Atividades — Segurança da Informação em Saúde
Este conjunto de atividades aplica os conceitos estudados no material deste módulo a situações concretas do ambiente de saúde. As respostas devem ser fundamentadas exclusivamente no material do módulo e redigidas de forma dissertativa — o que se espera não é a reprodução de definições, mas a demonstração de que você consegue mobilizar os conceitos para analisar situações práticas, identificar riscos e propor condutas fundamentadas. Retorne ao material sempre que precisar de apoio conceitual, especialmente às seções sobre a Tríade CIA, as ameaças cibernéticas ao setor saúde, a LGPD e os princípios de privacy-by-design.
Atividade 1 — A Tríade CIA diante de incidentes reais: análise de casos
Contexto
O material deste módulo apresenta a Tríade CIA — confidencialidade, integridade e disponibilidade — como o alicerce analítico de toda avaliação de segurança da informação. Cada pilar tem consequências clínicas específicas quando violado, e compreender qual pilar foi afetado em um incidente é o primeiro passo para diagnosticar o problema e propor medidas de contenção e prevenção.
Os três incidentes a seguir são descrições simplificadas, mas representativas, de situações documentadas no setor saúde.
Incidente 1: Um hospital de médio porte descobriu que um funcionário administrativo havia, ao longo de seis meses, acessado sistematicamente prontuários de pacientes que não estavam sob sua responsabilidade e repassado informações diagnósticas a uma empresa de planos de saúde concorrente. O funcionário tinha credenciais legítimas de acesso ao sistema de prontuários eletrônicos, necessárias para sua função original. Nenhum dado foi modificado; nenhum sistema foi interrompido.
Incidente 2: Um laboratório de análises clínicas identificou que, durante uma atualização do software de gestão de laudos, um bug havia resultado na troca de resultados de exames entre pacientes distintos. Cerca de 140 laudos de exames de coagulação foram enviados com os nomes corretos, mas com os valores de outro paciente. O erro foi descoberto três dias depois, quando dois pacientes foram submetidos a doses erradas de anticoagulante.
Incidente 3: Um sistema regional de saúde que coordenava o agendamento de consultas e o acesso ao prontuário eletrônico de quarenta unidades básicas de saúde foi alvo de um ataque que criptografou todos os servidores centrais. Durante 11 dias, nenhuma unidade conseguiu acessar os prontuários dos pacientes nem agendar consultas pelo sistema. O atendimento continuou de forma manual, com papel e caneta, mas a capacidade operacional caiu para cerca de 30% do volume habitual.
O que você deve fazer
Analise cada um dos três incidentes em texto dissertativo, percorrendo três dimensões para cada um. A primeira dimensão é a identificação dos pilares violados: qual ou quais pilares da Tríade CIA foram comprometidos em cada incidente, e por que a sua classificação é correta? Se mais de um pilar foi afetado, explique qual foi o impacto primário e quais foram os impactos secundários. A segunda dimensão são as consequências clínicas: para cada incidente, descreva as consequências reais ou potenciais sobre a segurança dos pacientes — seja o risco imediato à vida, o risco de discriminação ou dano social, ou o impacto sobre a continuidade do cuidado. A terceira dimensão são as medidas preventivas: que medidas de segurança, se implementadas previamente, poderiam ter impedido ou mitigado cada incidente? As medidas devem ser específicas e fundamentadas no material do módulo — não basta dizer “investir em segurança”.
Atividade 2 — LGPD no cotidiano médico: conformidade, violação e conduta correta
Contexto
O material deste módulo descreve como práticas corriqueiras no ambiente médico podem configurar violações da LGPD sem que os profissionais envolvidos tenham consciência disso. O conhecimento das bases legais para o tratamento de dados de saúde (Art. 11 da LGPD), dos direitos dos titulares (Art. 18) e das obrigações das instituições (Arts. 38, 41, 46 e 48) é o que permite distinguir uma conduta legalmente sustentada de uma que expõe o profissional e a instituição a sanções administrativas e responsabilização civil.
As cinco situações a seguir foram elaboradas para cobrir cenários distintos de tratamento de dados de saúde que um médico recém-formado pode encontrar em seus primeiros anos de atuação.
Situação 1: Uma residente de medicina interna fotografa o resultado de um exame de imagem de um paciente com o celular pessoal para enviar a um colega radiologista via WhatsApp pessoal e obter uma segunda opinião sobre um achado incidental. A imagem contém nome, data de nascimento e número de prontuário do paciente.
