Lições para aprender rápido com o vazamento de senhas envolvendo sistemas do Ministério da Saúde
16 milhões de pessoas teriam sido comprometidas. Cidadãos podem requerer informações e mais transparência sobre o incidente envolvendo dados pessoais.
José Antonio Milagre
Repercutiu no país o vazamento de senhas de sistemas eletrônicos do Ministério de Saúde e que teria permitido o acesso a dados pessoais de pelo menos 16 milhões de pessoas, sendo considerado o maior vazamento de dados sensíveis do Brasil. O problema ocorreu a partir da publicação das credenciais em uma plataforma aberta na internet, comumente utilizada para compartilhamento de códigos.
Os dados publicados poderiam ser usados para acessar dados como CPF, endereço, telefone e dados pessoais sensíveis como doenças pré-existentes. Dados sensíveis são aqueles cuja exposição podem causar danos a direitos e liberdades dos indivíduos, ou que possam ensejar discriminação do titular e incluem as informações e dados referentes à saúde.
As senhas foram disponibilizadas em uma planilha, sem proteção, que por sua vez fora disponibilizada no site GITHUB, comumente usado por programadores para compartilhamento de códigos. A questão se traduz em uma nítida falha humana, de colaborador que, sem observar requisitos e diretrizes de segurança da informação, bem como inconsciente de princípios fundacionais de privacidade por design, publicou o conteúdo crítico em uma área pública, com intenção temporária, como se fosse uma “área de transferência”, mas esqueceu de apagar. O colaborador foi demitido.
Importante destacar que os controladores de dados pessoais são considerados pela Lei como pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais. Neste sentido, o fato apenas expõe a previsão da Lei Geral de Proteção de Dados, sobretudo, a responsabilidade de controladores em relação a atos de seus colaboradores e prestadores de serviços.
O fato de publicar uma nota de que “não houve publicação de dados” pelo colaborador não afasta o risco, pois, a partir das credenciais, pessoas mal intencionadas poderiam acessar os referidos dados, por meio de acesso a sistemas do Governo Federal.
A denúncia de quem encontrou a vulnerabilidade foi a um Jornal, o que pode ser um indício de que os agentes de tratamento tomaram conhecimento a partir da notícia publicada. Seja como for, o fato escancara a necessidade de empresas estabelecerem procedimentos claros e de desenvolverem processos para tratar incidentes com dados, que possam ocorrer, atendendo a LGPD. Canais acessíveis para se receber comunicados sobre supostas violações são fundamentais.
A norma informa em seu artigo 42 que o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a reparar. Do mesmo modo, informa que estes agentes de tratamento serão responsáveis pelos danos decorrentes da violação da segurança dos dados, quando não adotarem as medidas de segurança previstas no art. 46, e assim, dando causa aos danos.
O art. 46 da norma prevê a necessidade de agentes de tratamentos adotarem medidas técnicas e organizativas para protegerem os dados pessoais, sobretudo de acessos não autorizados. Em complemento, a ISO/IEC 27701 estabelece controles, requisitos e diretrizes que podem ser adotados por agentes de tratamento de dados, de modo a comprovar ou atender parte das necessidades regulatórias.
Em caso de incidentes como o ocorrido, no entanto, deve a empresa comunicar à Autoridade Nacional e ao titular sobre a ocorrência, que possa lhe acarretar risco ou dano. Embora a Autoridade Nacional de Proteção de Dados ainda deva definir detalhes sobre esta comunicação, a Lei já traz o que uma comunicação de violação de dados pessoais deverá conter:
A descrição da natureza dos dados pessoais afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial, os riscos relacionados ao incidente, os motivos da demora, no caso de a comunicação não ter sido imediata, as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
Neste sentido, o fato de lançar mão de “notas públicas” genéricas, em nossa visão, não pode ser considerado o mais efetivo e transparente de cientificar pessoas possivelmente afetadas, inclusive em seus dados sensíveis. Deste modo, não é demais dizer que os cidadãos e titulares de dados podem requerer aos agentes envolvidos informações sobre o ocorrido, em detalhes, até para que possam se proteger, caso seus dados constem do possível vazamento.
Como visto, um Sistema de Gestão da Proteção de Dados, considerando um Time de Resposta a Incidentes devidamente constituído, preparado e com processos claros para responder a notificações de violação de dados é fundamental, sobretudo porque no juízo de gravidade do incidente, a comprovação de medidas técnicas adequadas, não só reativas, mas preventivas, serão consideradas, como, por exemplo, medidas para tornar os dados ininteligíveis.
O caso em tela nos exemplifica situações corriqueiras que muitos hoje ainda praticam e que podem causar danos terríveis aos titulares. A falta de treinamentos e conscientização corporativa pode custar muito caro. Mais grave que isso, pesquisas e strings repassados aos buscadores podem revelar repositórios de dados pessoais, mantidos por empresas a órgãos públicos, expostos e esquecidos em diretórios não protegidos e indexados pelos buscadores, onde sequer senha é necessária para acesso. Muito ainda será exposto. A negligência ainda persiste, mesmo com o advento da LGPD e, francamente, não há previsão de que este cenário de consciência de privacidade mude em um curto lapso temporal, sobretudo, enquanto as penas à altura dos danos praticados não comecem a ser aplicadas.
José Antonio Milagre é advogado especialista em segurança da informação e crimes cibernéticos, Mestre e Doutorando em Ciência da Informação pela UNESP, Data Protection Officer (EXIN), e Diretor-Presidente do Instituto de Defesa do Cidadão na Internet (IDCI-Brasil). [email protected]
