lgpd

Vazamento de dados de saúde amplia riscos para pacientes mesmo depois do fim de um ataque cibernético

Deixe um comentário /

Caso envolvendo registros de aproximadamente 500 mil pessoas mostra por que prontuários, diagnósticos e históricos médicos exigem respostas mais rigorosas do que outros dados pessoais

Um incidente cibernético pode ser contido em poucas horas ou dias, mas os seus efeitos sobre pacientes podem permanecer por anos. Diferentemente de uma senha, que pode ser alterada após um vazamento, informações como diagnósticos, prescrições, internações, exames e históricos médicos acompanham uma pessoa por toda a vida e podem ser utilizadas em fraudes, extorsões, discriminação ou ataques direcionados.

O alerta ganhou força após a abertura de uma investigação federal envolvendo o Instituto Saúde e Cidadania (Isac), organização responsável pela gestão de unidades públicas de saúde em diferentes estados. O caso está relacionado a um ataque de ransomware que teria atingido aproximadamente 500 mil registros, incluindo informações de crianças, adolescentes e idosos.

Para o advogado Bruno Fuentes, especialista em Direito de TI e Cibersegurança e associado do GMP G&C Advogados Associados, o tratamento jurídico de um incidente dessa natureza não deve se limitar à discussão sobre a confirmação do vazamento. “Independentemente de posteriormente se confirmar ou não a exfiltração dos dados, a organização precisa conter o incidente, preservar evidências, investigar sua extensão, revisar credenciais e restaurar os sistemas de forma segura. Quando estão envolvidos dados de saúde, o grau de diligência esperado é ainda maior”, afirma.

A Lei Geral de Proteção de Dados classifica as informações de saúde como dados pessoais sensíveis. Isso ocorre porque seu uso indevido pode gerar consequências especialmente graves para o titular. Um histórico clínico exposto pode fornecer elementos para golpes personalizados, tentativas de extorsão, discriminação profissional ou securitária e abordagens fraudulentas que exploram condições médicas conhecidas.

“Prontuários, diagnósticos e exames possuem elevado valor econômico porque oferecem um retrato detalhado da vida do paciente. O risco não termina quando o sistema volta a funcionar. Essas informações podem continuar circulando e sendo exploradas por terceiros”, explica Fuentes. Por isso, a resposta a um ataque não deve se limitar à recuperação dos servidores. “É necessário identificar quais informações foram afetadas, quais grupos estão mais expostos e quais medidas podem reduzir danos futuros”, ressalta o especialista.

Uma das principais obrigações previstas na LGPD é a comunicação de incidentes capazes de gerar risco ou dano relevante. Dependendo das circunstâncias, a organização deve informar tanto a Autoridade Nacional de Proteção de Dados quanto as pessoas afetadas. Essa comunicação precisa trazer elementos suficientes para que o titular compreenda o ocorrido e adote medidas de proteção. Um aviso genérico, sem explicar a natureza das informações atingidas ou os riscos envolvidos, pode não cumprir adequadamente essa função.

“A transparência não deve ser tratada como uma etapa meramente formal. O paciente precisa saber quais categorias de dados podem ter sido comprometidas, quando o incidente ocorreu e quais providências estão sendo tomadas”, destaca o advogado.

No caso em investigação, a ANPD analisa, entre outros pontos, se houve comunicação adequada às pessoas atingidas e se foram demonstradas medidas técnicas e administrativas compatíveis com os riscos do tratamento realizado.

Ausência de registros dificulta dimensionar o ataque

Além de impedir acessos indevidos, uma estrutura de segurança precisa permitir que a instituição reconstrua o caminho percorrido pelos invasores. Registros de atividade, conhecidos como logs, são essenciais para identificar quando o ataque começou, quais sistemas foram acessados e se houve cópia ou movimentação de informações.

Sem esses elementos, torna-se mais difícil mensurar o alcance do incidente e comprovar as medidas adotadas antes e depois da invasão. “Uma organização precisa estar preparada não apenas para tentar evitar ataques, mas também para demonstrar tecnicamente o que aconteceu. A capacidade de investigação e prestação de contas faz parte da conformidade com a LGPD”, afirma Fuentes.

