Mostrar resumo Ocultar resumo
Um ataque informático que, segundo fontes, expôs dados de mais de 100 mil utentes do Serviço Nacional de Saúde voltou a acender o debate sobre responsabilidades e transparência: especialistas afirmam que o impacto poderá prolongar-se por anos, enquanto as entidades de saúde não esclareceram se as vítimas foram informadas. A falta de respostas aumenta a pressão sobre os gestores dos sistemas e sobre as autoridades de supervisão.
O incidente ocorreu na semana passada e atingiu bases de dados geridas por organismos públicos ligados ao Ministério da Saúde. Fontes ligadas à investigação contabilizam mais de 100 mil registos potencialmente comprometidos, incluindo informações pessoais e, em alguns casos, dados clínicos sensíveis.
Segundo peritos em cibersegurança, o roubo de informação médica e administrativa tem efeitos imediatos — risco de fraude, venda de dados em mercados ilegais e danos de privacidade — e consequências que podem persistir durante anos, com necessidade de monitorização contínua por parte dos utentes.
Centro BTT de Alcobertas abre portas e impulsiona turismo em Rio Maior
Estado trava vidas: saiba o que muda para você agora
Risco jurídico e quadro sancionatório
As entidades públicas responsáveis pelo tratamento desses dados podem vir a enfrentar processos administrativos ou judiciais. Ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD), infrações graves sujeitam-se a penalizações financeiras que, dependendo da natureza e da gravidade, variam entre 5 mil e 20 milhões de euros.
Além das coimas, a legislação obriga os responsáveis pelo tratamento a adotar medidas técnicas e organizacionais adequadas para proteger os dados. A autoridade de controlo portuguesa também pode exigir ações corretivas e impor restrições ao tratamento.
Obrigação de notificação — que falta foi apontada
O RGPD determina que os titulares dos dados sejam informados «sem demora injustificada» quando uma violação possa causar risco aos seus direitos e liberdades. Fontes oficiais dizem que os Serviços Partilhados do Ministério da Saúde (SPMS) e várias Unidades Locais de Saúde têm sido contactados, mas recusaram esclarecer publicamente se o sistema de alertas funcionou e se as notificações às pessoas afetadas já foram enviadas.
Quando a notificação não é feita atempadamente, além da repercussão prática para os utentes, há risco acrescido de sanções administrativas por incumprimento dos deveres de transparência e segurança.
O que deve fazer quem pode estar afetado
- Verificar a caixa de entrada e o número de telemóvel por mensagens oficiais da sua unidade de saúde;
- Alterar palavras-passe de contas associadas ao e-mail usado com o SNS e ativar a autenticação em duas etapas;
- Monitorizar movimentos bancários e sinais de fraude — contacte o banco imediatamente em caso de operações suspeitas;
- Solicitar junto do responsável pelo tratamento o acesso aos seus dados e informação sobre o alcance da violação (direito de acesso);
- Considerar apresentar uma reclamação à Comissão Nacional de Proteção de Dados (CNPD) se não receber resposta ou se as explicações forem insuficientes;
- Guardar registos de comunicações com as entidades de saúde e, se necessário, procurar aconselhamento jurídico.
Algumas dessas medidas são preventivas; outras são reativas e ajudarão a documentar prejuízos caso haja um pedido de indemnização ou uma investigação administrativa.
Transparência e responsabilidades
Especialistas lembram que, para além das penalidades financeiras, a credibilidade das instituições de saúde depende de respostas claras e rápidas. A falta de comunicação eficiente pode agravar o dano reputacional e dificultar a recuperação dos utentes afetados.
Até ao momento, os responsáveis pela gestão dos sistemas públicos de saúde estão sob escrutínio: as autoridades de saúde e a CNPD deverão acompanhar a resposta técnica e a calendarização das notificações. A abertura de inquéritos internos e a cooperação com peritos externos são passos esperados para avaliar a dimensão real do incidente.
Para os utentes, o conselho central é exigir informação — e seguir as medidas de proteção pessoal imediatamente. A consequência prática mais importante hoje é simples: sem transparência, o risco e a ansiedade persistem, e os prazos legais para reclamações ou indemnizações começam a correr.
