Tópico 1.7 — Governança da informação, proteção de dados e cibersegurança

Na saúde e nos cuidados, proteger a informação é indissociável de prestar cuidados: os mesmos dados que salvam uma vida podem, se mal tratados, romper a confiança que torna o tratamento possível — de modo que a forma como você os governa, compartilha e protege é uma obrigação clínica, ética e de confiança pública, e não uma reflexão tardia de conformidade.

Por que isso importa na saúde e nos cuidados#

Os dados de saúde e de cuidados estão entre as informações mais sensíveis que uma pessoa produzirá na vida. Registram diagnósticos, medicamentos, episódios de saúde mental, saúde sexual, direitos ligados à imigração e os detalhes íntimos de vidas frágeis e vulneráveis. As pessoas revelam essas coisas aos clínicos sob uma promessa implícita: a de que a informação será usada para ajudá-las e não será espalhada com descuido. Quando essa promessa se rompe — por um vazamento, uma indisponibilidade por ransomware ou um acordo inexplicado de compartilhamento de dados —, os pacientes retêm informações, optam por sair dos registros ou evitam o cuidado por completo. Isso não é um dano abstrato; degrada diretamente a segurança clínica e a saúde da população.

O que está em jogo também é operacional. Um hospital moderno não funciona sem seus sistemas eletrônicos: solicitações, resultados, prescrição eletrônica, imagens e administração de pacientes são todos digitais. Quando esses sistemas caem, as ambulâncias desviam, as cirurgias são canceladas e os clínicos voltam ao papel de maneiras que introduzem seus próprios erros. A governança da informação e a cibersegurança são, portanto, disciplinas de continuidade do cuidado. Pertencem ao lado da segurança clínica (Tópico 1.6 — Segurança clínica e gestão de riscos), e não a um silo de conformidade separado.

Por fim, há uma tensão genuína e inevitável no centro deste tópico. O público espera, com razão, que o serviço de saúde use dados para melhorar o cuidado, planejar serviços e apoiar pesquisas que encontrem os tratamentos de amanhã. Espera também confidencialidade e controle. Esses objetivos puxam em direções opostas, e o seu trabalho como líder não é fingir que a tensão não existe, mas geri-la abertamente — viabilizando o uso legítimo enquanto torna visíveis e honestas as salvaguardas e as escolhas que os pacientes têm. Se você acertar mal esse equilíbrio em qualquer direção, perde: ou esvazia o cuidado e a pesquisa de dados, ou corrói a confiança da qual todo o sistema depende.

Conceitos centrais#

Sustentando este campo está a disciplina da governança da informação — o arcabouço de regras, papéis e controles pelo qual uma organização trata a informação de forma legal, segura e ética. No Reino Unido, os fundamentos legais primários são o Regulamento Geral sobre a Proteção de Dados do Reino Unido (UK GDPR), a versão doméstica do regulamento da UE mantida após o Brexit, e a Data Protection Act 2018 (DPA 2018), que o complementa. Juntos, exigem que os dados pessoais sejam tratados de forma lícita, leal e transparente e que toda atividade de tratamento se apoie em uma base legal. A informação de saúde é um dado de categoria especial, que exige tanto uma base legal nos termos do Artigo 6 quanto uma condição adicional nos termos do Artigo 9 — para o cuidado direto, tipicamente a prestação de cuidados de saúde ou sociais por um profissional sujeito a um dever de sigilo.

A lei de proteção de dados não é a única restrição. O dever de confidencialidade da common law é uma obrigação separada e mais antiga: a informação dada em confiança não pode ser divulgada sem consentimento, exigência legal ou interesse público preponderante. É possível estar plenamente em conformidade com o UK GDPR e, ainda assim, violar a confidencialidade; portanto, ambos devem ser satisfeitos.