O fato de uma empresa ou instituição ter sido vítima de criminosos digitais não gera automaticamente sua responsabilização. A análise jurídica considera fatores como as medidas preventivas existentes, a resposta adotada, a comunicação do incidente e a capacidade de comprovar conformidade.

Na esfera administrativa, a LGPD prevê medidas que vão de advertências e multas até bloqueio, eliminação de dados e restrições às atividades de tratamento. Também podem surgir ações individuais ou coletivas caso sejam demonstrados danos aos titulares.

Prevenção precisa fazer parte da operação

Para o setor da saúde, segurança digital não pode ser vista apenas como uma atribuição do departamento de tecnologia. Ela precisa integrar a governança da instituição e envolver dirigentes, profissionais assistenciais, fornecedores e prestadores de serviços.

Entre as medidas recomendadas estão controles rigorosos de acesso, autenticação reforçada, criptografia, atualização dos sistemas, auditorias periódicas, monitoramento contínuo e treinamento das equipes. Também é necessário manter um plano de resposta a incidentes que defina responsabilidades, canais de comunicação, procedimentos de contenção e formas de preservar provas.

“Não basta adquirir ferramentas. A instituição precisa saber quem acessa cada informação, por qual motivo, durante quanto tempo e como reagir quando algo foge do padrão”, completa o especialista.

Vazamento de dados de saúde amplia riscos para pacientes mesmo depois do fim de um ataque cibernético Read More »

Disponibilização não autorizada de dados pessoais não sensíveis em cadastro positivo não gera dano moral presumido

Deixe um comentário /

A Quarta Turma do Superior Tribunal de Justiça (STJ) decidiu que a simples disponibilização de dados pessoais no âmbito do cadastro positivo não gera, por si só, direito à indenização por dano moral. De forma unânime, o colegiado seguiu o voto da relatora, ministra Isabel Gallotti, e firmou a tese de que é indispensável a comprovação de que a conduta do gestor do banco de dados causou abalo significativo aos direitos de personalidade do titular.

O caso envolve ação proposta por consumidor contra uma empresa gestora de banco de dados utilizado para formação de histórico e pontuação de crédito (credit scoring). Alegando que seus dados pessoais teriam sido comercializados sem autorização por meio de serviços como “Acerta Essencial” e “Data Plus”, o autor requereu a exclusão das informações e indenização de R$ 11 mil por danos morais.

Sustentou que a abertura de cadastro e a divulgação de dados como endereço, telefone e título de eleitor violariam a Lei Geral de Proteção de Dados (LGPD), a Lei do Cadastro Positivo e o Código de Defesa do Consumidor, defendendo que o dano seria presumido (in re ipsa).

Em primeira instância, o juízo determinou a exclusão dos dados das plataformas da empresa, mas afastou a indenização, por entender que não houve comprovação de prejuízo concreto. O Tribunal de Justiça de São Paulo (TJSP) reformou a sentença e julgou a ação totalmente improcedente. Para o tribunal estadual, o consumidor não demonstrou que tenha havido a efetiva disponibilização de seus dados a terceiros nem a divulgação de informações sensíveis ou o uso indevido no contexto do cadastro positivo.

Compartilhamento de informações cadastrais e de adimplemento

Ao julgar o recurso especial do consumidor, a ministra Gallotti destacou que o artigo 7º da LGPD autoriza o tratamento de dados pessoais para proteção do crédito, remetendo à Lei do Cadastro Positivo, que é a legislação específica, a definição dos limites desse tratamento.

Segundo explicou, a lei permite ao gestor abrir cadastro sem prévio consentimento do cadastrado e compartilhar informações cadastrais e de adimplemento com outros bancos de dados, além de disponibilizar a nota ou a pontuação de crédito aos que consultarem o sistema. Já o fornecimento de histórico de crédito depende de autorização específica do titular.

