{"id":2426,"date":"2020-12-08T16:35:36","date_gmt":"2020-12-08T16:35:36","guid":{"rendered":"https:\/\/www.acpdbrasil.com\/?p=2426"},"modified":"2024-03-23T10:31:15","modified_gmt":"2024-03-23T13:31:15","slug":"o-ministerio-da-saude-a-lgpd-vazamentos-de-dados-e-os-mais-200-milhoes-de-brasileiros","status":"publish","type":"post","link":"https:\/\/www.acpdbrasil.com\/en\/o-ministerio-da-saude-a-lgpd-vazamentos-de-dados-e-os-mais-200-milhoes-de-brasileiros\/","title":{"rendered":"O Minist\u00e9rio da Sa\u00fade, a LGPD, vazamentos de dados, e os mais 200 milh\u00f5es de brasileiros"},"content":{"rendered":"\n

Dando continuidade aos incidentes de privacidade e seguran\u00e7a de dados que ocorreram no Minist\u00e9rio da Sa\u00fade, hoje falaremos sobre o caso que exp\u00f4s os dados de mais de 200 milh\u00f5es de brasileiros. A comiss\u00e3o da C\u00e2mara de Deputados convocou uma audi\u00eancia p\u00fablica para que o Minist\u00e9rio explique, de maneira satisfat\u00f3ria, os referidos incidentes, suas extens\u00f5es, e as reais falhas que acarretaram os epis\u00f3dios. A audi\u00eancia ocorrer\u00e1 hoje, a partir das 17 horas. Al\u00e9m de representantes do Minist\u00e9rio da Sa\u00fade, tamb\u00e9m participar\u00e3o da audi\u00eancia representantes do Hospital Albert Einstein, e institui\u00e7\u00f5es de direito e defesa do consumidor, com destaque para o IDEC.<\/p>\n\n\n\n

Entenda o \u00faltimo vazamento<\/strong><\/p>\n\n\n\n

Os dados de mais de 200 milh\u00f5es de cidad\u00e3os brasileiros, do banco de dados do Sistema \u00danico de Sa\u00fade (SUS), ficaram dispon\u00edveis por mais de seis meses. A exemplo do outro epis\u00f3dio j\u00e1 narrado aqui<\/a>, o motivo tamb\u00e9m foi a exposi\u00e7\u00e3o indevida de login e senha de um sistema. As credenciais de acesso estavam dispon\u00edveis em um c\u00f3digo do site do Minist\u00e9rio, vis\u00edvel a todos que fizessem a inspe\u00e7\u00e3o deste c\u00f3digo, por meio de funcionalidades dos navegadores. A falha foi corrigia ap\u00f3s o incidente ter sido denunciado pelo Estad\u00e3o, no \u00faltimo dia 2.<\/p>\n\n\n\n

Segundo Daniel Fireman, cientista de computa\u00e7\u00e3o e professor do Instituto Federal de Educa\u00e7\u00e3o, Ci\u00eancia e Tecnologia de Alagoas, o login e a senha do site do Minist\u00e9rio da Sa\u00fade estavam codificados mediante um m\u00e9todo conhecido como Base64. Este m\u00e9todo de codifica\u00e7\u00e3o de dados n\u00e3o \u00e9 uma forma de criptografia. O que explica a exposi\u00e7\u00e3o dos dados.<\/p>\n\n\n\n

Cabe ressaltar que em junho deste ano, a ONG Open Knowledge Brasil (OKBR) alertou o Minist\u00e9rio de falha similar. Apesar de ter corrigido o problema, ao que tudo indica, n\u00e3o foram revisadas outras poss\u00edveis falhas nos c\u00f3digos.<\/p>\n\n\n\n

Fernanda Campagnuccio, Diretora-executiva da OKBR, se manifestou sobre o Minist\u00e9rio, conforme transcrito a seguir:<\/p>\n\n\n\n

\u201cCada vez que voc\u00ea para e vai analisar a seguran\u00e7a da informa\u00e7\u00e3o e a pol\u00edtica de gest\u00e3o de dados do Minist\u00e9rio da Sa\u00fade, voc\u00ea encontra uma vulnerabilidade mais grave. Na \u00e9poca da den\u00fancia que fizemos, pedimos uma auditoria e n\u00e3o recebemos nenhuma resposta. Claramente eles n\u00e3o levaram e n\u00e3o est\u00e3o levando a s\u00e9rio ainda o tratamento de dados dos milh\u00f5es de brasileiros\u201d<\/p>\n\n\n\n

O incidente exp\u00f4s dados pessoais como: CPF, nome completo, endere\u00e7o e telefones. Embora a Lei Geral de Prote\u00e7\u00e3o de Dados<\/a> (LGPD), Lei 13.709\/2018, abranja apenas os direitos de pessoas naturais, este incidente tamb\u00e9m exp\u00f4s os dados de pessoas falecidas. Os brasileiros afetados incluem tanto benefici\u00e1rios do SUS.<\/p>\n\n\n\n

O Minist\u00e9rio da Sa\u00fade se manifestou com base em discurso gen\u00e9rico:<\/p>\n\n\n\n

\u201cOs incidentes reportados est\u00e3o sendo investigados para apurar a responsabilidade da exposi\u00e7\u00e3o de base cadastral do Minist\u00e9rio. O Minist\u00e9rio possui protocolos de seguran\u00e7a e prote\u00e7\u00e3o de dados, que s\u00e3o constantemente avaliados e aprimorados a fim de mitigar exposi\u00e7\u00f5es. A\u00e7\u00f5es de seguran\u00e7a est\u00e3o sendo tomadas para impedir novos incidentes, assim como a\u00e7\u00f5es administrativas para apurar o ocorrido\u201d.<\/p>\n\n\n\n

Segundo o Art. 42 da LGPD, o Controlador de dados pessoais que, em raz\u00e3o do exerc\u00edcio de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em viola\u00e7\u00e3o \u00e0 legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados pessoais, \u00e9 obrigado a repar\u00e1-lo. Ou seja, pela LGPD, o controlador de uma base de dados tem responsabilidades inclusive no que diz respeito \u00e0 seguran\u00e7a dessas bases. Deixar logins e senhas de acesso a bases de dados \u00e9 um erro de seguran\u00e7a prim\u00e1rio.<\/p>\n\n\n\n

A norma NBR 27002:2013 indica diretrizes para o desenvolvimento de softwares e sistemas, com destaque para:<\/p>\n\n\n\n