Dois arcabouços específicos da saúde traduzem esses deveres em prática. Os Princípios de Caldicott — um conjunto de princípios (agora oito) para tratar informações confidenciais de pacientes, estabelecidos pela primeira vez no Relatório Caldicott de 1997 — são defendidos dentro de cada organização por um Caldicott Guardian, uma pessoa sênior responsável por proteger a confidencialidade do paciente e viabilizar o compartilhamento adequado de informações. Em nível nacional, o National Data Guardian para a Saúde e os Cuidados Sociais (NDG) é uma voz estatutária independente que aconselha sobre como os dados dos pacientes devem ser usados e protegidos. A recusa nacional de uso de dados (national data opt-out) dá aos pacientes um mecanismo para impedir que suas informações confidenciais sejam usadas para fins além do cuidado direto, como planejamento e pesquisa, e as organizações precisam respeitá-la.

Operacionalmente, uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) é a avaliação estruturada que você conclui antes de um tratamento com probabilidade de alto risco — o que é o caso da maioria dos novos projetos com dados de saúde — para identificar e mitigar riscos à privacidade. Cada organização deve nomear um Encarregado de Proteção de Dados (DPO), papel independente responsável por aconselhar e monitorar a conformidade. Na Inglaterra, o Data Security and Protection Toolkit (DSPT) é a autoavaliação anual pela qual as organizações de saúde e cuidados demonstram cumprir os padrões de segurança de dados e de governança da informação exigidos para tratar dados do NHS.

Do lado da segurança, o National Cyber Security Centre (NCSC) oferece orientação autorizada do Reino Unido e, por meio de seu Cyber Assessment Framework (CAF), uma forma estruturada de medir a resiliência cibernética. A boa prática repousa em fundamentos bem estabelecidos: a defesa em profundidade, sobrepondo vários controles para que nenhuma falha isolada seja catastrófica; o princípio do menor privilégio, concedendo a pessoas e sistemas apenas o acesso de que genuinamente precisam; a aplicação disciplinada de correções e backups testados; e a preparação para o ransomware, o software malicioso que criptografa sistemas para extorsão. Como a prevenção sozinha nunca se sustenta, as organizações maduras também investem em operações: um centro de operações de segurança (SOC) — uma capacidade, interna ou compartilhada, que monitora registros e telemetria para detectar e conter intrusões — e um processo praticado de resposta a incidentes para passar rapidamente da detecção à recuperação. O ataque de ransomware WannaCry de 2017, que afetou cerca de um terço dos hospitais do NHS na Inglaterra e causou um impacto estimado em £ 92 milhões, continua sendo o exemplo de alerta definidor — seu dano decorreu em grande parte de sistemas sem correções, e não de ataques exóticos.

Boas práticas#

1. Comece todo projeto de dados com uma DPIA e trate-a como projeto, não como papelada. Antes de construir ou adquirir qualquer coisa que trate dados pessoais, percorra uma Avaliação de Impacto sobre a Proteção de Dados com o seu DPO e o seu Caldicott Guardian. Feita cedo, ela molda o projeto — minimizando os dados coletados, escolhendo a pseudonimização, apertando o acesso — em vez de carimbar decisões já tomadas. Uma DPIA guardada até a entrada em produção é um sinal de alerta de que a governança é teatro.

2. Nomeie explicitamente a sua base legal e a sua base de confidencialidade, e registre-as por escrito. Para cada fluxo de dados de saúde, declare a base legal do Artigo 6, a condição de categoria especial do Artigo 9 e como o dever de confidencialidade da common law é satisfeito — consentimento, uma via estatutária ou interesse público. A ambiguidade aqui é onde os projetos emperram ou são retirados após o lançamento. Ser explícito também permite explicar o tratamento aos pacientes em linguagem simples, o que é, em si, uma exigência legal.

3. Aplique o menor privilégio e o acesso baseado em papéis em toda parte. Conceda a clínicos, administrativos, pesquisadores e sistemas apenas o acesso que o seu papel exige e revise-o regularmente à medida que as pessoas mudam de função e saem. Registre e audite o acesso a prontuários sensíveis, porque a ameaça crível de detecção dissuade a curiosidade imprópria tanto quanto qualquer controle técnico. A maioria das violações do mundo real é banal — a pessoa errada vendo o prontuário errado —, e não intrusões sofisticadas.