A ministra ressaltou que, embora a legislação imponha limites ao compartilhamento de dados no sistema do cadastro positivo, a eventual disponibilização indevida de dados pessoais comuns não gera automaticamente dano moral.

“Diferentemente dos dados sensíveis – cuja proteção é reforçada em razão de seu potencial discriminatório e de sua aptidão para afetar diretamente a dignidade do titular –, os dados pessoais correspondem às informações ordinárias, frequentemente fornecidas em cadastros diversos, inclusive em plataformas digitais de uso cotidiano, não estando, via de regra, submetidos a regime jurídico de sigilo”, observou.

Necessidade de comprovação de dano pela divulgação de dados pessoais

Segundo a ministra, para que haja indenização, é necessário que o titular comprove efetivamente que houve disponibilização, compartilhamento ou comercialização de dados e que isso resultou em “abalo significativo” aos seus direitos de personalidade.

No caso analisado, o TJSP concluiu que não ficou demonstrado que a empresa tenha disponibilizado indevidamente os dados do autor a terceiros nem que tenha ocorrido, de forma concreta, abalo moral. Como a revisão dessa conclusão exigiria reexame de provas, o que é vedado em recurso especial pela Súmula 7 do STJ, a Quarta Turma negou provimento ao recurso.

Leia o acórdão no REsp 2.221.650.

Disponibilização não autorizada de dados pessoais não sensíveis em cadastro positivo não gera dano moral presumido Read More »

Redes sociais após a morte: herança digital pode ganhar novas regras

Deixe um comentário /

Projeto de reforma no Código Civil brasileiro propõe a atualização da lei em vigor, que data de 2002

O que acontece com as senhas de redes sociais, acesso ao banco, programa de milhas e outros bens da mesma ordem quando o usuário morre? Está em pauta no Congresso Nacional uma alteração no Código Civil Brasileiro no qual a herança de bens digitais passa a fazer parte do patrimônio a ser dividido posteriormente a morte do titular, e desta forma se tornam objeto de sucessão, tornando a lei mais conectada com universo digital.

O Código Civil em vigor é de 2002, período em que a internet atingia 5% dos domicílios brasileiros e tanto as redes sociais, quanto os serviços digitais, não faziam parte do cotidiano. O atual Código Civil gera impasses práticos e jurídicos, como a dificuldade de acesso de herdeiros a contas digitais do falecido; conflitos sobre o que deve ser transmitido por sucessão ou apagado definitivamente; limitações impostas pelas políticas de privacidade das plataformas e a ausência de distinção clara entre bens com valor econômico e bens meramente afetivos.

De acordo com o advogado Bruno Fuentes, do escritório GMP | G&C Advogados Associados, o principal desafio do poder legislativo será conectar o ritmo do avanço tecnológico com o rito institucional. “O processo do legislativo é moroso e com várias etapas, passando pela proposta até ser finalizada a lei. E com isto a tecnologia avança em ritmo acelerado e as mudanças propostas inicialmente podem ficar ultrapassadas”, diz o especialista. A proposta para o novo Código Civil tem o intuito de acompanhar e se adequar as inovações tecnológicas, digitais e consequentemente sociais.

Apesar do compasso diferente, a mudança é necessária para regular as novas relações jurídicas e proteger o cidadão. “A atualização do Código Civil é uma oportunidade histórica de alinhar o direito à realidade digital, equilibrando os direitos dos herdeiros, a vontade do falecido e a proteção da privacidade pós-morte”, destaca Bruno.

Bens digitais

Os bens digitais se dividem em duas categorias claras. Começando por ativos financeiros, como criptomoedas; contas em serviços de streaming; programas de milhas aéreas ou fidelidade; saldos em aplicativos de bancos digitais; e canais monetizados, como o Youtube. E os ativos afetivos, que são os perfis em redes sociais, arquivos armazenados em nuvem e domínios digitais. “A ausência de uma regulamentação específica gera insegurança jurídica. Algumas necessidades são urgentes, como a classificação jurídica dos bens digitais. É fundamental distinguir entre bens com valor patrimonial, que devem ser transmitidos, e bens com valor afetivo, cujo destino pode ser a transmissão ou o descarte correto destes”, detalha o especialista.

