Centro oncológico de Singapura expõe 467 doentes ao pôr os endereços em CC

Na noite de sexta-feira, 18 de setembro, o National Cancer Centre Singapore (NCCS) enviou a 467 endereços o convite para o seu encontro "Living with HBOC", uma sessão para pessoas com síndrome hereditária de cancro da mama e do ovário. Os endereços foram colocados no campo CC em vez de BCC, pelo que cada destinatário via todos os outros. Quando um endereço contém um nome ou o domínio de uma empresa, mostra também quem é a pessoa e onde trabalha. Cerca de duas horas e meia depois, o NCCS enviou uma segunda mensagem a pedir que apagassem a primeira e não guardassem nem reencaminhassem a lista. Pediu desculpa, comunicou o caso por iniciativa própria ao Ministério da Saúde e à Comissão de Proteção de Dados Pessoais (PDPC), e a PDPC diz que está a investigar.

O que 467 pessoas puderam ver

O encontro está marcado para 31 de outubro, das 10h às 12h30, apenas por convite, com uma palestra e workshops para pessoas com HBOC e as suas famílias. O convite foi para a lista de distribuição do NCCS das pessoas ligadas à síndrome. Um destinatário disse ao The Straits Times que os endereços visíveis eram "demasiados para contar" e estimou mais de 500; o NCCS avançou depois o número de 467. Muita gente usa endereços do tipo nome.apelido e alguns deram o e-mail do trabalho, pelo que um desconhecido da lista fica com um nome completo e uma entidade empregadora ao lado de um diagnóstico genético. Chong Pang Boon, diretor de operações e responsável pela proteção de dados do NCCS, falou de um erro administrativo: "Além dos endereços de e-mail, não foram revelados números NRIC, números de telefone ou outros dados pessoais". A segunda mensagem pedia aos destinatários que apagassem o convite, esvaziassem o lixo e não divulgassem os endereços. O NCCS afirma ter contactado os destinatários para os apoiar e estar "a rever a fundo os nossos processos internos para que isto não volte a acontecer".

Porque é que aqui um endereço de e-mail é um dado médico

A HBOC deve-se sobretudo a alterações hereditárias nos genes BRCA1 ou BRCA2. Segundo o National Cancer Institute dos Estados Unidos, mais de 60% das mulheres que herdam uma alteração nociva do BRCA desenvolvem cancro da mama ao longo da vida, contra cerca de 13% na população em geral; o risco de cancro do ovário vai de 39% a 58% com o BRCA1 e de 13% a 29% com o BRCA2, contra 1,1%. Os homens são portadores e transmitem as mesmas mutações, com um risco maior de cancro da próstata e da mama. Uma pessoa está na lista do NCCS porque tem a síndrome, está a fazer testes ou cuida de alguém que a tem. Foi por isso que um destinatário contou ao The Straits Times que pessoas que nunca tinha visto sabiam agora da sua condição genética, e apontou os dois maiores receios dos portadores: entidades empregadoras e seguradoras. O receio tem também um lado técnico. Uma caixa de correio de trabalho pertence à entidade empregadora, os administradores podem lê-la, e uma mensagem com o assunto "Living with HBOC" no arquivo da empresa não é algo que o paciente tenha escolhido revelar. E como a mutação é hereditária, um nome na lista é uma pista sobre os filhos e os pais dessa pessoa, que nunca receberam e-mail nenhum.

Um erro que os reguladores veem todas as semanas

Em abril de 2024, o comissário britânico para a informação, John Edwards, escrevia que o mau uso do BCC "é uma das violações de dados mais comunicadas todos os anos" e que as organizações de saúde continuavam a cometer "erros evidentes e fáceis de evitar". O seu gabinete multou três delas exatamente por isso. A PDPC de Singapura publicou em janeiro de 2017 um guia para prevenir divulgações acidentais; o ponto 9 da sua lista de verificação diz: "Garanta que em todos os e-mails enviados a um grupo de destinatários externos os endereços ficam no campo 'bcc'". Desde 1 de outubro de 2022, a PDPC pode aplicar a uma organização uma coima até 1 milhão de dólares de Singapura, ou 10% do volume de negócios anual em Singapura se este ultrapassar os 10 milhões. A sua sanção mais elevada até hoje é também o precedente mais próximo: em janeiro de 2019 aplicou 250 000 S$ à SingHealth e 750 000 S$ ao seu fornecedor informático IHiS pelo ataque de 2018 que expôs os registos de 1,5 milhões de pacientes. O NCCS faz parte da SingHealth.

Se o seu endereço estava numa lista destas

A organização vai pedir-lhe que apague a mensagem. Faça-o, mas não antes de mais algumas coisas. Os passos servem para qualquer país e qualquer remetente, de uma clínica a uma escola.

• Não use "Responder a todos". A resposta iria para todos os endereços da lista e confirmaria que o seu está ativo.
• Anote a data, o assunto e o que estava visível no campo dos destinatários, e guarde o aviso do remetente. É a sua prova se mais tarde apresentar queixa.
• Pergunte por escrito ao remetente o que foi exatamente exposto, quem o recebeu e se o regulador foi notificado.
• Se usou um endereço de trabalho, passe a correspondência médica para um pessoal. O departamento informático da entidade empregadora pode ler a caixa de correio do trabalho.
• Conte com phishing a referir o encontro ou "o incidente". Verifique o domínio do remetente e não abra anexos nem "ligações seguras" que não pediu.
• Se as respostas não o satisfizerem, queixe-se à autoridade de proteção de dados: a PDPC em Singapura, o ICO no Reino Unido, a CNPD ou a autoridade nacional competente na UE.

O que se segue

Desde 2021 que Singapura obriga as organizações a notificar a PDPC de violações de dados significativas, e o NCCS fê-lo por iniciativa própria. A investigação vai apurar se o centro tinha medidas razoáveis contra este erro: uma regra de "só BCC" não é uma medida se uma única pessoa a escrever para 467 endereços numa sexta-feira à noite ainda pode escolher o campo errado. Os remédios habituais são baratos. As ferramentas de listas enviam uma mensagem por destinatário; um servidor de correio pode reter qualquer envio com mais do que uma mão-cheia de endereços externos em "Para" ou CC; e um grupo de destinatários ocultos, que o guia da PDPC recomendava há nove anos, não custa nada. Os casos britânicos sugerem que a sanção, se existir, será modesta e a repreensão pública. Para as 467 pessoas da lista, o dano concreto está feito e uma segunda mensagem não o consegue anular; o que controlam é o que acontece ao seu endereço a partir daqui.