6. Segurança da Informação na Saúde: Requisitos para Coleta e Tratamento de Dados na Área da Saúde

Autores:

Lilian Cristina Pricola

Vladimir Ribeiro Pinto Pizzo

Introdução

Os conceitos da Lei Geral de Proteçâo de Dados Pessoais ( LGPD) e sua aplicabilidade na área da Saúde foram muito bem descritos nos capítulos anteriores deste livro. O objetivo deste capítulo é detalhar os requisitos da LGPD sob o aspecto de Segurança da Informação, apresentando tecnologias existentes que podem apoiar a implementação dos requisitos da Lei.

1.Pilares de Segurança da Informação para a área da Saúde sob a ótica da LGPD

A ABNT NBR ISO/IEC 27002 – Código de prática para controles de segurança da informação 1 aponta como pilares fundamentais da Segurança da Informação a confidencialidade, a integridade e a disponibilidade. Com uma abordagem mais prática, na sequência apontaremos os aspectos mais relevantes de cada um dos três pilares no que diz respeito à sua aplicação na área da Saúde.

Confidencialidade

Conjunto de ações que busca:

a.Garantir que a informação do cidadão somente será acessada por profissionais envolvidos no seu cuidado.

b.conceder ao cidadão o direito de revogar o acesso de determinado profissional.

c.Prover mecanismos de acesso à informação em caso de urgência (break the glass), para a salvaguarda da vida do paciente.

d.Implantar controles de monitoração, controle de ciberataque e prevenção contra vazamento de informação.

Integridade

Conjunto de ações que busca:

a.garantir que os dados sejam inseridos por profissionais da saúde e estejam associados aos seus cuidados, procedimentos realizados e aos resultados válidos de seus exames e imagens.

b.evitar qualquer acesso indevido que possa comprometer a completude da informação ou provocar adulteração dos dados, incluindo sequestro de dados (ransomware);

Disponibilidade

Conjunto de ações que busca:

a.Garantir que os sistemas devem estar disponíveis e com informações atualizadas e íntegras, para que o cidadão receba os cuidados de acordo com as prescrições registradas pelos profissionais da Saúde assim como para documentar os cuidados e os procedimentos realizados durante a atenção à Saúde.

b.Implantar controles de detecção, resposta a incidentes e continuidade de negócios, evitando a perda do dado 2 .

1.1.Maturidade do setor da Saúde

O setor da Saúde sempre se preocupou e incluiu em seus controles a proteção de dados sensíveis de pacientes. Como exemplos dessa preocupação, seguem trechos extraídos do Código de Ética Médica 3 , desenvolvido pelo Conselho Federal de Medicina:

Capítulo IV Direitos humanos

É vedado ao médico:

Art. 22. Deixar de obter consentimento do paciente ou de seu representante legal após esclarecê-lo sobre o procedimento a ser realizado, salvo em caso de risco iminente de morte.

(...)

Capítulo XII Ensino e pesquisa médica

É vedado ao médico:

Art. 101. Deixar de obter do paciente ou de seu representante legal o termo de consentimento livre e esclarecido para a realização de pesquisa envolvendo seres humanos, após as devidas explicações sobre a natureza e as consequências da pesquisa.

§ 1º No caso de o paciente participante de pesquisa ser criança, adolescente, pessoa com transtorno ou doença mental, em situação de diminuição de sua capacidade de discernir, além do consentimento de seu representante legal, é necessário seu assentimento livre e esclarecido na medida de sua compreensão.

(...)

Art. 102. (...)

Parágrafo único. A utilização de …