Dados cadastrais de pacientes, queixas de saúde, antecedentes, histórico de doenças, pedidos e resultados de exames, hipóteses diagnósticas, plano terapêutico, evolução clínica, pareceres, são apenas alguns dos muitos dados sensíveis tratados na área médica.

Com a evolução tecnológica, tais importantíssimas e personalíssimas informações dos pacientes deixaram o meio físico para se consolidarem no formato digital, o que gera inúmeros benefícios, mas também potenciais riscos de segurança da informação, mormente no caso de terceirização inapropriada para guarda e tratamento de tais informações por meio da computação em nuvem ou cloud computing.

De início, importante ter ciência de que as normativas que compõem a legislação aplicável à área médica não estão alheias à inovação tecnológica, de modo que o desenvolvimento de quaisquer serviços de digitalização ou armazenamento de dados em meios digitais, bem como a utilização de cloud computing para a guarda e compartilhamento de informações, devem respeitar regras constantes de diplomas normativos, expedidos, principalmente, pelo Conselho Federal de Medicina (CFM).

Os serviços em cloud, já populares para os usuários da Internet e empresas, apresentam evidentes vantagens, seja por permitirem o acesso facilitado a informações, de qualquer lugar, ou pela economia gerada, na medida em que o armazenamento em servidores mantidos por terceiros especializados leva à diminuição da necessidade de manutenção de espaço de armazenamento por empresas e usuários em geral, individualmente.

Ainda, por vezes os riscos de incidentes de vazamento de informações são maiores com dados sensíveis guardados internamente do que com empresas especializadas no assunto.

Para se ter uma ideia, em 2014, 81% (oitenta e um por cento) dos dados móveis trafegados eram provenientes de serviços de computação em nuvem.

A expectativa é de que este número cresça, chegando a 90% (noventa por cento) até 2019. Não há dúvidas, portanto, de que a tendência dos serviços em cloud é de expansão, atingindo, inclusive, áreas e mercados mais tradicionais.

Uma das novas áreas de aplicação do cloud é o setor médico que, embora seja notório o seu desenvolvido tecnológico, ainda é bastante tradicional no que diz respeito ao armazenamento e gestão de dados.

Muitos deles ainda são armazenados de forma esparsa, pelo médico ou instituição que os coletou, havendo pouca integração entre sistemas e sendo parte considerável das informações ainda armazenadas em meio físico.

Os serviços de cloud possuem grande potencial de modernizar o setor, na medida em que podem trazer benefícios aos pacientes, permitindo o acesso rápido e facilitado às suas informações médicas pelas instituições de saúde e profissionais, de modo a acelerar e aprimorar diagnósticos, bem como tornar mais simples o acesso do próprio paciente às suas informações, como, por exemplo, dados acerca de remédios e vacinas que ele tomou ao longo da vida.

Visando trazer maior segurança jurídica ao setor, o Conselho Federal de Medicina (CFM) publicou, em 2007, resolução que estabeleceu normas técnicas para a utilização de sistemas informáticos para a guarda e manuseio de prontuários de pacientes em meio eletrônico, indicando, inclusive, requisitos para que tais documentos eletrônicos possam substituir, em definitivo, o armazenamento de documentos em papel.

Referida resolução estabelece, ainda, que os documentos digitalizados deverão ser controlados por sistema especializado, cujo grau de segurança será classificado em diferentes níveis de garantia, de acordo com o atendimento do sistema a requisitos estabelecidos em manual técnico desenvolvido pelo CFM, conjuntamente com a Sociedade Brasileira de Informática em Saúde (SBIS).

Assim, o armazenamento de registros médicos em meio exclusivamente digital depende do atendimento a requisitos técnicos de segurança mínimos, que são os mesmos necessários para que seja autorizada a troca de informações de saúde de pacientes em meio eletrônico, conforme previsto na mesma resolução. Dentre tais requisitos, destaca-se a necessidade de utilização de assinatura digital emitida no âmbito da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), conforme estabelecida na Medida Provisória nº 2.200-2/2001.

Ainda, embora o CFM não tenha editado outras normativas indicando expressamente os requisitos de segurança necessários para o armazenamento e compartilhamento de outros documentos médicos em meio digital, alguns conselhos regionais já aplicaram, por analogia, as regras relacionadas aos prontuários médicos a outros documentos em saúde, como, por exemplo, os laudos médicos.

Fundamental se faz, portanto, a adequação de sistemas informáticos para a guarda e manuseio de documentos médicos, inclusive de sistemas em nuvem, às disposições constantes das normas aplicáveis, de modo a garantir a validade e efetividade de tais documentos.

Ainda, com relação especificamente aos serviços em cloud, o Projeto de Lei nº 5.344/2013 dispõe sobre as diretrizes gerais e normas para a promoção, desenvolvimento e exploração da atividade de computação em nuvem no Brasil. O Projeto de Lei em questão visa regular diversos aspectos relacionados aos cloud computing, como requisitos para a prestação dos serviços, bem como responsabilidades e obrigações ao prestador e ao tomador de serviços de computação em nuvem, de modo que pode causar impactos importantes no setor.

Evidente, portanto, que, embora a computação em nuvem no setor de saúde, certamente, se tornará ainda mais relevante em um futuro próximo, garantindo maior eficiência no armazenamento e na troca de informações e, portanto, no atendimento médico, tal tecnologia deve atender a uma série de regras e normas, com o intuito de garantir a segurança e integridade de dados extremamente sensíveis relacionados ao setor e a privacidade dos pacientes.

Carla Segala Alves é advogada especialista em direito digital do Opice Blum, Bruno, Abrusio e Vainzof Advogados Associados.

Artigo originalmente publicado no site Jota.

*As opiniões emitidas nos artigos desta seção são de inteira responsabilidade de seus autores e não expressam, necessariamente, o entendimento do CRM-PR.