Segurança e conformidade
Segurança e conformidade antes da implementação.
Os dados de saúde exigem mais do que promessas genéricas. Na VGSI, proteção de dados, segurança da informação e avaliação regulatória são condições de entrada para qualquer avaliação institucional.
Os produtos estão em preparação para avaliações controladas. A VGSI não reivindica atualmente certificação ISO/IEC 27001, marcação CE, conformidade hospitalar universal ou implementação clínica em produção.
Proteção de dados desde a conceção
Antes de qualquer tratamento de dados pessoais, o projeto deverá documentar:
- Finalidade e base de licitude
- Papéis de responsável pelo tratamento, subcontratante e subcontratantes ulteriores
- Minimização; pseudonimização quando seja necessária reversibilidade; anonimização irreversível apenas quando compatível com a finalidade
- Controlo de acessos, conservação, devolução e eliminação
- Gestão de incidentes e direitos dos titulares
- Necessidade de uma Avaliação de Impacto sobre a Proteção de Dados
Quando a VGSI trate dados por conta de uma instituição, o tratamento ficará sujeito ao acordo aplicável nos termos do artigo 28.º do RGPD.
Perímetro de dados e opções de implementação
Perímetro de dados e opções de implementação
A estratégia de deployment da VGSI é híbrida. O SICC está a ser preparado para operar numa instância dedicada por instituição ou unidade, em infraestrutura local controlada pelo hospital ou num ambiente cloud dedicado na UE/EEE. O perfil aplicável e os fluxos permitidos são acordados antes da avaliação.
A localização e o isolamento reduzem a exposição, mas não demonstram, por si só, conformidade com o RGPD. A VGSI não reivindica atualmente disponibilidade on-premise validada.
Minimização e pseudonimização
Identificadores separados dos dados de trabalho.
Sempre que o tratamento exija dados pessoais, os identificadores diretos e a informação de reidentificação deverão permanecer separados. Qualquer transferência para um serviço externo exige pseudonimização prévia, finalidade e base jurídica documentadas, instrução da instituição e os controlos contratuais e técnicos aplicáveis.
Dados pseudonimizados continuam a ser dados pessoais e permanecem integralmente sujeitos ao RGPD. Estes controlos são requisitos para avaliações futuras, não uma garantia universal sobre configurações atuais.
Gate closed-site
Só anunciar quando os controlos estiverem demonstrados.
Uma configuração closed-site apenas será apresentada como disponível depois de validada num perfil institucional específico.
- Inferência local no perímetro controlado pela instituição
- Pseudonimização obrigatória e fail-closed antes de qualquer tráfego de saída autorizado
- Tráfego externo bloqueado por defeito e exceções explicitamente aprovadas
- Storage, chaves, backups e acessos de suporte isolados por instituição
- Testes que confirmem a ausência de conteúdo clínico em prompts externos, logs e telemetria
Até estes gates estarem verificados, a VGSI descreve a opção closed-site como em preparação, não como implementação validada ou garantia de conformidade.
Roteiro de segurança
Roteiro de segurança
A VGSI planeia desenvolver um sistema de gestão de segurança da informação com vista ao alinhamento com a ISO/IEC 27001:2022 e avaliar uma futura certificação independente à medida que a organização amadureça.
O roteiro abrange identidade e acessos, encriptação, registos e rastreabilidade, continuidade e recuperação, gestão de vulnerabilidades e incidentes e controlo de fornecedores.
MDR e Regulamento Europeu da IA
MDR e Regulamento Europeu da IA
O enquadramento regulatório depende da finalidade pretendida e do contexto de utilização. O SICC é concebido como apoio à codificação com revisão humana. O Morpheus permanece investigacional e não é apresentado como uma ferramenta de diagnóstico validada.
Antes de qualquer disponibilização ou implementação controlada, a VGSI avaliará formalmente a aplicabilidade do MDR e do Regulamento Europeu da IA. Esta declaração não constitui uma determinação regulatória, certificação ou marcação CE.
Segurança e conformidade