Ana Beatriz Rezende Rosa

Caroline Stéphanie Francis dos Santos Maciel

Oto V. Barbosa Nunes

No dia 10 de dezembro de 2021, a plataforma ConecteSUS ficou inacessível em razão de um ataque hacker e assim permaneceu por 13 dias. Não foi a primeira vez que um episódio dessa natureza afetou as redes do Ministério da Saúde: no início do ano, uma falha no e-SUS expôs os dados de mais de 200 milhões de brasileiros.
Desta vez, todavia, a gravidade se acentuou em razão de o ConecteSUS – aplicativo que registra toda a trajetória de quem busca atendimento no Sistema Único de Saúde e disponibiliza o Certificado Nacional de Vacinação – ter se tornado instrumento informativo essencial a subsidiar políticas públicas e ações estratégicas no contexto pandêmico. Trata-se, portanto, de uma ferramenta necessária para o exercício de direitos fundamentais, como o acesso a determinados tipos de atendimentos e exercício da liberdade de locomoção, pois muitos estados e municípios passaram a exigir o comprovante de vacinação para que os cidadãos pudessem entrar em determinados locais e estabelecimentos.
A invasão de um sistema com dados sensíveis relativos à saúde dos brasileiros causa ainda maior preocupação ao se considerar que o governo federal planeja a conformação de uma Rede Nacional de Dados em Saúde (RNDS), que reunirá um volume ainda maior de dados, informações e referências dos brasileiros. Embora a RNDS seja, a princípio, uma iniciativa virtuosa, por viabilizar a reunião de todos os dados sobre a saúde do cidadão em um só lugar e a um único toque, a invasão ao ConecteSUS joga luz sobre a fragilidade dos sistemas informatizados que estão sob responsabilidade do Ministério da Saúde. Isso faz com que sejam levantados questionamentos acerca dos riscos, limites e efetivos benefícios envolvidos na gestão e tratamento de dados pessoais pelo Estado brasileiro.
Os dados referentes à saúde armazenados no ConecteSUS são classificados, nos termos do artigo 5º, inciso II da Lei Geral de Proteção de Dados (LGPD), como dados pessoais sensíveis, de cunho íntimo e que, em caso de vazamentos, “podem servir como instrumento para o cometimento de discriminação, intolerância e constrangimento de seu titular” <a href="#_ftn1" name="_ftnref1">[1]</a>. Assim, o acesso a esse tipo de base por certos atores, principalmente em investidas de hackers, além de representar violação a direitos fundamentais, como à privacidade e à intimidade, pode gerar ações discriminatórias em face do cidadão, o que torna a vulnerabilidade de sistemas estatais que reúnem esse tipo de dado ainda mais grave e com potencial sobremaneira danoso à sociedade.
Nesse cenário, deve ser notado que, de fato, a LGPD disciplina de forma diversa o tratamento de dados pessoais que é realizado pelo poder público, na execução de políticas públicas, e aquele feito pelo setor privado; tudo isso sempre em face das especificidades e do interesse público envolvido no primeiro caso. Ao poder público, portanto, é permitido empreender “tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres”, sem a necessidade de consentimento do titular dos dados. O setor público goza dessa prerrogativa, inclusive, quando o objeto do tratamento é dados pessoais sensíveis, conforme artigo 11, inciso II, alínea ‘b’ da LGPD.
Contudo, tal previsão não elide a necessidade de observância dos princípios previstos no artigo 6º da LGPD que devem reger o tratamento de dados realizado por qualquer agente, seja ele público ou privado. Dentre eles, está justamente o princípio da segurança que consiste na “utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. Mesmo que não seja possível garantir a total segurança sobre possíveis acidentes e invasões referentes aos dados tratados, é necessário que haja o devido planejamento para que a segurança seja garantida na máxima medida possível, o que, em face dos recorrentes casos de invasão aos sistemas do Ministério da Saúde, parece estar muito distante da atual realidade do setor público.
Para além dos princípios a serem observados, verifica-se que, desde 2021, a Constituição prevê, em seu artigo 37, §16, a necessidade de a Administração Pública Direta e Indireta realizar a avaliação de impacto de políticas públicas com a divulgação do objeto a ser avaliado e dos resultados alcançados, conforme já discutido neste <a href="https://www.jota.info/opiniao-e-analise/artigos/o-que-nao-nos-contaram-sobre-a-emenda-constitucional-109-de-2021-06102021">artigo</a> publicado no JOTA. Apesar de a previsão depender de regulamentação, ela reforça a necessidade de que o poder público racionalize a sua atuação, o que é aplicável e indispensável quando se trata de políticas públicas que envolvam o tratamento de dados pessoais, especialmente sensíveis, já que é só por meio do planejamento que será possível garantir a efetiva proteção dos dados pessoais pelo Estado.
Não há, atualmente, na sociedade brasileira, uma cultura sólida de proteção de dados pessoais, seja pelo poder público ou por grandes empresas internacionais (Google, Facebook, WhatsApp). Pelo contrário, os recorrentes vazamentos são “normalizados” e pouco discutidos, como se todos estivessem confortáveis diante da monetização de informações pessoais e da falta de transparência do tratamento de dados, especialmente em processos algorítmicos automatizados.
Com isso em mente, é preciso que haja cada vez mais um empoderamento da Autoridade Nacional de Proteção de Dados (ANPD). Paralelamente, devem ser feitos investimentos em políticas educacionais que instruam os cidadãos a perceber os riscos envolvidos e lhes motive a exigir, do poder público e de empresas, que a arquitetura dos produtos e serviços que ofertam observe a noção de “Privacy by design and default” <a href="#_ftn2" name="_ftnref2">[2]</a>.
O episódio de apagão do ConecteSUS traz, em sua gravidade, a lição de prudência. É necessário que o avanço para uma rede nacional de dados como a RNDS seja acompanhado por uma estratégia digital nacional que contemple não apenas abrangência e acessibilidade, mas também a segurança no processamento, armazenamento e comunicação, sempre através de planejamento estatal. Afinal, lado a lado à inovação e ao avanço tecnológico devem andar também a garantia de privacidade e liberdade de escolha dos cidadãos sobre os tratamentos feitos com seus dados pessoais. Em tempos de metaverso, a proteção de dados pessoais e a não discriminação em plataformas digitais se tornam elementos centrais para o desenvolvimento da personalidade digital dos cidadãos.
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> FLÔRES, M. R. de; SILVA, R. L. da . Desafios e perspectivas da proteção de dados pessoais sensíveis em poder da administração pública: entre o dever público de informar e o direito do cidadão de ser tutelado. Revista de Direito, [S. l.], v. 12, n. 02, p. 01–34, p. 2-3, 2020. DOI: 10.32361/2020120210327. Disponível em: <a href="https://periodicos.ufv.br/revistadir/article/view/10327">https://periodicos.ufv.br/revistadir/article/view/10327</a>. Acesso em: 4 jan. 2022.
<a href="#_ftnref2" name="_ftn2">[2]</a> INFORMATION COMMISSIONER’S OFFICE (ICO/UK) . Data protection by design and default. Disponível em: <a href="https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/accountability-and-governance/data-protection-by-design-and-default/">https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/accountability-and-governance/data-protection-by-design-and-default/ design and default | ICO</a>. Acesso em: 03 jan. 2022.

Carteira Nacional Digital de Vacinação

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Invasão hacker suscita importantes reflexões sobre o tratamento de dados pessoais no país

O apagão do ConecteSUS e a vulnerabilidade do tratamento de dados no Brasil

Invasão hacker ao ConecteSUS levanta importantes reflexões sobre o tratamento de dados pessoais no país