A Autoridade de Proteção de Dados italiana (DPA) impôs uma multa de €300.000 a uma empresa de tecnologia médica devido ao uso incorreto do campo 'Para' em vez de 'Cco' (Cópia Oculta) ao enviar um e-mail sobre uma atualização de manutenção do servidor aos usuários do aplicativo MiniMed Mobile. Esse erro resultou na exposição dos endereços de e-mail de cerca de 5.000 usuários globais do aplicativo, incluindo 732 na Itália, constituindo um processamento não autorizado de dados de saúde.
O e-mail tinha como objetivo notificar os usuários sobre uma atualização de manutenção do servidor e as etapas necessárias para recuperar o acesso ao software CareLink Personal. Contudo, ao incluir os endereços de e-mail no campo 'Para', a Medtronic, responsável pelo aplicativo, acabou revelando esses endereços a todos os destinatários da mensagem. Apesar do conteúdo do e-mail não conter dados pessoais explícitos, a visibilidade dos endereços de e-mail permitiu a identificação indireta dos usuários do aplicativo, potencialmente revelando seu interesse por produtos relacionados ao diabetes e, por extensão, informações sobre sua saúde.
Após reconhecer o erro, a Medtronic comunicou prontamente o incidente à DPA, tentou recolher todos os e-mails enviados e orientou os usuários afetados a excluí-los. Além disso, reforçou o treinamento da equipe sobre procedimentos de notificação por e-mail e iniciou a implementação de uma ferramenta automatizada para evitar a repetição do incidente no futuro.
A DPA, ao analisar o caso, considerou que a empresa não manteve os princípios de legalidade, justiça e transparência, conforme exigido pelo Artigo 5(1)(a) do GDPR, além de falhar na obrigação de implementar medidas de segurança adequadas para proteger os dados pessoais, violando o Artigo 5(1)(f) e o Artigo 32 do GDPR. Também foi constatada a violação do Artigo 9 do GDPR, relativo ao processamento de categorias especiais de dados pessoais, como os dados de saúde, devido à divulgação não autorizada dos endereços de e-mail.
Adicionalmente, a DPA identificou uma violação nos Artigos 5(1)(a), 12 e 13 do GDPR relacionada ao compartilhamento de dados clínicos dos pacientes através da funcionalidade "Health Partner Share", que permite ao paciente vincular sua conta à de um profissional de saúde. A violação decorreu da falha da empresa em fornecer informações claras e transparentes sobre o processamento de dados pessoais durante a vinculação das contas, especialmente no que tange à base legal para o processamento de dados pessoais, incluindo dados de saúde, na política de privacidade da empresa.
Embora este incidente tenha acontecido na Itália, ele serve como base para ressaltar a importância do cuidado com a proteção de dados no cenário brasileiro. Os controladores devem estar atentos para lidar com questões semelhantes, garantindo a conformidade com a LGPD. Um bom exemplo a ser adotado, pode ser a realização de treinamentos com equipes de funcionários sobre práticas seguras de manuseio de dados e conscientizá-los sobre os riscos da exposição e vazamento de dados pessoais. Com a LGPD, o uso do CCO se faz imprescindível quando uma mesma mensagem for encaminhada para vários destinatários. Um simples erro no envio de um email pode representar o tratamento inadequado de dados pessoais, conforme visualizado na presente notícia, no âmbito brasileiro a exposição não autorizada por parte do controlador de dados pode resultar em sanções administrativas e processos judiciais.
Com informações GDPRHub