4. Acerte os fundamentos cibernéticos antes de comprar ferramentas avançadas. A orientação do NCSC é pouco glamorosa e eficaz: aplique correções prontamente, especialmente em sistemas voltados à internet e clínicos; imponha a autenticação multifator; segmente as redes para que uma infecção não se espalhe livremente; e mantenha backups offline e testados. O WannaCry se espalhou por sistemas Windows sem correções, e a lição perdura — a higiene básica evita a maioria dos incidentes. Gaste primeiro nos fundamentos; compre detecção sofisticada quando o básico estiver sólido.

5. Presuma que você será atacado e ensaie a sua resposta. Mantenha e exercite um plano de resposta a incidentes e de continuidade de negócios que presuma que os sistemas ficarão indisponíveis, incluindo o recurso clínico ao papel e um plano de comunicação para a equipe e para os pacientes. Teste os seus backups restaurando-os de fato, porque um backup que você nunca restaurou é uma esperança, não um controle. Faça exercícios de mesa para que a primeira vez que a sua equipe lida com uma indisponibilidade por ransomware não seja durante uma real.

6. Conclua o DSPT com honestidade e use-o como avaliação de verdade. O Data Security and Protection Toolkit é uma exigência para tratar dados do NHS, mas seu valor vem de tratá-lo como um balanço anual honesto, e não como um ritual de formulário. Onde você não consegue cumprir um padrão, registre a lacuna e um plano de melhoria crível em vez de exagerar a sua posição. Uma declaração inflada do DSPT dá ao seu conselho falsa garantia, o que é pior do que nenhuma.

7. Faça do compartilhamento de informações uma capacidade projetada, e não um obstáculo. Num sistema de cuidados integrados (ICS), o bom cuidado depende de os dados atravessarem fronteiras organizacionais entre hospitais, consultórios de clínica geral, cuidados sociais e prestadores comunitários. Estabeleça acordos claros de compartilhamento de informações (ISAs) e de compartilhamento de dados, acorde em conjunto as bases legais e de confidencialidade e projete prontuários compartilhados para que o profissional certo veja a informação certa no ponto de cuidado. O objetivo é o compartilhamento seguro, e não nenhum compartilhamento — reter dados de que um clínico precisa é, em si, uma falha de segurança do paciente. Isso se conecta diretamente ao Tópico 4.3 — Interoperabilidade e padrões de dados.

8. Respeite a escolha do paciente e seja transparente sobre os usos secundários. Respeite a recusa nacional de uso de dados em todo fluxo de uso secundário e publique informações claras e acessíveis sobre como os dados são usados para planejamento e pesquisa. Quando os dados forem compartilhados com parceiros comerciais ou usados para treinar modelos, divulgue-o proativamente em vez de deixar que venha à tona por um vazamento — arranjos ocultos têm repetidamente provocado reação pública e picos de recusas. A transparência não é uma cortesia; é o que mantém os dados fluindo.

9. Gerencie os registros ao longo de todo o seu ciclo de vida. Aplique prazos de retenção baseados no NHS Records Management Code of Practice, descartando os registros com segurança quando o período de retenção terminar e mantendo-os acessíveis e íntegros enquanto durar. A má gestão de registros cria tanto risco (guardar dados de que você não precisa mais) quanto dano (perder dados dos quais os clínicos dependem). A migração entre sistemas é um momento de alto risco — planeje deliberadamente a qualidade dos dados, o mapeamento e o arquivamento.

10. Incorpore a governança às aquisições e à gestão de fornecedores. Inclua nos contratos exigências de proteção de dados e de segurança: termos de tratamento de dados, certificação DSPT ou equivalente, prazos de notificação de violações e o direito de auditar. A segurança fraca de um fornecedor se torna o seu incidente e a sua manchete; por isso avalie a cadeia de suprimentos, e não apenas o seu perímetro. Trabalhe isso em conjunto com colegas comerciais, como tratado no Tópico 6.3 — Aquisições e contratações, e exija respostas claras sobre onde os dados são hospedados e quem pode acessá-los.

11. Invista em detecção, e não só em prevenção. Presuma que alguns ataques passarão pelas suas defesas e construa a capacidade de vê-los: registro centralizado, monitoramento dos sistemas-chave e um centro de operações de segurança — interno, compartilhado em um ICS ou apoiado em serviços nacionais como o NCSC e as operações cibernéticas do NHS England — para que a atividade suspeita seja percebida e contida, e não descoberta semanas depois. Combine isso com gestão contínua de vulnerabilidades e detecção de ameaças, de modo a corrigir as fraquezas que os atacantes realmente exploram. A detecção compra o tempo para conter um incidente antes que ele vire uma indisponibilidade.

