El hospital más prestigioso del país tuvo nombre, CPF, prescripción y resultado de examen extraídos de la base de pacientes. La Policía Federal cumplió orden de búsqueda y detención temporal en Joinville. Y el dato más revelador del caso no está en la detención: está en lo que el hospital no sabe decir.
Los hechos
Por el G1: el Einstein detectó la sospecha de acceso no autorizado el 4 de agosto. La Policía Federal desencadenó la operación el 7 de octubre, casi dos meses después, con detención temporal y búsqueda y apreensión, y los sospechosos exigieron pago después de la extracción. La ANPD fue comunicada y los pacientes afectados están siendo avisados por email, uno por uno.
Lo que fue llevado: registros cadastrales con nombre, CPF y/o fecha de nacimiento, e informaciones de salud, como prescripciones médicas y resultados de exámenes. Eso coloca el caso en la categoría más pesada de la LGPD, dato sensible, y un paso antes de la misma ANPD que ya abrió proceso de sanción por otra filtración de salud, la del ISAC, con medio millón de pacientes.
El detalle que nadie está explorando
Sobre cuántos pacientes fueron afectados, el hospital no dio número. La justificación es que los datos están almacenados de forma fragmentada y en bases descentralizadas, y que parte relevante corresponde a documentos sueltos, muchos sin identificación.
Traduciendo: la institución no consigue dimensionar la propia pérdida porque no mapea dónde están los datos de ella.
El hallazgo técnico del caso
Para quien opera infraestructura, ese es el hallazgo técnico del caso: filtración es evento, y no saber el perímetro de la filtración es arquitectura. Sin inventario no hay escopo de notificación, no hay mensuración de daño y no hay cómo probar al regulador qué salió y qué no salió.
El proceso de respuesta funcionó: comunicación a la ANPD, acionamiento de la Policía Federal, avisos individuales a los pacientes y pericia independiente. Lo que falló vino antes: la base que no permite contar el perjuicio.
Es el mismo hilo que la fiscalización de la ANPD y el caso de los 279 millones de CPFs ya habían tirado: quien no consigue medir la pérdida tampoco consigue defenderla ante el regulador.
Conclusión
La pregunta que queda no es sobre el Einstein. Es sobre el sector: si la institución más sofisticada del país no sabe el tamaño de la propia pérdida, ¿cuántas instituciones de salud brasileñas saben? El inventario de datos es lo que transforma filtración de evento indefinido en incidente con escopo, y escopo es lo que separa respuesta de improviso.