O setor de saúde no Brasil enfrenta um cenário alarmante em relação à segurança de dados. Fato é que os criminosos têm se aproveitado da crescente digitalização dos serviços de saúde para roubar informações pessoais. E, por consequência, esses dados podem ser utilizados para diversos tipos de fraudes. A complexidade do problema é tamanha que não existe um número consolidado sobre o total de fraudes na saúde suplementar no Brasil. Isso porque a natureza oculta dessas ações dificulta a sua contabilização.
Além disso, a falta de padronização nas práticas de segurança cibernética entre instituições de saúde contribui para aumentar o risco de vazamentos de dados. Como se não bastasse, muitas vezes, clínicas e consultórios (principalmente os de pequeno porte) não dispõem de recursos suficientes para investir em tecnologias de proteção. Ou seja, eles acabam deixando suas informações vulneráveis a ataques. As grandes operadoras, por sua vez, precisam lidar com sistemas legados que podem não ser compatíveis com as exigências modernas de segurança.
Responsabilidades
Outra questão a ser considerada é a necessidade de legislações mais rigorosas e específicas que abordem a segurança de dados no setor de saúde. Embora existam leis, como a Lei Geral de Proteção de Dados (LGPD), ainda são necessárias diretrizes mais detalhadas. E não só: faltam orientações claras para que as instituições compreendam melhor suas responsabilidades. Quem explica melhor é Rafael Federici, sócio do escritório Comparato, Nunes, Federici & Pimentel Advogados. Ele destaca que a proteção de dados no setor de saúde se torna cada vez mais desafiadora. E a tendência é que o obstáculo só aumente, dado ao cenário de digitalização constante. “As consequências de um vazamento podem ser devastadoras tanto para a privacidade dos pacientes quanto para a reputação das instituições de saúde.”
Fato é que à medida que a digitalização dos dados pessoais nas instituições de saúde avança, aumenta também a vulnerabilidade a ataques cibernéticos. Isso se deve ao fato de que os dados pessoais classificados pela legislação brasileira como “sensíveis” têm um valor maior no mercado negro. Isso porque são dados que vão além das informações cadastrais.
Dados sensíveis na mira do crime
“Estamos falando de dados sensíveis que abrangem informações detalhadas sobre os indivíduos, como religião, etnia, tipo sanguíneo, histórico de exames e doenças, tratamentos, compras de materiais e medicamentos, além de contatos de familiares e da equipe médica, entre outros. Essa coleção de informações sensíveis possibilita uma utilização mais especializada dos dados para diversos fins criminosos, o que, por sua vez, atrai um número maior de criminosos e provoca ataques mais sofisticados”, explica Rafael.
Por sua vez, Carla do Couto Hellu Battilana, sócia na área de Cybersecurity & Data Privacy do TozziniFreire Advogados, ressalta que a digitalização trouxe progressos significativos, mas também intensificou a vulnerabilidade a incidentes. Muitos atores ainda dependem de sistemas legados, que são pouco integrados e carecem de políticas de segurança da informação eficazes. Ademais, a necessidade de compartilhar dados entre clínicas, laboratórios, operadoras e startups de saúde digital origina ecossistemas complexos, nos quais o controle e a rastreabilidade do fluxo de dados tornam-se grandes desafios.
Ao traçar uma relação entre a digitalização dos serviços de saúde e o aumento das fraudes e ataques cibernéticos, Carla diz que a digitalização, sem investimentos adequados em segurança e governança de dados, pode criar vulnerabilidades que favorecem fraudes, sequestros de dados (ransomware) e golpes contra o consumidor.
Digitalização acelerada
Em síntese, o ritmo acelerado da digitalização nem sempre foi acompanhado por uma mudança cultural e pela conscientização sobre a proteção de dados. Como resultado, notamos uma crescente dependência da população em relação a aplicativos e plataformas digitais. Carla então destaca que “a maior parte das pessoas não possui a capacidade de reconhecer os riscos e golpes que essa digitalização acarreta”. Essa falta de preparação é preocupante, visto que a utilização indiscriminada de serviços online pode expor os usuários a uma série de ameaças cibernéticas.
Complementando essa reflexão, Letícia Piasecki Martins, sócia do Meira Breseghello Advogados e membro da Comissão de Direito Médico e de Saúde da OAB-SP, enfatiza a importância da responsabilidade individual na proteção de dados. Segundo ela, “a proteção de dados também depende de condutas responsáveis por parte dos próprios titulares”. Isso significa que o compartilhamento inadvertido de informações em aplicativos, redes sociais ou canais não oficiais não apenas fragiliza a segurança do ecossistema digital, mas também pode ser considerado uma culpa exclusiva do consumidor.
Quando a culpa é do consumidor?
Ela então pontua que vários incidentes ocorrem devido a ações individuais dos próprios pacientes/consumidores.
Por exemplo:
- Clicar em links fraudulentos;
- Fornecer credenciais a falsos atendentes;
- Utilizar senhas fracas ou repetidas em diferentes plataformas;
- Não ativar medidas de segurança adicionais, como a autenticação em dois fatores;
- Compartilhar informações pessoais sem verificar a segurança do ambiente digital.
Essas ações podem levar à exposição indevida de dados sensíveis, resultando em prejuízos não apenas para o indivíduo, mas também para instituições que preservam essas informações. “Estamos falando de comportamentos que, mesmo que não sejam intencionais, podem configurar a culpa exclusiva do consumidor, ressaltando a importância da educação digital como uma medida preventiva”, diz Letícia.
Operadoras de saúde
Nessa esteira, destaque para a Resolução Administrativa nº 81/23. O documento estabelece a Política de Segurança da Informação da Agência Nacional de Saúde Suplementar (ANS), definindo seus objetivos e diretrizes. Isso significa que ele se aplica a todos que acessam informações da ANS, exigindo autorização e a assinatura de um Termo de Responsabilidade em conformidade com a norma. Portanto, até mesmo os usuários e demais colaboradores não poderão revelar ou divulgar dados ou informações confidenciais que tenham conhecido no exercício de suas funções, mesmo após a cessação de suas atividades.
Por último, Carla do Couto Battilana ressalta que é fundamental que as operadoras e instituições de saúde realizem investimentos em campanhas educativas, esclarecendo de maneira clara quais cuidados os usuários devem ter e como distinguir comunicações oficiais de mensagens fraudulentas. “É uma mudança cultural que precisa ser adotada tanto por quem presta os serviços quanto por quem os utiliza.”
Diante desse panorama, é imperativo que a sociedade promova uma cultura de conscientização sobre a proteção de dados. A responsabilidade não deve recair apenas sobre as instituições que oferecem serviços digitais, mas também sobre os usuários, que precisam estar cientes dos riscos envolvidos e adotar comportamentos mais seguros em suas interações online. A educação digital se torna, assim, uma ferramenta essencial para garantir a integridade e a segurança em um mundo cada vez mais conectado.
