Radar de Privacidade HDPO — Edição 19

Ataque cibernético à Boston Scientific impede ativação de dispositivos cardíacos para monitoramento remoto

A Boston Scientific informou, em comunicado atualizado em 29/08, que dispositivos de monitoramento cardíaco implantados após o ataque cibernético identificado em 25 de agosto não podem ser ativados para enviar dados aos sistemas remotos de gerenciamento de pacientes; os episódios seguem sendo registrados no próprio dispositivo e serão transmitidos quando os sistemas internos forem restaurados, sem cronograma definido, com manufatura interrompida na planta de Cork (Irlanda) e apoio da CrowdStrike na resposta. Para hospitais, clínicas de cardiologia e operadoras, o episódio mostra que um incidente na cadeia do fabricante vira, na prática, risco assistencial e risco de dados dentro do prestador, que continua sendo o controlador perante o paciente. Recomendação HDPO: mapeie no ROPA quais dispositivos e serviços de telemonitoramento dependem de plataformas de terceiros, exija do fornecedor plano de continuidade e comunicação de incidentes com prazo contratual, e defina agora o procedimento clínico alternativo (acompanhamento presencial e leitura local) para o período de indisponibilidade.

Fonte: CISO Advisor, agosto de 2026 · acessar matéria original

Shadow AI comprometeu a postura de segurança de 51% das organizações nos últimos 12 meses

Pesquisa da KnowBe4 divulgada em 25/08 aponta que o uso não autorizado de ferramentas de inteligência artificial comprometeu diretamente a postura de segurança de 51% das organizações no último ano, que 40% dos profissionais brasileiros recorrem a ferramentas de IA próprias no trabalho e que 13,5% priorizam essas soluções pessoais sobre as aprovadas pela empresa; outro levantamento citado indica que 68% usam IA diariamente, mas apenas 31% têm acesso oficial ou treinamento fornecido pelo empregador. Em saúde, o dado clínico colado em uma ferramenta não homologada é dado pessoal sensível compartilhado sem base legal, sem contrato de operador e sem controle de transferência internacional. Recomendação HDPO: publique uma lista de ferramentas de IA homologadas, bloqueie tecnicamente as demais para dados de paciente e feche a lacuna de capacitação com treinamento específico, porque proibir sem oferecer alternativa apenas empurra o uso para a sombra.

Fonte: CISO Advisor, agosto de 2026 · acessar matéria original

Ministério da Saúde publica Plano de Dados Abertos 2026-2028 com cronograma de abertura de 109 bases

Publicado em 02/09, o PDA-MS 2026-2028 estabelece o cronograma de abertura de 109 bases de dados até agosto de 2028, sendo 46 delas (42%) já no segundo semestre de 2026, e registra que o inventário do Ministério saltou de 229 para 360 bases catalogadas no novo ciclo, com execução coordenada pelo DEMAS/SEIDIGI e monitoramento em plataforma própria com rastreabilidade de autor, data e justificativa. Como parte relevante dessas bases nasce de sistemas alimentados por prestadores e gestores locais, a qualidade e a granularidade do que é enviado passam a ter efeito direto sobre o que será publicado. Recomendação HDPO: revise antes da abertura quais bases que sua instituição alimenta entram no cronograma, confirme que os dados enviados estão anonimizados ou agregados quando a finalidade for transparência, e registre no ROPA o compartilhamento com o ente federal e sua base legal.

Fonte: Ministério da Saúde, setembro de 2026 · acessar matéria original

Câmara aprova avaliação periódica de vigilância sanitária em hospitais, com multa diária de R$ 5 mil

A Câmara dos Deputados aprovou em 03/09 o Projeto de Lei 287/24, de autoria do Senado, que institui a avaliação periódica da vigilância sanitária em hospitais públicos e privados e segue para sanção presidencial; prestadores privados que descumprirem os padrões de qualidade poderão receber multa diária de R$ 5 mil, aumentável em até 100 vezes, sem prejuízo da responsabilidade civil por danos ao paciente e da responsabilização consumerista. Entre as diretrizes dos padrões de qualidade está o cumprimento efetivo das normas expedidas pela ANVISA e pela ANS, o que aproxima o tema da agenda de conformidade documental e de evidências já exigida em privacidade. Recomendação HDPO: comece a tratar segurança do paciente e proteção de dados como um único dossiê de evidências, com protocolos versionados, registros de treinamento e trilhas de auditoria capazes de sustentar uma avaliação externa periódica.

Fonte: Medicina S/A, setembro de 2026 · acessar matéria original

ANPD abre tomada de subsídios para a Agenda Regulatória 2027-2028 e recebe contribuições até 16 de outubro

Em 01/09 a ANPD abriu as tomadas de subsídios para a construção da Agenda Regulatória 2027-2028 e da Agenda de Avaliação de Resultado Regulatório 2027-2030, com contribuições de organizações da sociedade civil, instituições públicas, empresas, pesquisadores e cidadãos pela plataforma Brasil Participativo até 16 de outubro. A agenda define os temas que a Autoridade vai normatizar nos dois anos seguintes, agora somada às competências de fiscalização do ECA Digital, e é a janela em que o setor saúde pode pedir orientação específica sobre dados sensíveis, pesquisa clínica, prontuário e IA assistencial. Recomendação HDPO: leve o pleito do seu setor para dentro da consulta, com casos concretos e pedido de guia setorial, porque a alternativa é ser regulado depois sem ter dito o que a sua operação precisa.

Fonte: Mobile Time, setembro de 2026 · acessar matéria original

ServiceNow alerta para três falhas CVSS 10.0 na plataforma de IA, com risco de execução remota e acesso a dados

Em comunicado divulgado em 28/08 e noticiado em 30/08, a ServiceNow reportou três vulnerabilidades críticas com nota máxima 10,0 na escala CVSS em sua plataforma de IA: duas de injeção de código (CVE-2026-18885 e CVE-2026-18886), que permitem execução de código e escalonamento de privilégios, e uma de SQL Injection (CVE-2026-74820), que pode permitir acesso ou modificação de dados; atualizações já foram disponibilizadas e a empresa recomenda aplicação imediata por clientes que hospedam o software em ambiente próprio, lembrando que no mês anterior outra falha da mesma plataforma (CVE-2026-6875) já vinha sendo explorada ativamente. Plataformas de fluxo de trabalho concentram chamados, contratos, dados de colaboradores e, com frequência, anexos com dados de paciente. Recomendação HDPO: confirme com o time de TI se há instância própria exposta, aplique o patch em regime de emergência e registre a avaliação no processo de gestão de incidentes, mesmo quando a conclusão for de ausência de comprometimento.

Fonte: CISO Advisor, agosto de 2026 · acessar matéria original