual, aos questionários apresentados por tais instituições quanto à sua situação clínica passada e presente sem revelarem a situação que originou o risco agravado de saúde e, sobretudo, como se garante que a eventual omissão do fornecimento dessa informação está de acordo com os prazos definidos no n.º 2 do artigo 3.º da Lei n.º 75/2021 e n.º 2 do artigo 5.º do Projeto.1 26. Estranha-se que o legislador regule a interdição de acesso à informação de saúde dos clientes num determinado limite temporal por estas entidades, sem regular qualquer forma de confirmação do decurso desse prazo, não se especificando como se pode aferir o cumprimento daqueles requisitos, em que parece o diploma ser omisso. 27. Na verdade, ou as instituições teriam de recolher essa informação clínica e confirmar o decurso do prazo aplicável, mas, uma vez verificado e confirmado, estariam proibidas de utilizar esses dados pessoais relativos à situação clínica passada dos seus potenciais clientes, ou teria de haver intervenção de uma terceira entidade a quem caberia fazer essa verificação. 28. Feitas estas observações, importa agora analisar a opção do legislador em não definir categorias específicas de dados e informações e das suas garantias de sigilo contrariamente ao disposto no n.º 2 do 1 Seguimos de perto o Parecer n.º 75/2021, de 9 de junho de 2021.  PAR/2026/8 3v. artigo n.º 15.ºA do regime jurídico do contrato de seguro, aprovado em anexo ao Decreto-Lei n.º 72/2008, de 16 de abril, aditado pelo artigo 6.º da Lei n.º 75/2021. 29. Relembra-se que o RGPD regula o tratamento de dados sensíveis, em que se incluem dados de saúde, no artigo 9.º proibindo inequivocamente o seu tratamento vide o n.º 1 do artigo 9.º RGPD indicando no seu n. º 2 as exceções a tal proibição. Ou seja, a regra é a proibição de tratamento de tais dados exigindo- se a verificação de determinados pressupostos para o seu afastamento. 30. Assim, o tratamento de dados de saúde poderia ocorrer nos casos previstos na alínea b) do n.º 2 do artigo 9.º do RGPD, exigindo-se, todavia, que «esse tratamento seja permitido pelo direito da União ou dos Estados-Membros ou ainda por uma convenção coletiva nos termos do direito dos Estados-Membros que preveja garantias adequadas dos direitos fundamentais e dos interesses do titular dos dados». 31. Ora, o n.º 2 do artigo n.º 15.º-A do RJCS ao prescrever entre os elementos regulatórios a constar no Decreto-Lei a definição de categorias específicas de dados e de informações de saúde, pretendia que não fossem abrangidos pela proibição geral de tratamento determinados dados de saúde. 32. Porém, do facto do Projeto não definir categorias de dados a tratar resulta a proibição de tratamento de todos e quaisquer dados de saúde, em contradição com estatuído no n.º 2 do artigo 15.ºA do RJCS. 33. Note-se que a Norma Regulamentar n.º 12/2024-R da ASF, de 17 de dezembro, 2 que veio regulamentar a Lei n.º 75/2021, em particular, o exercício do direito ao esquecimento e a proibição de práticas discriminatórias, prevê que, após decurso dos prazos previstos no n.º 2 do artigo 3.º da Lei n.º 75/2021, a empresa de seguros não pode solicitar, expressa ou implicitamente, informação de saúde relativa a situações de superação ou mitigação de situação de risco agravado de saúde ou de deficiência, no âmbito da declaração inicial do risco, designadamente através de questionário, bem como que o tomador do seguro ou o segurado podem responder negativamente a questão colocada pela empresa de seguros e, ainda que, caso a empresa de seguros tenha conhecimento de informação de saúde relativa à situação de risco agravado de saúde ou de deficiência do segurado, que tenha sido superado ou mitigado, não pode utilizar essa informação, designadamente no cálculo do prémio ou aplicação de exclusões. 34. No n.º 5 do artigo 3.º concretiza a informação de saúde que não pode ser tratada, que inclui designadamente a) Identificação e descrição da patologia; b) Alterações orgânicas ou funcionais verificadas em resultado da patologia; c) Identificação e descrição da deficiência; d) Protocolo terapêutico, incluindo 2 A CNPD não foi ouvida previamente sobre a referida Norma Regulamentar da ASF.  PAR/2026/8 4 respetiva duração; e) História clínica do segurado e da respetiva família; f) Exames médicos, resultados de testes ou análises. 35. Refira-se que o termo designadamente utilizado aqui, deixa em aberto a informação de saúde que não pode ser objeto de tratamento, criando alguma incerteza jurídica. A CNPD recomenda, pois, que no texto do Projeto se elenque com precisão e rigor possível a informação de saúde que não pode ser objeto de tratamento a par dos dados pessoais dos segurados que irão ser recolhidos. 36. Assim, a CNPD recomenda que na alínea a) do artigo 1.º do Projeto se concretize que dados pessoais podem ser tratados, em obediência ao princípio da minimização de dados estatuído na alínea c) do n.º 2 do artigo 5.º do RGPD, em que condições, e bem assim a fixação do seu regime concreto. 37. Relembra-se que nos termos do n.º 3 do artigo 6.º do RGPD estando em causa o fundamento jurídico para o tratamento referido no n.º 1, alínea c) o mesmo é definido pelo direito da União ou pelo direito do Estado-Membro ao qual o responsável pelo tratamento está sujeito. A finalidade do tratamento é determinada com esse fundamento jurídico. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento. 38. Por sua vez, o artigo 4.º do Projeto é dedicado à informação sobre o direito ao esquecimento. A CNPD não pode deixar de sublinhar que tal informação não substitui nem prejudica a que o titular de dados tem direito nos termos dos artigos 12.º e 13.º do RGPD. 39. Por último, recomenda-se que se proceda à regulação das formas de verificação dos pressupostos do direito ao esquecimento, sob pena de aquelas normas não terem exequibilidade e, assim, se esvaziar, de facto, o conteúdo do direito ao esquecimento que se quer regular.  PAR/2026/8 4v. III. Conclusão 40. Com os fundamentos acima expostos, a CNPD recomenda: a) Que na alínea a) do artigo 1.º do Projeto se concretize que dados pessoais podem ser tratados, em que condições, e bem assim se proceda à fixação do seu regime concreto; e b) Especificamente quanto aos prazos relevantes para efeito de garantia do direito ao esquecimento, a CNPD recomenda que as soluções previstas sejam acompanhadas da imprescindível densificação legislativa dos dados pessoais que podem ser tratados e das formas de verificação dos pressupostos do direito ao esquecimento. Lisboa, 19 de fevereiro de 2026 Maria Cândida Guedes Oliveira (Vogal que relatou)