12. Trate um ataque cibernético grave como um evento de continuidade clínica. Escreva, dê recursos e ensaie um plano de resposta a incidentes cibernéticos que nomeie quem declara um incidente, quem lidera a resposta técnica e quem responde pela segurança clínica e pelas comunicações externas enquanto os sistemas estão fora do ar. Ligue-o diretamente aos seus arranjos de continuidade de negócios e recuperação de desastres (ver Tópico 3.9 — Continuidade de negócios e recuperação de desastres) e aos seus processos de incidente grave e EPRR (ver Tópico 3.10 — Preparação, resiliência e resposta a emergências), de modo que uma indisponibilidade por ransomware seja tratada com a mesma disciplina de qualquer ameaça ao cuidado do paciente. Um plano que vive apenas no departamento de TI falhará no instante em que um ataque virar uma crise clínica.

Perguntas para discutir com a sua equipe#

1. Onde, em nossos serviços, compartilhamos de menos, e onde compartilhamos demais — e como saberíamos? As falhas de governança da informação correm nas duas direções. O compartilhamento excessivo aparece como violações e confiança corroída; o insuficiente aparece em silêncio, como um clínico que não conseguiu ver uma alergia, uma preocupação de proteção que caiu entre agências ou uma alta que deu errado porque as equipes comunitárias não tinham contexto. Discutam casos concretos do seu próprio ambiente. Vocês têm um viés — muitas vezes defensivo — que trata a retenção como automaticamente segura? Que sinais diriam que uma fronteira de compartilhamento está prejudicando pacientes, e quem é responsável por perceber? Uma equipe madura sabe nomear exemplos dos dois modos de falha e tem uma via para escalar cada um.

2. Se um ataque de ransomware derrubasse nossos sistemas clínicos amanhã de manhã, o que de fato aconteceria na primeira hora? Passem do plano no papel à realidade vivida. Quem declara o incidente, e como a equipe fica sabendo se o e-mail e a intranet podem estar fora do ar? Qual é o recurso clínico para prescrição, resultados e identificação de pacientes, e a equipe da linha de frente alguma vez o praticou? Por quanto tempo cada serviço pode funcionar em papel antes que a segurança do paciente se degrade, e como vocês decidem desviar ou cancelar? Quando foi a última vez que restauraram um backup para provar que funciona? A honestidade dessa conversa — especialmente as lacunas que as pessoas relutam em admitir — é uma medida melhor de resiliência do que qualquer pontuação de arcabouço.

3. Como explicaríamos nossos usos de dados a um paciente cético, e ele sentiria que fomos francos com ele? A confiança pública se conquista em linguagem simples, e não em avisos jurídicos. Escolham um uso secundário real de dados na sua organização — planejamento de serviços, uma parceria de pesquisa, um arranjo com fornecedor, uma ferramenta de IA — e tentem explicá-lo a uma pessoa comum: que dados, para que finalidade, quem se beneficia, que salvaguardas e que escolha ela tem. Onde a explicação fica desconfortável ou evasiva? Esse desconforto costuma marcar algo que vocês deveriam mudar ou comunicar de forma mais aberta. Considerem como a recusa nacional de uso de dados e os seus materiais de transparência pareceriam a alguém predisposto à desconfiança e conectem isso à governança da IA, no Tópico 8.4 — Governança de IA e de tecnologias emergentes.

