Os riscos invisíveis do tráfego de dados pessoais e prontuários médicos

Por Jomar Nascimento

Um paciente agenda uma consulta médica, fornece seus dados pessoais na recepção e, no dia da consulta, leva seus exames, relata ao médico seus sintomas e é examinado. Em seguida, o médico registra tudo no prontuário e prescreve algum medicamento utilizando a assinatura digital e o QR Code, facilitando a vida do paciente, que em seguida recebe a receita em seu celular. Com exceção de bancos e instituições financeiras, poucos estabelecimentos coletam tantos dados pessoais e dados sensíveis em um procedimento de rotina. Estes dados, por sua vez, são registrados em um sistema, e é exatamente neste momento que se acende uma luz de alerta: como guardiões dos dados dos pacientes, os médicos estão de fato se assegurando que não haja uma exposição indevida de seus dados, bem como sua má utilização?

Para responder esta questão precisamos entender um pouco como funciona o tráfego de informações na internet e como isso é atualmente regulamentado. As instituições de Saúde têm como obrigação seguir as deliberações e resoluções do Conselho Federal de Medicina (CFM), conforme as disposições e os deveres do Código de Ética Médica. Porém, com a entrada em vigor da LGPD, em agosto de 2020, a questão passou para a esfera cível. É importante destacar ainda que, antes da Lei nº 13.709/2018, todas as instituições eram tidas como proprietárias dos dados das pessoas que constavam em seus arquivos. Entretanto, com este novo dispositivo, a perspectiva se inverteu: todos os dados pertencem, na realidade, às pessoas. As instituições têm apenas a guarda dos dados e é responsável por zelar pela sua integridade, segurança e confidencialidade.

“Segundo pesquisa da Future Health Index (2020), 71% dos profissionais de saúde no Brasil afirmam que o uso das tecnologias digitais permite que eles dediquem mais tempo aos seus pacientes. A questão é se estes profissionais entendem os riscos relacionados à privacidade de seus dados e de seus pacientes e consideram isso ao escolher em quais plataformas trabalhar.”

Os riscos invisíveis

Na área da Saúde, os dados pessoais e os prontuários médicos dos respectivos pacientes pertencem a estes. Portanto, estão apenas sob a guarda dos consultórios, clínicas e hospitais.

Com a crescente conscientização de que o titular dos dados é o protagonista das decisões sobre o uso das suas informações, os profissionais de saúde têm adequado seus procedimentos para que os pacientes estejam cientes e tenham consentido a coleta de seus dados. Porém, na prática, existem riscos que a grande maioria dos profissionais não tomam conhecimento por não entenderem como funciona a internet.

Um exemplo disso é o serviço de confirmação de consulta por WhatsApp. Muitos softwares de gestão de clínicas e consultórios médicos oferecem esse serviço de forma não homologada e, por isso, mais econômica. Parece atraente, mas oferece riscos significativos. O Facebook, proprietário do WhatsApp, tem um serviço para empresas que utiliza a WhatsApp Business API, que fornece ferramentas de automação que tornam o processo mais rápido e prático para a empresa, como no caso de confirmação de consulta para pacientes.

A WhatsApp Business API é paga e permite o disparo de mensagens de maneira controlada. Há um trabalho sério por trás dessa solução e que envolve não apenas custos, mas um esforço voltado à segurança dos usuários. As APIs piratas são criadas por hackers que destrincham o código do WhatsApp para encontrar brechas. A partir daí, a ferramenta funciona basicamente como um “telefone fantasma”, se conectando ao WhatsApp como se fosse um usuário real e utilizando os protocolos do app para se comunicar com números verdadeiros, podendo se apropriar dos dados trafegados pelas mensagens. A LGPD proíbe a utilização de dados sem o consentimento de seus titulares. Portanto, mesmo que a base de dados tenha sido construída de forma legal e com informações devidamente cedidas por seus titulares, as boas práticas já determinam que é preciso o ‘opt-in (aceite) antes do envio de mensagens, e uma API homologada para isso.

O mesmo acontece com serviços como a assinatura digital de impressos. Procurando conveniência e economia, muito usuários optam por alternativas gratuitas e não seguras para ter a receita digital com QR Code, não considerando que os seus dados e de seus pacientes poderiam trafegar para outros agentes/empresas sem o seu conhecimento e sem controle, indo contra as preocupações de segurança e o que prevê a LGPD.

A tecnologia trabalha a favor do mercado de saúde. Estima-se que para cada hora de atendimento direto ao paciente, outras duas horas sejam necessárias em frente ao computador para que o médico desempenhe uma série de tarefas. Não é à toa que a saúde digital decolou em meio ao Covid-19, atingindo, por exemplo, a marca inédita de cinco IPOs em saúde digital apenas em 2020. Porém, este agente facilitador deve atender requisitos de compliance e exigências impostas pelas agências reguladoras. É papel dos profissionais de tecnologia e de saúde assegurar o bom uso das ferramentas disponíveis no mercado, protegendo as pessoas e os negócios.

Ao contratar e utilizar plataformas médicas, é fundamental que o médico verifique a política de privacidade da empresa e as eventuais integrações com terceiros. Quanto mais integrações, maior o risco potencial, já que fica mais difícil controlar um eventual vazamento. Profissionais de saúde são guardiões de informações íntimas e preciosas de seus pacientes, portanto todo o cuidado é necessário na escolha de onde armazená-las e quem terá acesso de forma direta e indireta a elas.

*Jomar Nascimento é cofundador e Diretor Geral da ProDoctor Software.