Além disso, é necessário o reconhecimento da vontade do falecido, onde a lei precisa assegurar que a pessoa em vida possa decidir sobre o destino de seus dados, perfis e ativos digitais, seja por testamento ou mecanismos online (como os já oferecidos por Google e Facebook). A reforma também aborda o dever das plataformas digitais, na qual as empresas devem ter regras claras sobre o fornecimento de informações aos herdeiros. Isso inclui permitir a recuperação de dados ou a exclusão definitiva de contas. “A proteção da privacidade pós-morte é outro ponto, pois a LGPD (Lei Geral de Proteção de Dados) não trata expressamente da proteção de dados pessoais de falecidos. A reforma pode corrigir essa lacuna e especificar melhor esse direito”, completa Bruno.

Redes sociais após a morte: herança digital pode ganhar novas regras Read More »

TCE/MS alinha ações para cumprimento da LGPD e reforça importância da lei

Deixe um comentário /
Foto: Divulgação TCE/MS

O TCE/MS (Tribunal de Contas do Estado de Mato Grosso do Sul) realizou reunião institucional, na quarta-feira (19), para tratar sobre o alinhamento das ações referentes ao cumprimento da LGPD (Lei Geral de Proteção de Dados) e Segurança da Informação. O encontro foi realizado na sede da PGE/MS (Procuradoria-Geral do Estado) e contou com a participação de representantes do TCE/MS, PGE, SAD (Secretaria de Estado de Administração e Desburocratização), CGE (Controladoria-Geral do Estado) e SGI (Secretaria de Governo e Gestão Estratégica).

O objetivo foi criar a integração institucional por meio de canais regulares de comunicação entre os órgãos públicos engajados, treinamentos e compartilhamento de materiais educativos para adoção conjunta de práticas de governança de dados e verificação de conformidade com a LGPD entre os participantes.

A coordenadora da Corregedoria do TCE/MS, Viviane Lacerda, explicou que essa integração visa a melhoria na prestação de serviço público com tomadas de decisões mais especializadas e equânimes. ““Além do compartilhamento de informações para a solução de problemas mais complexos com relação à aplicação da LGPD e a Segurança da Informação”, explicou Viviane.

A coordenadora do Comitê Gestor de Proteção de Dados (COGPD) do TCE-MS, Ana Carla Lemes Brum de Oliveira, afirmou que a reunião foi de extrema importância para os trabalhos que estão sendo desenvolvidos pelo comitê, reforçando a importância da LGPD e sinalizando futuros encontros para que o Tribunal de Contas e o Governo do Estado de Mato Grosso do Sul estejam sob a mesma ótica no regramento à implantação da LGPD e Segurança da Informação.

A LGPD é uma lei federal que estabelece regras sobre coleta, armazenamento, tratamento e compartilhamento de dados pessoais, com o objetivo de garantir maior segurança e privacidade dos dados dos cidadãos brasileiros. O Tribunal de Contas do Estado de Mato Grosso do Sul, assim como outros órgãos públicos, está trabalhando para se adequar às novas normas, o que reforça o compromisso do TCE/MS em garantir transparência e eficiência na gestão pública.

Conversar no WhatsApp

TCE/MS alinha ações para cumprimento da LGPD e reforça importância da lei Read More »

Saiba como seus dados são vendidos na internet

Deixe um comentário /

Plataformas clandestinas e comunidades ofertam dados recolhidos por usuários diariamente

A Internet interliga o mundo, colocando todos em rede com informações instantâneas e operações on-line. Na era digital, documentos físicos são substituídos por versões virtuais, desde o CPF, a Cédula de Identidade (RG), o Título de Eleitor, a Carteira de Habilitação, até prontuários médicos, contratos e contas de luz, água ou de telefonia.

Os dados pessoais passam a ter grande valor. Além de nos identificar, transmitem preferências políticas, religiosas, de opção sexual e demais valores íntimos. Os posts feitos em mídias sociais são armazenados pelas redes como Facebook, Instagram ou Tik Tok com a autorização do usuário, através dos termos de concordância que são aceitos sem ler.

