Um auxiliar de enfermagem que consulta o prontuário médico de um residente em um tablet compartilhado, uma senha genérica colada na tela do posto de enfermagem, um prestador de serviços de TI que acessa as prescrições sem contrato de tratamento: essas situações existem em muitos EHPADs. Elas expõem os residentes a vazamentos de dados de saúde e a instituição a sanções da CNIL.
A segurança dos dados em EHPAD não se limita a um registro de tratamentos bem preenchido. Ela se manifesta nos gestos diários do pessoal, na configuração das ferramentas digitais e na rigorosidade dos acessos.
Leia também : Dicas práticas para contatar rapidamente a Segurança Social por telefone em 2024
Gestão de acessos aos prontuários dos residentes em EHPAD
No campo, o primeiro risco não vem de um hacker. Ele vem de uma conta de usuário compartilhada entre três cuidadores, ou de um perfil de administrador atribuído por padrão a toda a equipe. Cada profissional deve ter um acesso nominativo com direitos limitados ao que precisa para exercer sua função.
Um auxiliar de enfermagem não precisa consultar as correspondências das famílias armazenadas no software de gestão. Uma secretária não precisa abrir os relatórios de consulta geriátrica. Os direitos são segmentados por profissão, e esses direitos são revisados a cada mudança de cargo ou saída.
Também interessante : Qual a dimensão necessária para dar a volta em segurança com um carro?
As instituições que utilizam um software de cuidados como Netsoins podem acessar o Netsoins Domusvi para consultar as boas práticas de configuração de perfis e de rastreabilidade das conexões.
A rastreabilidade, aliás, continua sendo um ponto cego frequente. Ativar os registros de conexão permite saber quem consultou qual prontuário e quando. Sem esses logs, é impossível detectar um acesso anormal ou responder a um pedido de exercício de direito de um residente ou de sua família.
Base jurídica dos tratamentos de dados de saúde em EHPAD
A conformidade com o RGPD de um EHPAD não se resume a exibir uma política de privacidade no hall de entrada. A CNIL espera que cada tratamento de dados pessoais esteja vinculado a uma base jurídica específica, verificada tratamento por tratamento.
Na prática, distinguem-se várias categorias de tratamentos que coexistem em uma mesma instituição:
- O acompanhamento médico e a coordenação dos cuidados baseiam-se na obrigação legal e na salvaguarda dos interesses vitais (artigo 9 do RGPD), não no consentimento do residente.
- A gestão administrativa (faturamento, hospedagem, auxílios sociais) apoia-se na execução do contrato de estadia ou em uma obrigação legal.
- A videovigilância dos espaços comuns requer um interesse legítimo documentado, com uma análise de proporcionalidade.
- As fotos do residente utilizadas em um jornal interno ou em um site exigem, elas, um consentimento livre e esclarecido, obtido do residente ou de seu representante legal.
Confundir essas bases jurídicas expõe a um duplo risco: solicitar um consentimento onde não é necessário (o que leva o residente a acreditar que pode se opor aos cuidados), ou não solicitá-lo onde é obrigatório. Documenta-se cada tratamento no registro com sua finalidade, sua base legal, sua duração de conservação e seus destinatários.
Ransomware e continuidade de atividade em estabelecimento médico-social
A ameaça de ransomware permanece estruturalmente alta para as instituições de saúde e médico-sociais. Os EHPADs são alvos porque combinam sistemas de informação às vezes obsoletos, equipes reduzidas em TI e dados de saúde de alto valor no mercado negro.
Quando um ransomware criptografa o servidor que abriga os prontuários de cuidados, a continuidade do atendimento desmorona. Não há mais acesso às prescrições, às alergias documentadas, aos protocolos individuais. Retorna-se ao papel, com todos os riscos de erro que isso implica.
Medidas concretas de prevenção cibernética em EHPAD
A prevenção não exige um orçamento colossal. Ela se baseia em práticas operacionais que a direção e o responsável de TI podem implementar progressivamente:
- Backups offline testados regularmente: um backup que nunca foi restaurado não garante nada.
- Atualizações dos sistemas operacionais e dos softwares profissionais assim que os patches de segurança são publicados.
- Conscientização do pessoal sobre e-mails de phishing, com lembretes curtos e repetidos em vez de um treinamento anual esquecido no dia seguinte.
- Segmentação da rede: o posto de atendimento não deve estar no mesmo segmento que o servidor de prontuários médicos.
Os retornos variam sobre a frequência ideal dos testes de restauração, mas um teste trimestral constitui um mínimo razoável para uma instituição de tamanho médio.
Papel do DPO e formação do pessoal de enfermagem sobre o RGPD
A designação de um encarregado de proteção de dados (DPO) é obrigatória para os EHPADs. Este DPO não pode ser o diretor da instituição nem um membro da direção, para evitar conflitos de interesse. O DPO pode ser um funcionário treinado ou um prestador de serviços externo especializado no setor médico-social.
Seu papel vai além da redação de documentos. Ele controla a conformidade das práticas no dia a dia, acompanha as equipes diante de situações concretas (um filho de residente que pede a totalidade do prontuário médico, um pedido de exclusão de dados, um incidente de segurança) e assegura a ligação com a CNIL em caso de fiscalização.
Formar sem sobrecarregar a equipe de enfermagem
O pessoal de enfermagem não reterá um módulo de e-learning de duas horas sobre os princípios do RGPD. O que funciona são sessões curtas focadas nos gestos do dia a dia: bloquear sua sessão ao sair do posto, não transmitir dados de saúde por mensagens não seguras, reportar imediatamente qualquer suspeita de acesso não autorizado.
Integram-se esses lembretes nas reuniões de equipe existentes em vez de criar um evento adicional. Uma exibição sintética próxima aos postos de trabalho complementa o dispositivo sem sobrecarregar a carga de trabalho.
A proteção dos dados pessoais dos residentes em EHPAD depende tanto da configuração técnica quanto da cultura da equipe. Um registro de tratamentos atualizado, acessos nominativos, backups testados e um DPO envolvido no funcionamento real da instituição formam uma base sólida. O último elo permanece o reflexo de cada profissional que manipula esses dados diariamente.