4. Quando um fornecedor ou parceiro guarda os dados dos nossos pacientes, de quem é o incidente — e temos certeza de que conseguiríamos saber a tempo? A maioria das organizações de saúde e cuidados hoje depende de uma cadeia de terceiros: o fornecedor do prontuário eletrônico, um provedor de nuvem, um prestador de serviços gerenciados, um parceiro de patologia ou de imagem. Uma violação ou indisponibilidade em qualquer ponto dessa cadeia vira a sua crise clínica e a sua manchete, e, no entanto, o contrato, a certificação e o relógio de notificação de violações costumam receber muito menos escrutínio do que o seu próprio perímetro. Discutam o que vocês realmente sabem sobre onde os dados são hospedados, quem pode acessá-los e com que rapidez um fornecedor é contratualmente obrigado a avisá-los quando algo dá errado. Já testaram esse caminho de notificação, ou viram o DSPT ou a garantia equivalente de um fornecedor em vez de aceitá-los na confiança? O que acontece se um fornecedor crítico for atingido por ransomware numa noite de sexta-feira? Uma resposta honesta nomeia os fornecedores que vocês hoje não conseguem responsabilizar e conecta isso ao Tópico 6.3 — Aquisições e contratações.

5. Quem de fato é dono do risco de governança da informação aqui — e ficaria sabendo de um problema antes que ele virasse crise? No papel, um DPO e um Caldicott Guardian respondem pelo risco de confidencialidade e de proteção de dados, e o conselho responde pela resiliência cibernética. Na prática, esses papéis muitas vezes têm poucos recursos, são consultados tarde ou tratados como uma aprovação e não como uma voz, de modo que os riscos não são trazidos à tona nem escalados até que apareçam como incidentes. Conversem com honestidade sobre se o seu Caldicott Guardian e o seu DPO são de fato envolvidos cedo nas decisões, se podem dizer não e ser ouvidos e se o risco cibernético chega ao conselho como algo que ele entende e assume, e não como um relatório técnico que aprova com um aceno. Um clínico da linha de frente que percebeu um acesso impróprio, ou um engenheiro que encontrou um sistema crítico sem correção, saberia como levantar a questão e confiaria que algo aconteceria? O teste da propriedade não é o organograma, mas se as notícias incômodas sobem depressa — e isso se liga à cultura de segurança discutida no Tópico 1.6 — Segurança clínica e gestão de riscos.

6. Como decidimos que dados manter, quais apagar e quem ainda precisa de acesso — e quando foi a última vez que de fato fizemos isso? A atenção da governança se concentra em coletar e compartilhar dados, mas a retenção, o descarte e a revisão de acessos são onde o risco silencioso se acumula: registros mantidos muito além do prazo legal de retenção, contas dormentes que ainda abrem sistemas em produção e direitos de acesso que acompanharam as pessoas quando mudaram de função, mas nunca foram retirados. Todo registro de que você não precisa mais é um passivo que você está armazenando, e toda credencial obsoleta é uma porta de entrada para um atacante ou um curioso interno. Discutam se os seus prazos de retenção seguem o NHS Records Management Code of Practice na realidade ou apenas na política, quando os direitos de acesso foram revistos e podados pela última vez e como vocês lidam com o momento de alto risco de migrar ou descomissionar um sistema. Quem é responsável por apertar o botão de apagar, e alguém é avaliado por isso? Uma resposta honesta costuma revelar um acúmulo de dados e de acessos de que ninguém é dono há anos.

Na prática: um exemplo de saúde e cuidados#

O Meadowford Integrated Care System está montando um prontuário de cuidados compartilhado para que clínicos de hospital, clínicos gerais, enfermeiros comunitários e assistentes sociais vejam uma visão unificada de cada pessoa. O programa é popular entre os clínicos e politicamente visível, e a tentação é andar depressa.

O diretor do programa insiste em sequenciar a governança junto com a construção, e não atrás dela. Uma DPIA é aberta desde o início, conduzida em conjunto pelo DPO e pelo principal Caldicott Guardian, vindo das organizações parceiras. Ela força decisões iniciais úteis: o prontuário mostrará um resumo clínico curado, e não todos os documentos históricos; os registros de cuidados sociais com informações de terceiros serão tratados sob regras mais estritas; e o acesso será baseado em papéis, com uma verificação de relação legítima para que um profissional só possa abrir o prontuário de alguém sob seus cuidados. Todo acesso é registrado e auditado, e a equipe é informada disso com clareza.

