Encontro abordou a aplicação da LGPD, a governança de dados e os desafios de segurança associados à digitalização dos serviços de saúde 

A Rede Nacional de Ensino e Pesquisa (RNP) realizou, no dia 31 de julho, mais uma sessão do SIG Cibersegurança e Proteção de Dados em Saúde, iniciativa da Rede Universitária de Telemedicina (RUTE). Com o tema “Cibersegurança e Proteção de Dados Pessoais na Saúde”, o encontro foi conduzido pelo coordenador de Privacidade e Proteção de Dados da RNP, Yuri Alexandro, com abertura e mediação do gerente de Operações de Segurança da organização, Ivan Benevides. 

A sessão apresentou conceitos, fundamentos legais e orientações práticas para o tratamento adequado de dados pessoais no setor da saúde. A discussão partiu da evolução do conceito de privacidade — inicialmente associado ao direito de não sofrer interferências na vida privada — até a noção contemporânea de autodeterminação informativa, que reconhece o direito das pessoas de conhecer e acompanhar a utilização de suas informações. 

Yuri destacou que a proteção de dados pessoais e a privacidade são direitos fundamentais previstos na Constituição Federal. No Brasil, esse direito é regulamentado pela Lei Geral de Proteção de Dados Pessoais (LGPD), que estabelece princípios, responsabilidades e hipóteses legais para o tratamento de informações relacionadas a pessoas identificadas ou identificáveis. 

Dados de saúde exigem proteção reforçada 

Durante a apresentação, o especialista explicou a diferença entre dados pessoais gerais e dados pessoais sensíveis. Informações relacionadas à saúde, à genética, à biometria e à vida sexual integram a categoria de dados sensíveis porque seu uso inadequado pode resultar em discriminação, restrição de direitos e outros danos aos titulares. 

No cotidiano dos estabelecimentos de saúde, esses dados são tratados em diferentes etapas e atividades: cadastro de pacientes, triagem, anamnese, prontuários eletrônicos, exames, telemedicina, faturamento, controle de acesso e gestão de profissionais e prestadores de serviços. 

Na telessaúde, o tratamento envolve ainda os dispositivos utilizados pelo paciente e pelo profissional, a rede de comunicação, os registros do atendimento e documentos como prescrições eletrônicas. Por isso, a proteção deve acompanhar todo o ciclo de vida dos dados, desde a coleta e o armazenamento até o compartilhamento e a eliminação. 

Yuri ressaltou que a existência de uma finalidade para a coleta não autoriza o uso indiscriminado das informações. As organizações também devem observar princípios como adequação, necessidade, transparência, segurança, prevenção, não discriminação e prestação de contas. 

Privacidade depende de segurança da informação 

Outro ponto central foi a relação entre privacidade e segurança da informação. Segundo Yuri, a proteção dos direitos dos titulares depende da adoção de medidas técnicas e administrativas capazes de preservar a confidencialidade, a integridade e a disponibilidade dos dados. 

Em ambientes de saúde, a indisponibilidade ou a alteração indevida de um prontuário eletrônico, por exemplo, pode afetar diretamente a continuidade do cuidado. Da mesma forma, o acesso não autorizado a informações clínicas pode expor pacientes a fraudes, discriminação e violações de privacidade. 

Além de implementar controles, as instituições devem documentar as medidas adotadas. Entre os instrumentos apresentados esteve o Relatório de Impacto à Proteção de Dados Pessoais, que reúne a descrição das operações de tratamento, as finalidades, as bases legais, os riscos para os titulares e as salvaguardas utilizadas para mitigá-los. 

O encontro também destacou o papel da governança de dados. O mapeamento das informações tratadas (quais dados são coletados, onde são armazenados, como circulam e quem pode acessá-los) permite identificar riscos e definir controles proporcionais à criticidade de cada processo. 

Na RNP, essas ações integram o Programa de Governança em Privacidade e Proteção de Dados Pessoais, que estabelece diretrizes internas para as diferentes etapas do tratamento de informações. 

Integração de dados e continuidade do cuidado 

A sessão abordou ainda o compartilhamento de informações por meio da Rede Nacional de Dados em Saúde (RNDS), plataforma oficial de interoperabilidade do Ministério da Saúde. Regulamentada pelo Decreto nº 12.560/2025, a RNDS conecta sistemas e instituições para viabilizar o intercâmbio padronizado de dados de saúde. 

A integração pode apoiar a continuidade do atendimento entre diferentes serviços e regiões, a gestão de políticas públicas, o monitoramento epidemiológico e a realização de pesquisas científicas. O acesso do cidadão às próprias informações também é ampliado por meio das plataformas do SUS Digital. 

Yuri enfatizou, entretanto, que o compartilhamento deve observar finalidades definidas, bases legais adequadas e controles de acesso, além de técnicas de anonimização quando aplicáveis. Para que um conjunto de dados seja considerado anonimizado, não deve ser possível associar as informações, direta ou indiretamente, a uma pessoa. 

Segurança em nuvem e resposta a incidentes 

Na etapa de interação com o público, os participantes apresentaram dúvidas sobre armazenamento em nuvem, ataques cibernéticos e a efetividade dos processos de anonimização. 

Yuri explicou que provedores de nuvem oferecem mecanismos robustos de proteção, mas a segurança também depende da configuração adequada dos serviços e da capacitação das equipes responsáveis. Monitoramento contínuo e planos de resposta a incidentes são necessários para identificar ocorrências, reduzir impactos e orientar os titulares afetados por um eventual vazamento. 

O especialista também chamou atenção para a necessidade de acompanhar a evolução regulatória. Além das orientações da Autoridade Nacional de Proteção de Dados, instituições de saúde devem observar normas produzidas pelo Ministério da Saúde, pela Agência Nacional de Saúde Suplementar, pela Agência Nacional de Vigilância Sanitária e pelos conselhos profissionais. 

O SIG Cibersegurança e Proteção de Dados em Saúde promove encontros periódicos para a troca de experiências e a disseminação de boas práticas entre profissionais de saúde, tecnologia da informação, segurança e privacidade. 

A gravação completa da sessão está disponível no Eduplay. 

A próxima sessão será realizada no dia 28 de agosto, das 14h às 15h30, no link https://rcc.rnp.br/RUTE/aovivo . Com o tema “Boas práticas de segurança no contexto de ambientes de saúde” e será apresentada por Ramon Vieira, coordenador-Geral de Infraestrutura e Segurança da Informação do DATASUS.