O hospital mais prestigiado do país teve nome, CPF, prescrição e resultado de exame extraídos da base de pacientes. A Polícia Federal cumpriu mandado de busca e prisão temporária em Joinville. E o dado mais revelador do caso não está na prisão: está no que o hospital não sabe dizer.
Os fatos
Pelo G1: o Einstein detectou a suspeita de acesso não autorizado em 4 de agosto. A Polícia Federal deflagrou a operação em 7 de outubro, quase dois meses depois, com prisão temporária e busca e apreensão, e os suspeitos exigiram pagamento depois da extração. A ANPD foi comunicada e os pacientes afetados estão sendo avisados por e-mail, um por um.
O que foi levado: registros cadastrais com nome, CPF e/ou data de nascimento, e informações de saúde, como prescrições médicas e resultados de exames. Isso coloca o caso na categoria mais pesada da LGPD, dado sensível, e um passo antes da mesma ANPD que já abriu processo de sanção por outro vazamento de saúde, o do ISAC, com meio milhão de pacientes.
O detalhe que ninguém está explorando
Sobre quantos pacientes foram afetados, o hospital não deu número. A justificativa é que os dados estão armazenados de forma fragmentada e em bases descentralizadas, e que parte relevante corresponde a documentos avulsos, muitos sem identificação.
Traduzindo: a instituição não consegue dimensionar a própria perda porque não mapeia onde os dados dela estão.
O achado técnico do caso
Para quem opera infraestrutura, esse é o achado técnico do caso: vazamento é evento, e não saber o perímetro do vazamento é arquitetura. Sem inventário não há escopo de notificação, não há mensuração de dano e não há como provar ao regulador o que saiu e o que não saiu.
O processo de resposta funcionou: comunicação à ANPD, acionamento da Polícia Federal, avisos individuais aos pacientes e perícia independente. O que falhou veio antes: a base que não permite contar o prejuízo.
É o mesmo fio que a fiscalização da ANPD e o caso dos 279 milhões de CPFs já tinham puxado: quem não consegue medir a perda também não consegue defendê-la perante o regulador.
Conclusão
A pergunta que fica não é sobre o Einstein. É sobre o setor: se a instituição mais sofisticada do país não sabe o tamanho da própria perda, quantas instituições de saúde brasileiras sabem? O inventário de dados é o que transforma vazamento de evento indefinido em incidente com escopo, e escopo é o que separa resposta de improviso.