Risco crescente de ataques e consequências para a assistência
O setor da saúde enfrenta uma ameaça crescente de ciberataques que compromete não só a privacidade dos doentes, mas também a continuidade de serviços clínicos essenciais. Em seminário organizado por especialistas em segurança, foi sublinhado que grupos criminosos já operam de forma profissionalizada — com estruturas e recursos que se assemelham a empresas legítimas — e recorrem a inteligência artificial para automatizar esquemas de phishing.
Os impactos práticos são claros: incidentes desta natureza não se limitam à fuga de dados, tendo também causado perturbações em exames e tratamentos. Quando sistemas críticos são encriptados ou indisponibilizados, o tempo de restauro e as interrupções nos cuidados podem colocar em risco a segurança dos pacientes.
Casos que ilustram o problema
Nos últimos anos, vários ataques de grande escala demonstraram o alcance do fenómeno. Dois exemplos mencionados no seminário revelam a dimensão dos custos humanos e financeiros:
- Em 2023, a fuga de dados da plataforma de testes genéticos 23andMe afetou cerca de 7 milhões de registos, incluindo informações sobre ancestralidade e indicadores de saúde sensíveis.
- O ataque de ransomware à Change Healthcare terá comprometido dados de aproximadamente 100 milhões de pessoas e gerado prejuízos estimados em US$ 1 mil milhões.
Além do prejuízo directo sobre os titulares dos dados, estes eventos acarretam custos elevados para instituições de saúde que investem tempo e recursos para recuperar sistemas, reparar danos reputacionais e responder a obrigações legais.
Quadro jurídico e exigências de conformidade
Em resposta ao aumento das ameaças, várias jurisdições têm reforçado a regulação sobre proteção de dados. No exemplo considerado no seminário — o Vietname — legislações recentes classificam dados médicos e genéticos como dado sensível e impõem obrigações rigorosas, incluindo notificação, consentimento prévio e avaliação de impacto do processamento. Entre as medidas referidas estão a necessidade de submeter relatórios de avaliação de impacto e de obter autorizações administrativas em prazos definidos.
Embora o enquadramento legal varie entre países, as exigências comuns incluem:
- Notificação e consentimento do titular antes de processar dados sensíveis;
- Avaliações de impacto sobre o tratamento de dados;
- Obrigatoriedade de planos de resposta a incidentes e medidas técnicas de proteção.
Implicações para instituições portuguesas e para os utentes
Para os serviços de saúde em Portugal, as lições destes casos são pertinentes. A digitalização dos cuidados e a integração de novos serviços (como cruzamentos genéticos ou plataformas de telemedicina) aumentam a superfície de ataque. Um incidente grave pode: interromper consultas e exames, expor informação clínica sensível e exigir investimentos imprevistos para retomar a actividade.
| Incidente | Impacto reportado |
|---|---|
| Fuga de dados 23andMe (2023) | 7 milhões de registos comprometidos (dados genéticos e pessoais) |
| Ataque à Change Healthcare | Afectou cerca de 100 milhões de pessoas; prejuízos estimados em US$ 1 mil milhões |
Estas ocorrências sublinham a necessidade de políticas robustas de segurança, formação contínua dos profissionais e investimentos em defesas tecnológicas. Para além das medidas preventivas, é igualmente crítico dispor de planos de contingência que garantam a continuidade dos cuidados em caso de incidente.
Em suma, a profissionalização dos cibercriminosos e a utilização de ferramentas avançadas, como a IA, elevam a complexidade dos riscos. As instituições de saúde, reguladores e responsáveis políticos têm de coordenar respostas que combinem conformidade legal, capacidade técnica e planos operacionais que preservem tanto a privacidade dos utentes como a segurança dos serviços clínicos.
