Um profissional de saúde abre sua sessão Netsoins no tablet do carrinho de cuidados, consulta o prontuário de um residente e depois esquece de bloquear a tela antes de entrar no quarto. Em EHPAD, esse tipo de situação acontece várias vezes ao dia.
A conformidade com o RGPD do Netsoins Domusvi não se resume apenas às configurações do software: ela se dá nos gestos diários das equipes, na configuração de rede da instituição e na documentação que ninguém quer redigir.
Autenticação forte no Netsoins: o que realmente impede no campo
O Netsoins pode ser integrado ao Pro Santé Connect e ao cartão CPS para implementar uma autenticação forte. No papel, essa é a recomendação da CNIL para bancos de dados de saúde em grande escala. Na prática, observa-se que a implementação frequentemente esbarra em detalhes técnicos.
Os leitores de cartões CPS nem sempre estão disponíveis em cada posto. Os auxiliares de enfermagem, que não possuem cartão CPS, devem usar uma identificação clássica. E quando a conexão Wi-Fi da instituição é instável, a verificação via Pro Santé Connect falha ou retarda o atendimento.
Para que a autenticação forte funcione no dia a dia, recomenda-se testar a combinação de leitor CPS e Wi-Fi posto a posto antes de qualquer implementação generalizada. Se a infraestrutura não acompanhar, é melhor começar por garantir senhas individuais (renovação regular, mínimo de oito caracteres com números e caracteres especiais) e bloquear sessões inativas após alguns minutos. A ideia é avançar por etapas em vez de impor um dispositivo que as equipes contornarão.
Para entender melhor como usar o Netsoins Domusvi com segurança, é preciso primeiro aceitar que a segurança técnica não vale nada sem a adesão no campo.
Análise de impacto RGPD: o documento que cada EHPAD deve produzir
Um EHPAD que utiliza o Netsoins trata de dados de saúde em grande escala. O artigo 35 do RGPD torna a análise de impacto relativa à proteção de dados (AIPD) praticamente obrigatória. A CNIL confirma isso em suas recomendações para o setor médico-social.
Essa análise não é um formulário a ser preenchido uma vez e guardado em uma gaveta. Ela deve ser atualizada a cada evolução significativa do sistema: adição de um módulo de telemedicina, interface com uma nova ferramenta, uso em mobilidade em tablet, ou até mesmo integração de um componente de inteligência artificial.
O que a AIPD deve cobrir concretamente
- A descrição precisa dos tratamentos realizados no Netsoins (prontuário eletrônico do usuário, transmissões direcionadas, prescrições, faturamento via Netfactu) e as categorias de dados envolvidas.
- A identificação dos riscos para os residentes: acesso não autorizado, perda de dados, divulgação acidental durante uma auditoria ARS ou uma transmissão a um profissional externo.
- As medidas técnicas e organizacionais já em vigor (hospedagem HDS, registro de acessos, autorizações diferenciadas por perfil) e aquelas que ainda precisam ser implementadas.
- O plano de recuperação de atividades testado, exigido pela certificação HDS do provedor de hospedagem, com a prova do número de certificado HDS a ser mantido no dossiê de conformidade.
Os retornos variam sobre esse ponto, mas na maioria das instituições, é o IDEC ou o diretor quem carrega esse documento, na falta de um DPO dedicado. Prever uma revisão anual continua sendo o mínimo.
Autorizações e registro no Netsoins: configurar de acordo com os perfis profissionais
O Netsoins funciona com autorizações diferenciadas por perfil de usuário. Um médico coordenador não tem os mesmos direitos que uma auxiliar de enfermagem ou um agente administrativo. O problema é que esses perfis são frequentemente configurados na instalação inicial e depois nunca revisados.
Entretanto, o RGPD impõe um princípio de minimização: cada profissional deve acessar apenas os dados estritamente necessários para sua missão. Um agente de recepção não precisa ler as transmissões direcionadas. Um profissional externo em teleconsulta deve ver apenas o prontuário do residente em questão, durante o tempo da consulta.
Ações concretas a serem realizadas sobre os direitos de acesso
Começa-se exportando a lista de contas ativas e comparando-a com a lista do pessoal em exercício. As contas de funcionários que saíram devem ser desativadas nas 48 horas seguintes à saída. Essa é uma falha clássica que as auditorias ARS identificam sistematicamente.
Em seguida, verifica-se se o registro está ativo e utilizável. O Netsoins registra um histórico completo das ações (consultas, modificações, exportações). Esse histórico serve como prova em caso de controle da CNIL ou de reclamação de um residente exercendo seu direito de acesso. É preciso garantir que os logs sejam mantidos por um período compatível com a política de retenção da instituição.
Segurança em mobilidade: tablets e acessos remotos no D.netsoins
O acesso móvel via D.netsoins ou um navegador em tablet facilita o acompanhamento ao lado do residente. Mas a mobilidade multiplica os pontos de vulnerabilidade, e as medidas de proteção raramente são aplicadas de forma homogênea.
O Wi-Fi da instituição deve ser segmentado entre a rede de cuidados e a rede de visitantes. Quando ambos compartilham o mesmo ponto de acesso sem separação, um terminal de visitante pode teoricamente interceptar fluxos. O navegador utilizado no tablet deve ser mantido atualizado, o que pressupõe uma política de atualização automática gerida pela DSI ou pelo prestador de serviços de TI.
O bloqueio automático de sessão é o gesto mais simples e mais negligenciado. O Netsoins se desconecta automaticamente após um período de inatividade, mas essa duração deve ser configurada para o menor tempo compatível com o uso no campo. Muitas instituições mantêm a configuração padrão sem nunca ajustá-la.
Cada tablet utilizado em mobilidade também deve ser criptografado e protegido por um código de desbloqueio próprio do dispositivo, distinto da senha do Netsoins. Em caso de roubo ou perda, a criptografia impede a extração dos dados armazenados em cache.
A conformidade com o RGPD de um EHPAD que utiliza o Netsoins Domusvi depende menos do software em si e mais de três pilares operacionais: autorizações revisadas regularmente, uma AIPD mantida atualizada e práticas de mobilidade regulamentadas. O software fornece as ferramentas técnicas (registro, perfis, hospedagem HDS), mas é a organização interna que transforma essas ferramentas em garantias reais para os residentes.