Situação 2: Um médico de família recebe de um familiar do paciente, por e-mail não criptografado, uma solicitação de cópia completa do prontuário do paciente — incluindo histórico psiquiátrico, exames de HIV e laudos de cirurgia — para uso em uma disputa judicial. O familiar alega que o paciente autorizou verbalmente o compartilhamento.
Situação 3: Uma clínica privada de oncologia decide, para fins de pesquisa interna sobre protocolos de tratamento, compilar uma base de dados com o histórico terapêutico de todos os pacientes atendidos nos últimos cinco anos, incluindo nome, CPF, diagnóstico e esquema de quimioterapia utilizado. A pesquisa não será publicada externamente; será usada apenas para melhorar os protocolos internos.
Situação 4: Uma startup de saúde mental digital coleta, via aplicativo, diários de humor, registros de sono e respostas a escalas psicométricas de seus usuários. Os dados são processados por um algoritmo de detecção de risco de crise. Os termos de uso informam genericamente que “os dados poderão ser usados para melhorar os serviços”. A startup pretende, futuramente, compartilhar dados anonimizados com uma seguradora de saúde para precificação de apólices.
Situação 5: Um hospital público recebe uma solicitação formal do Ministério da Saúde para compartilhar dados de pacientes diagnosticados com tuberculose nos últimos 12 meses para alimentar o sistema de vigilância epidemiológica nacional. Os dados solicitados incluem nome, endereço e resultado de exame.
O que você deve fazer
Analise cada uma das cinco situações em texto dissertativo, respondendo para cada uma: a prática descrita é compatível com a LGPD ou configura uma violação? Qual artigo ou princípio da LGPD é mais diretamente relevante para a análise? Se a prática for uma violação, qual seria a conduta alternativa legalmente correta, mantendo o objetivo legítimo do profissional ou da instituição? Se a prática for compatível, identifique qual base legal do Art. 11 a sustenta e se há alguma condição ou procedimento que deve ser observado. A análise de cada situação deve ser integrada — não basta citar o artigo, é preciso explicar por que ele se aplica ao caso específico.
Atenção especial à Situação 4: ela envolve múltiplas camadas de análise — o tratamento dos dados coletados, o uso futuro pretendido e a questão da anonimização genuína. O material discute a distinção entre dados anonimizados, pseudonimizados e identificáveis, e essa distinção é relevante aqui.
Atividade 3 — Privacy-by-design aplicado ao projeto de startup
Contexto
O material deste módulo apresenta os sete princípios de privacy-by-design formulados por Ann Cavoukian e discute como cada um deles se traduz em decisões de produto concretas para uma HealthTech. O princípio central é que a proteção de dados não deve ser uma camada adicionada ao produto depois que ele já foi concebido — ela deve ser uma dimensão fundante do design, refletida nas escolhas de arquitetura, coleta de dados, armazenamento, acesso e compartilhamento desde a primeira versão.
O Art. 46 da LGPD estabelece que os agentes de tratamento — incluindo startups — devem adotar “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito”. Isso não é apenas uma obrigação legal: é um requisito de confiança do usuário, especialmente em saúde, onde a sensibilidade dos dados é máxima.
O que você deve fazer
O grupo deve produzir, em texto dissertativo, uma análise de privacidade e segurança do projeto de startup que está desenvolvendo ao longo do semestre, percorrendo três dimensões.
A primeira dimensão é o mapeamento de dados: que dados de saúde ou dados pessoais o produto da startup coletaria, processaria ou armazenaria? Para cada categoria de dado, o grupo deve indicar: se são dados sensíveis segundo o Art. 5, XI da LGPD; qual base legal do Art. 11 justificaria o tratamento; e se o dado é estritamente necessário para a funcionalidade do produto ou poderia ser substituído por um dado menos sensível ou anonimizado.
A segunda dimensão é a aplicação dos princípios de privacy-by-design: o grupo deve percorrer pelo menos quatro dos sete princípios descritos no material e descrever, para cada um, uma decisão de design concreta que o produto deveria incorporar. As decisões devem ser específicas ao produto do grupo — não descrições genéricas dos princípios, mas afirmações do tipo “no nosso produto, o princípio X se traduz em Y”.
A terceira dimensão é o plano de conformidade: quais seriam os três requisitos de segurança e privacidade mais importantes que a startup precisaria satisfazer antes de lançar o produto para usuários reais? Para cada requisito, o grupo deve indicar: qual artigo da LGPD ou princípio de security-by-design o fundamenta; qual seria a consequência de não atendê-lo para os usuários e para a startup; e o que seria necessário implementar tecnicamente para satisfazê-lo.