Ética e Segurança da Informação

Prévia do material em texto

Ética e Segurança da Informação
D
AT
A 
A
N
A
LY
SI
S 
A
N
D
 H
EA
LT
H
 IN
FO
RM
AT
IC
S 
- H
CA
63
0 
- 4
.2
Ética e Segurança da Informação • 2/13
Objetivos de Aprendizagem
• Compreender a importância da ética e segurança em informática em saúde 
pública.
Ética e Segurança da Informação
Conteúdo organizado por Angela Maria Moed Lopes em 2022 do livro Introdução 
à Informática em Saúde - Fundamentos, Aplicações e Lições Aprendidas com a 
Informatização do Sistema de Saúde Americano, publicado em 2020 por Tiago 
Kuse Colicchio, pela editora Artmed.
https://player.vimeo.com/video/765706186
Ética e Segurança da Informação • 3/13
Introdução 
A ética relaciona-se ao conjunto de princípios e valores morais que determinam 
o comportamento humano dentro de uma sociedade. A adoção de uma conduta 
ética de acordo com padrões e valores da sociedade e das organizações de saúde 
é essencial para o alcance da excelência profissional.  A ética, no contexto da saúde, 
corresponde ao conjunto de regras e preceitos morais que devem ser exercidos pelos 
profissionais que prestam assistência à saúde do paciente. A ética contemporânea foi 
forjada e sustentada em meio aos desafios dos avanços tecnológicos que afetam muitas 
vidas. Os desafios relacionados à informática em saúde incluem o desenvolvimento 
e o uso apropriado dos softwares e o equilíbrio dos direitos de privacidade com 
as necessidades de saúde pública e da prática clínica.  Neste tema abordaremos a 
importância da ética e da segurança das informações de informática em saúde. 
Aspectos Éticos e de Segurança do Prontuário Eletrônico do 
Paciente
Os aspectos relacionados à segurança, confidencialidade e privacidade constituem, 
sem dúvidas, as principais preocupações relacionadas aos prontuários eletrônicos. 
Em toda relação entre médico e paciente observa-se um contrato implícito de 
confidencialidade, na qual o médico se compromete a não revelar qualquer informação 
confidencial que lhe seja revelada. De acordo com o juramento de Hipócrates: “aquilo 
que no exercício ou fora do exercício da profissão e no convívio da sociedade eu tiver 
visto ou ouvido e que não seja preciso divulgar eu conservarei inteiramente secreto” 
(Almeida et al., 2016, p. 524). Segundo Massad (2003, n.p.) “o profissional de saúde 
que recebe, registra, manipula, digita, armazena e processa dados e informações é 
responsável pela sua guarda e integridade e deve estar atento para a importância e 
significado de preservar o sigilo da informação e assegurar a privacidade da pessoa 
cujos dados estão sendo manuseados”. 
Ética e Segurança da Informação • 4/13
Todas as informações contidas no Prontuário Eletrônico do Paciente (PEP) são de 
propriedade do paciente. As instituições de saúde e os profissionais que têm acesso 
a estas informações são guardas fiéis do prontuário. Estas informações são obtidas 
durante o atendimento médico ou a partir de procedimentos e exames realizados 
com finalidades diagnósticas e terapêuticas. Desta forma, a confidencialidade das 
informações contidas no PEP é um direito de todo indivíduo, respaldado pelo artigo 5°, 
inciso X, da Constituição Federal de 1988, que garante a inviolabilidade da intimidade, 
da vida privada, da imagem e da honra das pessoas. Este dever de preservação de 
segredo é previsto no Código Penal, artigo 154, bem como na maioria dos códigos 
de ética profissional em saúde (Salvador & Filho, 2004).
Em princípio, somente o consentimento do paciente pode autorizar a revelação 
do conteúdo do PEP, devido ao princípio da autonomia. Dessa forma, o paciente 
possui autonomia para decidir quais informações deseja revelar ou manter em 
sigilo. Entretanto, o Código de Ética Médica, artigo 102, determina que a revelação 
destes dados pode ser feita por causa justa, dever legal ou autorização expressa do 
paciente. Além dos médicos, todos os profissionais da saúde, bem como funcionários 
administrativos que entram em contato com as informações do paciente, possuem 
autorização para acesso a estas informações apenas em função da necessidade 
profissional. Desta forma, o dever de segredo não se limita ao médico, mas abrange 
todos os profissionais que, em exercício de sua função, tenham acesso a estes dados 
(Salvador & Filho, 2004).
