Radar de Privacidade HDPO — Edição 21

TJDFT mantém condenação de hackers que extorquiram hospital com dados de pacientes e ameaça de ransomware

A 2ª Turma Criminal do TJDFT manteve penas de oito anos e quatro meses e de nove anos e quatro meses de reclusão, em regime inicial fechado, para dois réus que acessaram sem autorização um banco de dados secundário do Hospital Santa Marta, obtiveram documentos de pacientes e exigiram 43 bitcoins sob ameaça de divulgação. O acórdão firma dois pontos de alto impacto para a saúde: a invasão de dispositivo informático se configura sem necessidade de superação de mecanismo de segurança, bastando o acesso não autorizado com finalidade ilícita; e a exibição de dados reais de pacientes torna a extorsão idônea mesmo sem capacidade técnica comprovada de executar o ransomware, inclusive porque houve tentativa de aliciar funcionários para obter senhas. Recomendação HDPO: trate bases secundárias (cópias, homologação, backups e extrações para BI) como ativos de mesmo nível crítico da base de produção, com inventário no ROPA, controle de acesso nominal e MFA; e reforce o treinamento antiengenharia social da equipe assistencial e administrativa, registrando a evidência para uso em eventual responsabilização.

Fonte: Convergência Digital, setembro de 2026 · acessar matéria original

Dez entidades da saúde pedem suspensão integral da Resolução CFM 2.454/2026 e apontam sobreposição com ANPD e Anvisa

Dez entidades (entre elas ABIIS, CBDL, Fesaúde, SindHosp, Saúde Digital Brasil e ABSS) assinaram manifesto pela suspensão integral da Resolução CFM nº 2.454/2026, que regula o uso de inteligência artificial na medicina e está em vigor desde 26 de agosto, e defendem nova regulamentação precedida de avaliação de impacto regulatório e consulta pública. O argumento central é que a norma alcança instituições de saúde, desenvolvedores e aspectos técnicos dos sistemas, invadindo competências da Anvisa e da ANPD, tema que já é objeto de ação na Justiça Federal. Recomendação HDPO: não suspenda a adequação por causa da contestação; mantenha o inventário de sistemas de IA em uso assistencial, a indicação de supervisão médica responsável e o registro das decisões automatizadas ou assistidas, porque as obrigações de transparência e de avaliação de impacto derivadas da LGPD permanecem exigíveis independentemente do desfecho da disputa sobre a resolução.

Fonte: Futuro da Saúde, setembro de 2026 · acessar matéria original

Ministério da Saúde instala GT permanente do Farmácia Popular e estuda biometria para substituir documento físico na retirada de medicamentos

O Ministério da Saúde realizou em 16 de setembro a reunião inaugural do grupo de trabalho permanente do Programa Farmácia Popular, que vai avaliar novos serviços, expansão para vazios assistenciais e uso de tecnologias como biometria, telessaúde e teleatendimento, incluindo a substituição de documentos físicos por identificação biométrica na retirada de medicamentos. O programa atende mais de 27 milhões de pessoas em cerca de 5 mil municípios, com 28 mil farmácias credenciadas, o que dá escala inédita a um tratamento de dado biométrico associado a medicamento, portanto a dado de saúde. Recomendação HDPO: farmácias, redes e operadoras que participem desse ecossistema devem antecipar a avaliação de impacto (RIPD) para o uso de biometria, definir desde já a hipótese legal do art. 11 aplicável, o prazo de retenção do template biométrico e a alternativa não biométrica para o titular que se recusar.

Fonte: Ministério da Saúde, setembro de 2026 · acessar matéria original

ANS retira a restrição de idade da mamografia digital e cobertura obrigatória sem faixa etária passa a valer em 1º de outubro

A ANS retirou a restrição que limitava a cobertura obrigatória da mamografia digital à faixa de 40 a 69 anos; a partir de 1º de outubro de 2026 o exame passa a ter cobertura obrigatória sem restrição de idade, mediante indicação médica. Na prática, cai a barreira administrativa que permitia negativa com base apenas na idade, o que muda regras de autorização, auditoria médica e os critérios de negativa registrados nos sistemas das operadoras. Recomendação HDPO: revise até 30 de setembro as regras automatizadas de autorização e de negativa que usem idade como critério, documente a alteração no ROPA da atividade de autorização de procedimentos e garanta que o titular receba justificativa clara em caso de negativa, atendendo ao dever de transparência e ao direito de revisão de decisões automatizadas.

Fonte: Futuro da Saúde, setembro de 2026 · acessar matéria original

ECA Digital completa um ano com canal de denúncias da ANPD em cerca de 200 relatos e cronograma de aferição de idade até 2027

Um ano após a sanção do ECA Digital, a ANPD divulgou balanço da implementação: o canal de denúncias exclusivo, criado em junho, já reúne cerca de 200 relatos, em sua maioria sobre ausência de medidas adequadas para impedir acesso de crianças e adolescentes a conteúdo impróprio, e o cronograma dos mecanismos de aferição de idade segue até o início de 2027, quando a fiscalização sobre fornecedores de produtos e serviços de TI será intensificada. A Agência sinalizou que a orientação precede as medidas sancionatórias, mas que Guia de fornecedores de TI, Regulamento de Fiscalização e Regulamento de Dosimetria estão em consolidação. Recomendação HDPO: mapeie se algum serviço digital da instituição (portal do paciente, aplicativo, telemedicina, programas educativos) é de acesso provável por menores e registre agora a avaliação, porque a condição de fornecedor de TI sob o ECA Digital independe de a instituição se ver como plataforma.

Fonte: ANPD, setembro de 2026 · acessar matéria original

CISA confirma exploração ativa de falha crítica no ConnectWise ScreenConnect, ferramenta de suporte remoto usada por MSPs de clínicas e laboratórios

A CISA confirmou exploração ativa da CVE-2026-84869, falha na transferência de arquivos do ConnectWise ScreenConnect que permite copiar e executar arquivos no cliente por meio de uma sessão remota ativa, sem autorização ou confirmação do host, atingindo instalações em nuvem e on-premises. O patch saiu em 8 de setembro com a mais alta prioridade do fornecedor, que classifica assim apenas vulnerabilidades já exploradas, e versões anteriores do ScreenConnect já serviram de vetor para campanhas de ransomware em larga escala via provedores de serviços gerenciados. Recomendação HDPO: confirme por escrito com o provedor de TI terceirizado a versão instalada e a data de aplicação do patch, exija a lista de sessões remotas dos últimos trinta dias para verificação de acesso indevido e trate a resposta como evidência contratual do dever de segurança do operador previsto no art. 39 da LGPD.

Fonte: CISO Advisor, setembro de 2026 · acessar matéria original