{"id":8819,"date":"2024-04-29T12:45:02","date_gmt":"2024-04-29T15:45:02","guid":{"rendered":"https:\/\/www.acpdbrasil.com\/?p=8819"},"modified":"2024-04-29T12:45:05","modified_gmt":"2024-04-29T15:45:05","slug":"protegendo-dados-pessoais-sensiveis-o-papel-das-clinicas-de-saude","status":"publish","type":"post","link":"https:\/\/www.acpdbrasil.com\/en\/protegendo-dados-pessoais-sensiveis-o-papel-das-clinicas-de-saude\/","title":{"rendered":"Protegendo Dados Pessoais Sens\u00edveis: O Papel das Cl\u00ednicas de Sa\u00fade"},"content":{"rendered":"

“Hackers vazam imagens de pacientes de cirurgia pl\u00e1stica nus e prontu\u00e1rios de cl\u00ednica de sa\u00fade sexual”<\/h2>\n\n\n\n

O t\u00edtulo e o subt\u00edtulo deste artigo pode parecer intrigante, em um primeiro momento. Mas, as Cl\u00ednicas de Sa\u00fade t\u00eam responsabilidade legal de zelar pelos dados pessoais e dados pessoais sens\u00edveis de sujeitos de cuidado, ou seja, pacientes, e at\u00e9 mesmo de seus pr\u00f3prios colaboradores e terceiros. A LGPD est\u00e1 a\u00ed para isso.<\/p>\n\n\n\n

O subt\u00edtulo deste artigo foi utilizado como t\u00edtulo de jornal de grande circula\u00e7\u00e3o. Mas, antes de analisar o caso, permita-nos fazer algumas considera\u00e7\u00f5es.<\/p>\n\n\n\n

Adequa\u00e7\u00f5es \u00e0 LGPD<\/h2>\n\n\n\n

\u00c9 comum escutar que houve uma adequa\u00e7\u00e3o superficial aqui, outra acol\u00e1, que houve uma palestra sobre a LGPD e nada mais. O que, \u00e0s vezes, os gestores n\u00e3o percebem \u00e9 que uma adequa\u00e7\u00e3o bem feita, a esta Lei, refor\u00e7ar\u00e1 n\u00e3o apenas os requisitos, fluxos e processos relacionados \u00e0 privacidade, mas paralelamente, se estender\u00e1, num geral, \u00e0 Seguran\u00e7a da Informa\u00e7\u00e3o, podendo mitigar riscos relacionados a incidentes, incluindo ataques com emprego de ransomware.<\/p>\n\n\n\n

Sim, podemos come\u00e7ar por uma palestra, um webinar, um curso b\u00e1sico. Contudo, h\u00e1 de se pagar montante proporcional ao valor da equipe deste projeto. N\u00e3o, uma adequa\u00e7\u00e3o bem feita, com equipe multidisciplinar, em um projeto de um ano, n\u00e3o ser\u00e1 equivalente a um sal\u00e1rio de um gestor, ser\u00e1 mais do que isso, considerando que esta adequa\u00e7\u00e3o ser\u00e1 realizada por profissionais s\u00eaniores, e n\u00e3o juniores ou estagi\u00e1rios. Entretanto, seguramente, ser\u00e1 mais barato do que o dano causado por um ataque de cibercriminosos, considerado o impacto na marca, o financeiro, o de escrut\u00ednio pelo regulador, dentre outras consequ\u00eancias.<\/p>\n\n\n\n

Sobre os incidentes<\/h2>\n\n\n\n

Voltando ao caso da cl\u00ednica de sa\u00fade. Este incidente envolveu consult\u00f3rios de cirurgia pl\u00e1stica nos estados do Rio Grande do Sul e do Paran\u00e1. Trata-se de crime envolvendo a pr\u00e1tica de ransomware, assumido pelo grupo Qiulong, que divulgou na Dark Web imagens \u00edntimas, dados financeiros, conversas entre m\u00e9dicos e pacientes e prontu\u00e1rios destes pacientes. O grupo de cibercriminosos segue pedindo pagamento de resgate destes dados, sob amea\u00e7a de prosseguirem com as divulga\u00e7\u00f5es em meios da Surface Web,\u00a0parte da web que \u00e9 facilmente acess\u00edvel e indexada pelos motores de busca padr\u00e3o, como o Google, Bing e Yahoo, dentre outros.<\/p>\n\n\n\n

Ao que tudo indica, tr\u00eas cl\u00ednicas foram vitimadas pelo grupo Qiulong. Segundo os cibercriminosos, eles t\u00eam em sua posse, mais de 64 Giga de informa\u00e7\u00f5es. Vale evidenciar que a sa\u00fade \u00e9 um dos setores mais visados no Brasil por cibercriminosos que pretendem utilizar ransomware.<\/p>\n\n\n\n

“Os principais meios de infec\u00e7\u00e3o continuam sendo o e-mail e o emprego da engenharia social, que tanto falamos por aqui, por isso a necessidade cada vez maior das empresas conscientizarem os seus funcion\u00e1rios”<\/p>L\u00e9o Farias, da CEO ACPD Brasil<\/cite><\/blockquote><\/figure>\n\n\n\n

Pequenas e m\u00e9dias empresas (PMEs), como consult\u00f3rios m\u00e9dicos, muitas vezes n\u00e3o possuem uma equipe de seguran\u00e7a dedicada, o que as torna mais vulner\u00e1veis a ciberataques.<\/strong><\/p>\n\n\n\n

Regulamento de Comunica\u00e7\u00e3o de Incidente de Seguran\u00e7a<\/h2>\n\n\n\n

Cabe ressaltar que\u00a0Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD) publicou a\u00a0Resolu\u00e7\u00e3o n.\u00ba15\/2024<\/a>, que aprovou o Regulamento de Comunica\u00e7\u00e3o de Incidente de Seguran\u00e7a (RCIS). O normativo tem por objetivo estabelecer os procedimentos para Comunica\u00e7\u00e3o de Incidente de Seguran\u00e7a, que possa acarretar risco ou dano relevante aos titulares, nos termos do art. 48 da LGPD, que imp\u00f5e aos controladores\u00a0o dever de comunicar aos titulares e \u00e0 pr\u00f3pria ANPD\u00a0a ocorr\u00eancia de incidentes que possam causar\u00a0riscos ou danos relevantes<\/strong>\u00a0aos titulares.\u00a0<\/p>\n\n\n\n

Embora a LGPD\u00a0determine aos agentes de tratamento de dados pessoais (controladores e operadores)\u00a0a ado\u00e7\u00e3o de\u00a0medidas para prevenir a ocorr\u00eancia de danos aos titulares\u00a0em virtude\u00a0de suas atividades, e na\u00a0eventualidade de um incidente de seguran\u00e7a, uma\u00a0importante\u00a0medida de mitiga\u00e7\u00e3o de danos \u00e9 a comunica\u00e7\u00e3o\u00a0da ocorr\u00eancia aos titulares dos dados pessoais violados, paira a d\u00favida se as cl\u00ednicas seguiram estas exig\u00eancias, ap\u00f3s os incidentes.<\/p>\n\n\n\n

Segundo a mat\u00e9ria no jornal, o gestor de uma das cl\u00ednicas, adotou as seguintes medidas: <\/p>\n\n\n\n