Vale ressaltar que os prontuários de papel também apresentam riscos de quebra de 
privacidade, embora o PEP apresente um potencial mais amplo de acessibilidade, 
visto que, uma vez que a segurança seja transpassada, um único terminal permite o 
acesso de todo o banco de informações de uma instituição; a isto se acrescentam 
todas as possibilidades oriundas da internet, caso os prontuários estejam acessíveis 
por meio da web. Além disso, o transporte de dados informatizados e a facilidade 
de acesso podem fazer com que os casos de quebra da confidencialidade atinjam 
proporções antes não conhecidas com o uso do papel. Apesar das novas possibilidades 
para quebra de confidencialidade, alguns autores destacam que os computadores 
também propiciam medidas de proteção indisponíveis ao prontuário de papel, como 
o controle do acesso por login e senha, certificação digital, biometria, tecnologias de 
firewall e encriptação dos dados que garantem o acesso somente aos profissionais 
que possuam a senha e o registro correto (Almeida et al., 2016). 
Ética e Segurança da Informação • 5/13
• Controle do acesso por login e senha: processo de autenticação que inclui a 
validação de senha do usuário, proibição de acesso a usuários não autorizados, 
solicitação de alteração de senha caso esteja expirada, bloqueio de usuários que 
excedem o número de tentativas de acesso sem sucesso, dentre outros.
• Certificação digital: correspondem a documentos eletrônicos que utilizam 
duas chaves, uma pública e de conhecimento geral, e outra privada, mantida 
em sigilo pelo titular do certificado. Estas chaves (pública e privada) apresentam 
funções inversas. Desta forma, o que uma faz, somente a outra pode desfazer. O 
certificado digital é obtido por meio de uma Autoridade Certificadora e contém 
informações sobre o nome do titular, número de série, data de validade, chave 
pública do titular e assinatura eletrônica da Autoridade Certificadora.
• Biometria: permite a identificação precisa baseada na avaliação de traços 
biológicos. Trata-se de um mecanismo de controle de informações e acessos 
não autorizados. Dentre as características biológicas utilizadas para identificação 
citam-se o reconhecimento de voz, reconhecimento de íris, verificação de 
assinatura manuscrita, reconhecimento de impressão digital, reconhecimento de 
face, dentre outros.
• Tecnologia de firewall: é uma ferramenta para controle e segurança constituída 
por um equipamento de hardware e seu respectivo software. Este equipamento 
tem como função limitar e controlar o acesso à uma rede local interna (LAN) 
ligada à uma rede externa (Internet). Desta forma, o firewall permite controlar 
o que se desejar que saia ou entre numa determinada rede, evitando acessos 
indevidos, mesmo que estes acessos sejam internos da rede (Salvador & Filho, 
2004).
Os princípios básicos que norteiam a segurança da informação são:
• Integridade: processo de assegurar que recursos ou dados não sejam alterados 
por entidades não autorizadas;
• Confidencialidade: necessidade de proteger informações sensíveis de forma a 
não serem vistas indiscriminadamente; 
• Disponibilidade: disponibilidade de acesso ao sistema para usuários 
autorizados;
Ética e Segurança da Informação • 6/13
• Autenticação: processo pelo qual a identidade de uma pessoa possa ser 
verificada; 
• Autorização: associar uma identidade a uma lista de direitos, privilégios, ou 
áreas de acesso;
• Legalidade: quando alguém não pode negar a autenticidade de um documento, 
a sua assinatura ou o seu envio;
• Auditoria: processo de assegurar que a atividade de um usuário possa ser 
devidamente registrada e revista para detectar eventos suspeitos (Salvador & 
Filho, 2004,n.p.).
https://player.vimeo.com/video/765706507
Ética e Segurança da Informação • 7/13
Lei de Portabilidade e Responsabilidade do Seguro de Saúde 
(HIPAA)
As leis de privacidade e segurança estão constantemente sendo revisadas no intuito 
de ajustarem-se aos novos desafios, novas tecnologias e novas ameaças na era digital. 
