Todos estamos cientes das manchetes recentes sobre grandes violações de dados de informações pessoais e incidentes cibernéticos similares, desde o roubo de 145 milhões de registros de uma grande agência de crédito até relatos de ransomware interrompendo negócios. Mas de todos os dados que estão em risco, uma violação de nossas informações de saúde é provavelmente a mais preocupante.

• Os dados de saúde são muito pessoais e podem conter informações que desejamos manter confidenciais (por exemplo, registros de saúde mental) ou impactar potencialmente as perspectivas de emprego ou a cobertura de seguros (por exemplo, doença crônica ou histórico de saúde familiar).

• São de longa duração – um cartão de crédito exposto pode ser cancelado, mas seu histórico médico permanece com você por toda a vida.

• São muito completos e abrangentes – as informações que as organizações de saúde têm sobre seus pacientes incluem não apenas dados médicos, mas também informações de contas de seguro e financeiras. Isso pode incluir informações pessoais, como números de Seguro Social, endereços ou até mesmo os nomes dos parentes próximos. Tal quantidade de dados pode ser monetizada por cibercriminosos de várias maneiras.

• Em nosso mundo digital de saúde, a disponibilidade confiável de dados precisos de saúde para os clínicos é crucial para a prestação de cuidados, e qualquer interrupção no acesso a esses dados pode atrasar o atendimento ou comprometer o diagnóstico.

A privacidade e a segurança das informações de saúde são estritamente regulamentadas nos EUA sob leis federais, como a Lei de Portabilidade e Responsabilidade do Seguro de Saúde de 1996 (HIPAA), mas também por meio de várias leis estaduais e leis que protegem os indivíduos contra discriminação com base em dados genéticos.

Infelizmente, as violações de dados de saúde são muito comuns. Em 2016, o Departamento de Saúde e Serviços Humanos dos EUA relatou um total de 450 violações de dados de saúde afetando mais de 27 milhões de pacientes, com os 10 maiores incidentes representando metade dos registros violados (13 milhões). E, mais preocupante, mais da metade de todas as violações foram devido a ataques cibernéticos externos, em oposição à exposição acidental devido a erro humano ou perda de dispositivos.

Olhar exemplos recentes de incidentes de segurança em saúde mostrará um amplo espectro de eventos e motivações subjacentes do cibercriminoso. Temos visto relatos de funcionários em hospitais navegando por registros médicos por curiosidade ou postando informações sobre pacientes nas redes sociais. Também houve casos em que a identidade de uma pessoa, informações financeiras ou de seguro foram roubadas para ganho pessoal – por exemplo, para obter uma hipoteca ou para receber serviços médicos em nome de outra pessoa (e no seguro de outra pessoa).

Os incidentes que têm impacto mais amplo e afetam mais pacientes são o roubo de registros médicos e tentativas de extorquir organizações de saúde ameaçando a liberação de dados roubados. Além disso, as instituições de saúde foram afetadas por ransomware, com algumas decidindo pagar e outras não, optando por aceitar o impacto nos serviços ao paciente e a perda de receita.

Para os prestadores de cuidados de saúde e seguradoras, geralmente não há limitação para os pacientes divulgarem informações sobre sua saúde. Assim como qualquer paciente pode (e na maioria das vezes deve) compartilhar preocupações sobre sua saúde com a família e amigos, qualquer paciente agora pode facilmente compartilhar o que quiser com o mundo via redes sociais ou participar de um grupo de apoio online. Embora estes sejam geralmente passos positivos que ajudam um indivíduo com preocupações de saúde a encontrar apoio e receber conselhos, agora precisamos estar muito mais conscientes sobre o que compartilhamos e onde isso acaba.

Quão grande é sua rede social, e quem pode ver o que você está compartilhando? Quem está hospedando o grupo de apoio que você acabou de entrar e qual é o compromisso deles com a privacidade dos dados? Muitos sites, especialmente se hospedados por organizações respeitáveis, são seguros. Mas como você sabe o que, se alguma, de suas informações pode ser compartilhada e analisada para marketing ou outros fins?

De forma alguma esse conselho deve ser interpretado como contrário ao compartilhamento ou à busca de apoio online. Quanto mais sabemos, melhor preparados estamos, e melhores decisões de saúde seremos capazes de tomar. A riqueza de informações que podemos obter da internet levou a uma população de pacientes mais educada, capaz de se envolver e fazer parte do processo de cura.

No entanto, preocupações sobre a capacidade de seu provedor de saúde de proteger seus dados não devem levar os pacientes a reter informações. Mesmo nesta era digital, a relação de confiança entre paciente e médico ainda é o aspecto mais importante do nosso sistema de saúde – e essa confiança vai nos dois sentidos: os pacientes precisam confiar em seus provedores com informações frequentemente íntimas e pessoais, e os provedores precisam saber que seus pacientes não estão retendo nada devido a preocupações de privacidade.

Entramos na nova era da medicina digital e na disponibilidade quase universal de informações, levando a melhores diagnósticos e tratamentos mais bem-sucedidos, reduzindo, em última análise, o sofrimento e prolongando vidas. No entanto, esta grande oportunidade também vem com novos riscos e todos nós – prestadores de cuidados de saúde e pacientes – precisamos estar conscientes sobre como usamos esta nova tecnologia e compartilhamos informações.

Os blogs seguintes nesta série discutirão essas questões em mais detalhes, olhando especificamente para redes sociais, aplicativos de saúde e dispositivos pessoais de saúde e fitness, e revisar como nós, como pacientes e consumidores, podemos fazer um trabalho melhor de proteger a nós mesmos e nossas informações.

Sobre os Autores

Os autores são membros do Comitê de Privacidade e Segurança da Healthcare Information and Management Systems Society (HIMSS):

Bayardo Alvarez, CPHIMS, é diretor de tecnologia da informação no Boston PainCare Center, uma prática interdisciplinar focada no tratamento e pesquisa de dor crônica. Suas responsabilidades incluem supervisionar o programa de cibersegurança e conformidade do Boston PainCare. Bayardo atuou na indústria de saúde por mais de uma década e tem mais de 30 anos de experiência em tecnologia da informação. Ele é o atual presidente do Comitê de Privacidade e Segurança da HIMSS.

Carrie McGlaughlin, CISM, trabalhou duas décadas em TI na área de saúde e é diretora de tecnologia da informação e oficial de segurança HIPAA no Buckeye Ranch, uma organização de saúde mental e comportamental para jovens e famílias.

Axel Wirth, CPHIMS, CISSP, HCISPP, é um arquiteto de soluções distinto para a indústria de saúde dos EUA na Symantec Corporation. Ele fornece visão estratégica e liderança técnica dentro do setor de saúde da Symantec, atuando em um papel consultivo para provedores de saúde, parceiros da indústria e profissionais de tecnologia da saúde. Com base em mais de 30 anos de experiência internacional na indústria, o Sr. Wirth está apoiando os clientes de saúde da Symantec a resolver seus desafios críticos de segurança, privacidade, conformidade e gerenciamento de TI.