Reportagem do portal G1 (ES), publicada em 03/02/2021

Até esta quarta-feira (3), bastava apenas um clique para ter acesso a vários dados de pessoas vacinadas contra a Covid-19 em Guarapari. Nome completo, CPF, filiação, cartão do SUS, local de trabalho dos profissionais de saúde e de moradia dos idosos em Instituições de Longa Permanência (ILPIs) ficaram expostos no site oficial da administração municipal por cinco dias.

A relação de arquivos, que podiam ser baixados por qualquer pessoa, continha os dados dos vacinados do "Hospital Materno Infantil Francisco de Assis", do "Centro Municipal de Saúde", do "Hospital São Pedro", da "Unidade de Pronto Atendimento (UPA) de Guarapari" e da "Unidade de Saúde Maria Madalena Astori Gobbi", além das Instituições de Longa Permanência de Idosos "Cantinho da Dinda", "Lar Idoso Feliz", "Recanto dos Idosos", "Recanto da Vovó" e a "Residência Inclusiva", que oferece serviço de acolhimento institucional de jovens e idosos.

As informações foram disponibilizadas por meio do "Relatório de Vacinados" da prefeitura no dia 28 de janeiro. Até aquela data, 681 pessoas do grupo pertencente a primeira fase de vacinação tinham sido imunizadas na cidade.

Após ser acionada pelo G1, a prefeitura retirou nesta quarta as informações do ar e disse que o arquivo será republicado sem identificação dos documentos pessoais. Em um outro relatório, publicado nesta terça (2), o CPF dos vacinados foi apagado.

A situação, de acordo com a advogada em direitos digitais do Instituto Brasileiro de Defesa do Consumidor (Idec) Bárbara Simão, fere a Lei de Proteção de Dados Pessoais (LGPD).

Essa lei, aprovada em 2018, estabelece regras para o uso, coleta, armazenamento e compartilhamento de dados dos usuários tanto por empresas quanto por órgãos públicos. O principal objetivo dela, segundo a professora de direito da Universidade Federal do Espírito Santo Margareth Vetis Zaganelli, é garantir segurança, privacidade e transparência no uso de informações pessoais.

Em nota, a Prefeitura de Guarapari explicou que os dados sobre os vacinados são enviados todos os dias para atualização no sistema do Ministério da Saúde com objetivo de dar transparência aos atos. Paralelamente ao envio ao Ministério, a prefeitura disponibiliza também os dados no site oficial da Prefeitura.

No entanto, para a advogada de direito digital do Idec, é necessário separar o que é interesse público da divulgação de dados pessoais.

“É necessário saber conciliar esses dois requisitos: o que é privacidade do cidadão e o que é informação pública. Qualquer tipo de exposição de dados tem que ter uma justificativa. Nesse caso, a prefeitura não seguiu o princípio da precaução. Governos, entidades e empresas têm que ter cuidados para que as informações não saiam do local seguro onde estão armazenadas. Se houve o compartilhamento, é porque o governo não tomou as atitudes necessárias para evitar isso”, afirmou Bárbara.

“É necessário saber conciliar esses dois requisitos: o que é privacidade do cidadão e o que é informação pública. Qualquer tipo de exposição de dados tem que ter uma justificativa. Nesse caso, a prefeitura não seguiu o princípio da precaução. Governos, entidades e empresas têm que ter cuidados para que as informações não saiam do local seguro onde estão armazenadas. Se houve o compartilhamento, é porque o governo não tomou as atitudes necessárias para evitar isso”, afirmou Bárbara.

Uma funcionária de uma das Instituições de Longa Permanência, que foi vacinada em janeiro e teve os dados divulgados pela prefeitura, revela que não sabia da exposição. Na lista, constava, além do nome completo da funcionária, a data de nascimento, CPF e o número do cartão do Sistema Único de Saúde (SUS).

“Pediram os documentos para a gente comprovar que éramos nós mesmos que estávamos na lista. Não disseram que eles ficariam públicos no site da prefeitura. Eu acho isso um risco, porque já fazem golpes sem nossos dados estarem públicos, imagina com todos eles lá podendo ser vistos por qualquer um?”, questionou.

“Pediram os documentos para a gente comprovar que éramos nós mesmos que estávamos na lista. Não disseram que eles ficariam públicos no site da prefeitura. Eu acho isso um risco, porque já fazem golpes sem nossos dados estarem públicos, imagina com todos eles lá podendo ser vistos por qualquer um?”, questionou.

O CPF, segundo a professora Margareth Zaganelli é considerado um dado pessoal, mas, em determinadas situações pode se tornar um dado sensível. Isso ocorre quando atrelado a serviços e produtos relacionados à saúde.

"Ele passa a ser enquadrado no conceito de dado pessoal sensível. O usuário ou paciente tem o direito de saber a finalidade do recolhimento dos dados, bem como questionar a utilidade de fornecer determinada informação pessoal."

A advogada do Idec ainda chamou a atenção para outro agravante. Apesar da Lei de Proteção de Dados não ter como atenuante a exposição de pessoas idosas, como o caso dos residentes em asilos, existem leis que protegem o grupo por entender que eles são mais suscetíveis a atividades maliciosas.

“É um público mais suscetível por não apresentar o mesmo nível de consciência e precisam de mais cuidado e proteção do poder público. São os idosos que mais recebem ligações abusivas de telemarketing, de bancos que oferecem empréstimos e eles aceitam. Isso tem que ser visto como um incidente de segurança e investigado. Essas exposições dão aos golpistas cada vez mais informações sobre as vítimas, tornando os golpes mais precisos”, declarou a advogada.

A Secretaria Municipal de Saúde de Guarapari (Semsa) informou ainda que a divulgação dos nomes é necessária e vai continuar. A Prefeitura disse também que é dever dela seguir as portarias ministeriais, informes técnicos e resoluções da Comissão Intergestores Bipartite (CIB). As planilhas foram modificadas para não constar números de documentos pessoais, como o CPF.

O G1 acionou o Ministério Público Estadual, mas ainda não recebeu uma resposta oficial sobre o caso.

Vazamento de dados Ministério da Saúde

No início de dezembro, uma falha do Ministério da Saúde expôs dados de cerca de 243 milhões de brasileiros na internet. O ministério disse, em nota, que houve exposição de base cadastral, mas que não houve acesso às informações.

O número de registros expostos é maior que o da atual população brasileira porque há também informações de pessoas que já morreram. CPF, nome completo, endereço e telefone estão entre os dados vazados. Esse conteúdo veio de qualquer brasileiro cadastrado no Sistema Único de Saúde (SUS) ou em plano de saúde.