Por Andreia Goll*
O crescente avanço das tecnologias de comunicações e a popularização dos acessos à internet trouxeram um novo desafio para as empresas, em especial no setor de saúde: como garantir a privacidade das informações dos pacientes e médicos?
A partir de regulamentação do Marco Civil da Internet (Lei nº 12.965, de 23 de abril de 2014) e da Lei 13.709/18, mais comumente conhecida como Lei Geral de Proteção dos Dados – LGPD, o governo tenta nortear este assunto e salvaguardar os dados, seja no âmbito público ou privado.
As ações voltadas à segurança da informação não são mais um mero projeto isolado, bem-intencionado por parte dos profissionais da área ou empresa, mas sim um requisito obrigatório, legal
A partir de agora, as ações voltadas à segurança da informação não são mais um mero projeto isolado, bem-intencionado por parte dos profissionais da área ou empresa, mas sim um requisito obrigatório, legal. Assim, a Lei coloca a preocupação com os dados em um novo patamar do ponto de vista dos CIOs das empresas. O setor de saúde, por trabalhar com dados bastante sensíveis, é um dos que devem ter maior preocupação em estar estritamente de acordo com a nova legislação.
Não é incomum encontrarmos, em muitos hospitais, computadores sem antivírus ou com sistemas desatualizados, redes wi-fi inseguras, servidores de e-mail desprotegidos ou equipes que compartilham informações de pacientes e médicos indiscriminadamente.
O maior grupo de saúde de Singapura, SingHealth, sofreu ataques intencionais em busca de dados pessoais do primeiro-ministro Lee Hsien Loong
Além de redes desprotegidas ou desatualizadas, agora temos ações maliciosas voltadas diretamente à área da saúde. Um dos casos que podemos citar como exemplo é o do maior grupo de saúde de Singapura, SingHealth, de onde foram roubados 1,5 milhão de informações pessoais sensíveis de pacientes.
Destes, 160 mil também tiveram seus dados de medicação ambulatoriais comprometidos. No dia 4 de julho deste ano, os administradores detectaram atividades incomuns nos servidores de banco de dados. No comunicado oficial, a SingHealth informou que a ação “não foi trabalho de hackers casuais ou gangues criminosas. Os atacantes especularam especificamente e repetidamente os dados pessoais do primeiro-ministro Lee Hsien Loong e informações sobre seus medicamentos dispensados em regime ambulatorial”.
Ações como estas tornam-se cada vez mais comuns, e a Lei LGPD exige, por parte dos “agentes de tratamento dos dados”, o cuidado que lhes deve ser imputado. Dentre diversas provisões apresentadas pela LGPD, provavelmente os mais relevantes regramentos dizem respeito àqueles em seu Capítulo VII – Da Segurança e das Boas Práticas e Capítulo VIII – Da Fiscalização, em que constam obrigações a pessoas físicas ou jurídicas que coletam e operam em relação a padrões mínimos de segurança.
Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento devem garantir a segurança da informação, mesmo após o seu término. O responsável deverá definir procedimentos em caso de incidentes que possam gerar risco ou danos aos titulares dos dados.
Os agentes de tratamento de dados, em caso de infrações cometidas prevista na Lei, ficam sujeitos a sanções aplicáveis pelo órgão competente. A multa para o descumprimento das exigências da Lei LGPD pode chegar a R$ 50 milhões, ou 2% do faturamento do grupo econômico.
Estes números passam a ser um fator preponderante na adoção de uma cultura voltada a segurança da informação e o cuidado com os dados da área de saúde – e de outras áreas da economia, torna-se tão importante quanto o próprio negócio.
Andreia Goll
É Gerente de Conta do segmento de Saúde da Redbelt