A Lei de Portabilidade e Responsabilidade do Seguro de Saúde (HIPAA, do inglês 
Health Insurance Portability and Accountability Act) foi proposta no ano de 1996, nos 
Estados Unidos, para estabelecer os requisitos para o uso, divulgação e proteção de 
informações de saúde de identificação individual. Este conjunto de leis foi estendido 
com a aprovação da Lei HITECH (Health Information Technology for Economic and 
Clinical Health Act) no ano de 2009 (Moore & Frye, 2019).
O objetivo principal da Lei HITECH foi apoiar a implementação dos registros 
eletrônicos de saúde nos EUA, para fornecimento de dados e informações médicas 
integradas aos provedores e usuários do sistema de saúde. Além de oferecer 
programas de incentivo para adoção do PEP nos hospitais e provedores de saúde, a 
HITECH também aumentou as penalidades monetárias para violações da HIPAA. A 
HIPPA tem por objetivo proteger as informações de saúde dos indivíduos. Qualquer 
informação que possa ser utilizada para identificar um indivíduo são consideradas 
Informações de Saúde Protegidas (PHI, do inglês Protected Health Information). Nome, 
endereço, data de nascimento, número de telefone, CPF, número do prontuário, 
histórico médico, fotografias, prontuários, números de beneficiários de planos de 
saúde, números de licenças, veículos identificadores, endereços de protocolo de 
internet, identificadores biométricos, resultados exames (laboratoriais e radiológicos) 
e registros de tratamentos são considerados PHI e devem ser protegidos (Moore & 
Frye, 2019). As PHI podem ser divulgadas, sem a autorização por escrito do paciente, 
nas seguintes circunstâncias:
1) Para tratamento, pagamento ou operações gerais de saúde: os provedores 
podem compartilhar determinadas informações com empresas de cobrança para 
receber o pagamento pelos serviços prestados. Além disso, estas informações 
podem ser utilizadas para avaliação da qualidade ou conformidade do sistema 
para elevar o padrão de assistência à saúde. Segundo a HIPAA, somente os 
registros relacionados ao abuso de substâncias e as notas de psicoterapia não 
podem ser compartilhadas entre os prestadores de cuidados de saúde sem o 
consentimento explícito do paciente.
Ética e Segurança da Informação • 8/13
2) O paciente pode concordar ou se opor a uma divulgação, no entanto, quando 
um paciente traz outra pessoa para o quarto com ele, o paciente concorda 
automaticamente que essa pessoa possa ouvir o PHI.
3) Durante um desastre natural, sob aprovação do presidente dos EUA ou de 
um funcionário do estado, algumas penalidades podem ser dispensadas. Esta 
dispensa é concedida somente aos hospitais localizados na área do desastre 
durante o período identificado na declaração de emergência de saúde pública. 
4) Para atividades e propósitos de saúde pública, como prevenir ou controlar a 
propagação de doenças ou denúncias de abuso ou negligência infantil.
5) Se solicitado por ordem judicial (Moore & Frye, 2019a).
As violações das leis contidas na HIPAA, mesmo quando cometidas intencionalmente, 
implicam em multas que podem chegar a milhões de dólares a cada ano e até 
resultar em acusações criminais e prisão. A proteção da HIPAA se estende somente 
às entidades cobertas, como prestadores de serviços de saúde, planos de saúde e 
parceiros de negócios. Desta forma, os dados gerados por entidades não cobertas 
não são protegidos pela HIPAA (Moore & Frye, 2019b).
