Vazamento de dados de saúde amplia riscos para pacientes mesmo depois do fim de um ataque cibernético
Caso envolvendo registros de aproximadamente 500 mil pessoas mostra por que prontuários, diagnósticos e históricos médicos exigem respostas mais rigorosas do que outros dados pessoais
Um incidente cibernético pode ser contido em poucas horas ou dias, mas os seus efeitos sobre pacientes podem permanecer por anos. Diferentemente de uma senha, que pode ser alterada após um vazamento, informações como diagnósticos, prescrições, internações, exames e históricos médicos acompanham uma pessoa por toda a vida e podem ser utilizadas em fraudes, extorsões, discriminação ou ataques direcionados.
O alerta ganhou força após a abertura de uma investigação federal envolvendo o Instituto Saúde e Cidadania (Isac), organização responsável pela gestão de unidades públicas de saúde em diferentes estados. O caso está relacionado a um ataque de ransomware que teria atingido aproximadamente 500 mil registros, incluindo informações de crianças, adolescentes e idosos.
Para o advogado Bruno Fuentes, especialista em Direito de TI e Cibersegurança e associado do GMP G&C Advogados Associados, o tratamento jurídico de um incidente dessa natureza não deve se limitar à discussão sobre a confirmação do vazamento. “Independentemente de posteriormente se confirmar ou não a exfiltração dos dados, a organização precisa conter o incidente, preservar evidências, investigar sua extensão, revisar credenciais e restaurar os sistemas de forma segura. Quando estão envolvidos dados de saúde, o grau de diligência esperado é ainda maior”, afirma.
A Lei Geral de Proteção de Dados classifica as informações de saúde como dados pessoais sensíveis. Isso ocorre porque seu uso indevido pode gerar consequências especialmente graves para o titular. Um histórico clínico exposto pode fornecer elementos para golpes personalizados, tentativas de extorsão, discriminação profissional ou securitária e abordagens fraudulentas que exploram condições médicas conhecidas.
“Prontuários, diagnósticos e exames possuem elevado valor econômico porque oferecem um retrato detalhado da vida do paciente. O risco não termina quando o sistema volta a funcionar. Essas informações podem continuar circulando e sendo exploradas por terceiros”, explica Fuentes. Por isso, a resposta a um ataque não deve se limitar à recuperação dos servidores. “É necessário identificar quais informações foram afetadas, quais grupos estão mais expostos e quais medidas podem reduzir danos futuros”, ressalta o especialista.
Uma das principais obrigações previstas na LGPD é a comunicação de incidentes capazes de gerar risco ou dano relevante. Dependendo das circunstâncias, a organização deve informar tanto a Autoridade Nacional de Proteção de Dados quanto as pessoas afetadas. Essa comunicação precisa trazer elementos suficientes para que o titular compreenda o ocorrido e adote medidas de proteção. Um aviso genérico, sem explicar a natureza das informações atingidas ou os riscos envolvidos, pode não cumprir adequadamente essa função.
“A transparência não deve ser tratada como uma etapa meramente formal. O paciente precisa saber quais categorias de dados podem ter sido comprometidas, quando o incidente ocorreu e quais providências estão sendo tomadas”, destaca o advogado.
No caso em investigação, a ANPD analisa, entre outros pontos, se houve comunicação adequada às pessoas atingidas e se foram demonstradas medidas técnicas e administrativas compatíveis com os riscos do tratamento realizado.
Ausência de registros dificulta dimensionar o ataque
Além de impedir acessos indevidos, uma estrutura de segurança precisa permitir que a instituição reconstrua o caminho percorrido pelos invasores. Registros de atividade, conhecidos como logs, são essenciais para identificar quando o ataque começou, quais sistemas foram acessados e se houve cópia ou movimentação de informações.
Sem esses elementos, torna-se mais difícil mensurar o alcance do incidente e comprovar as medidas adotadas antes e depois da invasão. “Uma organização precisa estar preparada não apenas para tentar evitar ataques, mas também para demonstrar tecnicamente o que aconteceu. A capacidade de investigação e prestação de contas faz parte da conformidade com a LGPD”, afirma Fuentes.
O fato de uma empresa ou instituição ter sido vítima de criminosos digitais não gera automaticamente sua responsabilização. A análise jurídica considera fatores como as medidas preventivas existentes, a resposta adotada, a comunicação do incidente e a capacidade de comprovar conformidade.
Na esfera administrativa, a LGPD prevê medidas que vão de advertências e multas até bloqueio, eliminação de dados e restrições às atividades de tratamento. Também podem surgir ações individuais ou coletivas caso sejam demonstrados danos aos titulares.
Prevenção precisa fazer parte da operação
Para o setor da saúde, segurança digital não pode ser vista apenas como uma atribuição do departamento de tecnologia. Ela precisa integrar a governança da instituição e envolver dirigentes, profissionais assistenciais, fornecedores e prestadores de serviços.
Entre as medidas recomendadas estão controles rigorosos de acesso, autenticação reforçada, criptografia, atualização dos sistemas, auditorias periódicas, monitoramento contínuo e treinamento das equipes. Também é necessário manter um plano de resposta a incidentes que defina responsabilidades, canais de comunicação, procedimentos de contenção e formas de preservar provas.
“Não basta adquirir ferramentas. A instituição precisa saber quem acessa cada informação, por qual motivo, durante quanto tempo e como reagir quando algo foge do padrão”, completa o especialista.