Os parceiros acordam um único acordo de compartilhamento de informações, cobrindo o dever de confidencialidade da common law e as bases legais — cuidado direto nos termos do Artigo 6(1)(e) e do Artigo 9(2)(h) — e confirmam que o prontuário compartilhado é usado apenas para o cuidado direto, de modo que a recusa nacional de uso de dados não o restringe. Quando chega uma proposta separada de usar os mesmos dados para análises de saúde populacional, a equipe a trata como um fluxo distinto, com sua própria DPIA, sua própria base legal, conformidade com a recusa e comunicações públicas, em vez de estender silenciosamente o acordo existente.

Seis semanas antes da entrada em produção, o responsável pela segurança conduz um exercício de mesa de ransomware. Ele expõe que o prontuário compartilhado não tem recurso clínico caso fique indisponível e que os backups nunca foram restaurados em teste. A entrada em produção atrasa um mês enquanto a equipe acrescenta uma cópia offline somente leitura, atualizada todas as noites, prova que a restauração funciona e orienta a equipe da linha de frente sobre o recurso ao papel. O atraso é impopular, mas, quando um erro de correção de um fornecedor derruba o sistema principal por uma manhã, três meses depois, o cuidado continua no recurso e nenhuma consulta é perdida. A credibilidade do programa — e a confiança dos clínicos no prontuário — sobrevive intacta. A concessão foi explícita: um lançamento mais lento comprou uma resiliência que um mais rápido teria apostado e perdido.

Perspectivas setoriais#

Startup#

Uma startup de tecnologia em saúde costuma ter os instintos técnicos de segurança mais fortes e a compreensão mais fraca da confidencialidade específica da saúde e das expectativas específicas do NHS. Se você é uma startup, espere ter de concluir o DSPT ou demonstrar garantia equivalente antes que um órgão do NHS compartilhe dados com você e nomeie ou contrate um DPO cedo. Seu maior risco é andar depressa em usos de dados — análises, treinamento de modelos, parcerias — sem a base legal, a DPIA e a transparência que o setor exige, e perder da noite para o dia um cliente do NHS quando isso vier à tona. Trate a governança da informação como um requisito de acesso ao mercado, e não como custo indireto, e incorpore-a enquanto você é pequeno.

Pequena empresa#

Um pequeno prestador estabelecido — um consultório de clínica geral, uma farmácia comunitária, uma casa de repouso, uma agência de cuidados domiciliares, uma clínica de unidade única ou um modesto fornecedor de tecnologia em saúde — carrega os mesmos deveres legais que um grande hospital, mas com uma fração da capacidade: muitas vezes sem TI interna, sem DPO dedicado e com um proprietário ou gerente de consultório que governa os dados junto com uma dúzia de outras funções. A sua via realista é apoiar-se em ajuda compartilhada e externa — um DPO contratado, um Caldicott Guardian compartilhado numa rede de atenção primária, o apoio cibernético do seu ICS e as orientações do NCSC para pequenas organizações — em vez de construir uma capacidade que você não pode pagar. Conclua o DSPT com honestidade, porque para muitos pequenos prestadores ele é, ao mesmo tempo, uma exigência contratual e a sua lista de verificação mais bem estruturada, e registre as lacunas reais em vez de inflar a declaração. Acerte primeiro os fundamentos acessíveis — MFA, correções prontas, backups offline testados, acesso de menor privilégio e um recurso simples ao papel —, pois eles evitam a maioria dos incidentes e custam mais tempo do que dinheiro. Tenha especial cuidado com a dependência de fornecedor e com os arranjos de nuvem, em que você pode ter pouca alavanca para negociar termos e ainda precisa saber onde os dados dos pacientes estão e quem pode alcançá-los.

Grande organização#

Um grande hospital ou um fornecedor estabelecido tem políticas maduras, mas luta com a escala, o legado e a fragmentação: dezenas de sistemas, controles de acesso inconsistentes, parque sem correções e governança diluída entre as equipes. O seu desafio é a coerência — uma visão única do risco, um inventário real de ativos e investimento suficiente em segurança para consertar os fundamentos, e não apenas comprar ferramentas. O WannaCry atingiu mais duramente as grandes organizações justamente por causa do parque legado sem correções. Use o DSPT e o Cyber Assessment Framework do NCSC para impulsionar melhorias genuínas e garanta que a responsabilidade em nível de conselho seja real, e não delegada até a invisibilidade.