Ética e Segurança da Informação • 9/13
Saiba Mais
No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD), Lei n° 
13.709/2018, foi promulgada para proteger os direitos fundamentais 
de liberdade e de privacidade e a livre formação da personalidade 
de cada indivíduo. A Lei fala sobre o tratamento de dados pessoais, 
dispostos em meio físico ou digital, feito por pessoa física ou jurídica 
de direito público ou privado, englobando um amplo conjunto de 
operações que podem ocorrer em meios manuais ou digitais. Esta lei 
estabelece a estrutura legal dos titulares dos dados pessoais, que devem 
ser garantidos durante a manipulação dos dados pessoais em uma 
organização. Além disso, a lei também determina a responsabilidade 
pela reparação do dano patrimonial, moral, individual ou 
coletivo, causado pela violação à legislação de proteção de dados 
pessoais. 
LGPD – A Lei Geral de Proteção de Dados Pessoais compreende 
a legislação brasileira que regula as atividades e manipulação de 
dados pessoais.
Materiais Complementares: 
1. https://www.thieme-connect.com/products/ejournals/
html/10.1055/s-0040-1701966, acessado em 25 de setembro de
2022.
2. https://www.thieme-connect.com/products/ejournals/
abstract/10.1055/s-0042-1742503, acessado em 25 de setembro
de 2022.
https://www.thieme-connect.com/products/ejournals/html/10.1055/s-0040-1701966
https://www.thieme-connect.com/products/ejournals/html/10.1055/s-0040-1701966
https://www.thieme-connect.com/products/ejournals/abstract/10.1055/s-0042-1742503
https://www.thieme-connect.com/products/ejournals/abstract/10.1055/s-0042-1742503
Ética e Segurança da Informação • 10/13
Em Resumo
As mesmas regras éticas que definem o acesso ao prontuário de papel também 
se aplicam ao prontuário eletrônico e devem ser respeitadas. As questões éticas 
relacionadas ao PEP devem ser amplamente divulgadas e estudadas pelos profissionais 
e serviços de saúde a fim de garantir a confidencialidade das informações pessoais 
dos pacientes. Alguns mecanismos de segurança, como criptografia, biometria, 
certificação digital, dentre outros, têm sido utilizados com o objetivo de garantir um 
nível elevado de confiabilidade e privacidade das informações contidas no PEP. Assim, 
para alcançar todas as vantagens proporcionadas pelo PEP, é necessário solucionar 
diversos problemas éticos, legais e técnicos relacionados à sua utilização.
Ética e Segurança da Informação • 11/13
Na ponta da língua
https://player.vimeo.com/video/765706714
Ética e Segurança da Informação • 12/13
Referências Bibliográficas
Almeida, M.J.G.G. et al. (2016). Discussão Ética sobre o Prontuário Eletrônico do 
Paciente. Revista Brasileira de Educação Médica [online], v. 40, n. 3, p. 521-527. 
Massad, E., Marin, H.F. & Azevedo, R. S. (2003). O Prontuário do Paciente na Assistência, 
Informação e Conhecimento Médico. São Paulo. USP.
Moore, W., & Frye, S. (2019). Review of HIPAA, Part 1: History, Protected Health 
Information, and Privacy and Security Rules. Journal of nuclear medicine technology, v. 
47, n. 4, p. 269–272. Disponível em: https://doi.org/10.2967/jnmt.119.227819. 
Moore, W., & Frye, S. (2020). Review of HIPAA, Part 2: Limitations, Rights, Violations, 
and role for the Imaging Technologist. Journal of nuclear medicine technology, v. 48, n. 
1, p. 17–23. Disponível em: https://doi.org/10.2967/jnmt.119.227827. 
Salvador, V.F.M. & Filho, F.G.V.A. (2004). Aspectos éticos e de segurança do prontuário 
eletrônico do paciente. Anais da II Jornada de Desenvolvimento e Tecnologia, UNIVEM, 
Marília, SP.
https://doi.org/10.2967/jnmt.119.227819
https://doi.org/10.2967/jnmt.119.227827
Ética e Segurança da Informação • 13/13
Im
ag
en
s: 
Sh
utt
er
st
oc
k
LIVRO DE REFERÊNCIA:
Introdução à Informática em Saúde - Fundamentos, 
Aplicações e Lições Aprendidas com a 
Informatização do Sistema de Saúde Americano
Tiago Kuse Colicchio
Artmed, 2020