Com a análise de dados é possível estudar o comportamento da pessoa como cidadão e consumidor, o que permite propagandas dirigidas, assim como sugestões para futuras compras, viagens ou cursos. Todos já vivenciaram a situação de após ter feito uma pesquisa sobre determinado produto em um site de busca, passaram a receber inúmeros anúncios de produtos similares, com ofertas tentadoras. É o tal do algoritmo trabalhando, armazenando e, de forma inteligente, sugerindo opções com grande probabilidade de agradar.

Fica evidente que os dados pessoais se tornam cada vez mais valiosos e não devem ser explorados indiscriminadamente. Para regular a forma de extração e utilização das informações pessoais foi promulgada a LGPD (Lei Geral de Proteção de Dados), que coloca o Brasil entre os países com boa legislação para resguardar direitos e coibir abusos com dados.

Mas, apesar da lei, o que tem se visto são ataques hackers a empresas todas as semanas, com milhões de dados vazados. Por mais que se invista em cibersegurança, as invasões continuam ocorrendo, o que coloca o país em cenário preocupante.

Segundo Francisco Gomes Júnior, presidente da ADDP (Associação de Defesa de Dados Pessoais e Consumidor), existem plataformas clandestinas que funcionam na dark web ou em comunidades hackers que comercializam dados pessoais. “Essas organizações se formatam de forma quase empresarial, admitindo inscrições de hackers que em comunidade passam a atuar. Nesta semana, por exemplo, uma operação conjunta de diversas polícias europeias e dos Estados Unidos, divulgou a captura dos hackers que alimentavam o site RaidForums, onde milhões de dados eram vendidos”.

Francisco Gomes Júnior – Presidente da Associação de Defesa de Dados Pessoais e do Consumidor 

Diante de organizações criminosas digitais deste tipo, a sensação de impotência e insegurança prevalece. Grandes empresas brasileiras e instituições já tiveram invasões a seus sistemas (como JBS, Renner, Laboratórios Fleury, Ministério da Saúde, Superior Tribunal de Justiça, Tribunais Regionais etc.) e boa parte das companhias que foram vítimas possuem boa governança e investem muitos recursos em cibersegurança.

Se mesmo com tantos cuidados não se pode estar seguro, o que fazer? “Temos que criar uma cultura de proteção de dados, onde cada indivíduo deve zelar pelos seus dados pessoais, com senhas seguras, várias etapas de verificação, cuidado com links maliciosos, dentre tantos outros cuidados. Devemos ser criteriosos para fornecer dados para empresas. Mas, inegavelmente, há uma dicotomia entre uma boa legislação e a vida prática e há a ilusão de que a LGPD será uma panaceia para coibir a utilização indevida dos dados. O site desbaratado (RaidForums) tinha informações de contas bancárias, cartões de crédito e senhas e dados vazados do Linkedin e Facebook. Operava desde 2015, ou seja, foram mais de sete anos de uma operação complexa para que se capturasse os criminosos”, explica o especialista.

O RaidForums, acima mencionado, tinha sob seu comando um hacker português de 21 anos, Diego dos Santos Coelho, que foi derrubado pela Operação Tourniquet, que reuniu diferentes agências policiais da Europa além do Departamento de Justiça dos Estados Unidos. Constatou-se que o site tinha cerca de 500 mil membros inscritos e funcionava por um esquema de assinaturas. Quanto mais cara a assinatura, mais acesso era permitido aos milhões de dados roubados. As transações de venda de dados geralmente eram efetivadas por meio de criptomoedas para evitar rastreamentos.

“O mundo digital traz inúmeras facilidades tecnológicas a todos nós, mas propicia que organizações criminosas roubem dados e apliquem inúmeros golpes, que aumentam a cada dia. Todo cuidado é pouco, redobre a atenção com seus dados’, finaliza Gomes Júnior.

Saiba como seus dados são vendidos na internet Read More »