Governo#

Os órgãos nacionais e os comissionadores definem os arcabouços — os Princípios de Caldicott, as orientações do National Data Guardian, a recusa nacional de uso de dados, o DSPT — e carregam a responsabilidade pela confiança pública em escala populacional. Suas iniciativas de dados são grandes, visíveis e politicamente carregadas, e programas passados mostraram com que rapidez um compartilhamento de dados oculto ou mal explicado desencadeia reações e recusas em massa. Lidere com transparência, engajamento público significativo e supervisão independente antes de ampliar, e não depois. Reconheça a concessão que lhe cabe: uma política nacional excessivamente cautelosa esvazia o cuidado e a pesquisa de dados, enquanto uma política descuidada perde o consentimento do público a quem os dados pertencem.

Modos de falha comuns#

• Governança como teatro. DPIAs concluídas após o lançamento, declarações do DSPT infladas para parecer em conformidade e políticas que ninguém segue. Isso produz falsa garantia, que é mais perigosa do que uma fraqueza reconhecida.
• Fundamentos de segurança negligenciados enquanto se compram ferramentas reluzentes. Sistemas sem correções, ausência de autenticação multifator, redes planas e backups não testados — exatamente as condições que deixaram o WannaCry se espalhar — maquiados com uma cara plataforma de detecção.
• Cautela defensiva excessiva disfarçada de segurança. Recusar-se a compartilhar dados de que um clínico legitimamente precisa, tratando o "não" como isento de risco quando uma alergia perdida ou uma lacuna de proteção é, em si, um dano grave ao paciente.
• Usos secundários ocultos. Estender dados coletados para o cuidado a análises, acordos comerciais ou treinamento de modelos sem nova base legal, conformidade com a recusa ou transparência pública — até que vazem e a confiança desabe.
• Backups que nunca foram restaurados. Descobrir, durante um incidente real de ransomware, que os backups estão incompletos, corrompidos ou criptografados junto com todo o resto.
• Responsabilização órfã. Um DPO ou Caldicott Guardian que existe no organograma, mas não é consultado, dotado de recursos nem ouvido, de modo que os riscos não são trazidos à tona nem assumidos.

Modelo de maturidade#

Lista de verificação#

• Uma DPIA é aberta no início de todo novo projeto de dados e aprovada pelo DPO.
• A base legal, a condição de categoria especial e a base de confidencialidade estão documentadas para cada fluxo de dados.
• Um Caldicott Guardian e um Encarregado de Proteção de Dados estão nomeados, dotados de recursos e de fato consultados.
• O acesso de menor privilégio e baseado em papéis é aplicado, e o acesso a prontuários sensíveis é registrado e auditado.
• Os sistemas recebem correções prontamente, a autenticação multifator é imposta e as redes são segmentadas.
• Os backups são feitos, mantidos offline e restaurados em teste em cronograma regular.
• Um plano de resposta a incidentes e de continuidade de negócios, incluindo o recurso clínico ao papel, está documentado e ensaiado.
• O DSPT é concluído com honestidade, com lacunas registradas e planos de melhoria críveis.
• Acordos de compartilhamento de informações estão em vigor entre os parceiros do ICS, com bases acordadas.
• A recusa nacional de uso de dados é aplicada a todos os usos secundários e materiais de transparência são publicados.
• A retenção de registros e o descarte seguro seguem o NHS Records Management Code of Practice.
• Exigências de proteção de dados e de segurança estão escritas nos contratos com fornecedores, e a cadeia de suprimentos é avaliada.

Fontes-chave#

• Information Commissioner's Office (ICO) — Guide to UK GDPR, DPIAs e bases legais.
• National Data Guardian — revisões e orientações sobre segurança de dados e os Princípios de Caldicott.
• NHS England — Data Security and Protection Toolkit e a recusa nacional de uso de dados.
• National Cyber Security Centre (NCSC) — orientações de cibersegurança e o Cyber Assessment Framework.
• UK Caldicott Guardian Council — papel e responsabilidades do Caldicott Guardian.
• National Audit Office — investigação sobre o ataque cibernético WannaCry e o NHS (2017–18).
• NHS Records Management Code of Practice.

Referências#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response