Vazamento de dados da Cegedim Santé MLM (2026): riscos para pacientes e resposta

Segundo a Cegedim, os médicos afetados foram contatados no início de janeiro e, se desejassem, foram ajudados a notificar a CNIL e a informar seus pacientes, como controladores de dados nos termos do RGPD. Em outras palavras, o aviso formal aos pacientes vem do seu próprio médico ou consultório.

A CNIL diz que não pode verificar se seus dados estão em um arquivo vazado e não recomenda sites de terceiros que façam essa alegação. Se você está preocupado, pergunte diretamente ao seu médico pelos canais de contato que você já usa.

Com nome, data de nascimento, telefone, endereço e e-mail, alguém pode escrever uma mensagem convincente como "Este é o consultório do Dr. X" ou "Você tem direito a um reembolso do plano de saúde". A orientação da CNIL é: não abra anexos, não responda, não clique em links e digite você mesmo o endereço oficial do site. Como identificar essas mensagens está explicado em O que é phishing?.

Como uma pequena parcela dos pacientes tinha anotações sensíveis no campo de texto livre, não se pode descartar uma mensagem que demonstre conhecer sua saúde ou sua vida privada e pressione para pagar ou agir.

Não responda nem pague, guarde capturas de tela e e-mails como prova e, como orienta a CNIL, registre queixa (plainte) na polícia ou na gendarmerie. Você não fez nada de errado.

Se você suspeita de roubo de identidade (usurpation d'identité), a CNIL recomenda:

• consultar o cybermalveillance.gouv.fr para orientações
• registrar queixa na polícia ou na gendarmerie o quanto antes
• avisar seu(s) banco(s)
• verificar se foram abertas contas em seu nome, por exemplo pelo FICOBA (via impots.gouv.fr)

Com base no direito de acesso previsto no RGPD (droit d'accès), você pode perguntar ao consultório quais informações ele mantém sobre você. Segundo a CNIL, a organização deve responder em no máximo um mês (prazo que pode ser prorrogado em casos complexos). Saber o que o campo de texto livre diz sobre você também ajuda a avaliar qualquer mensagem que depois afirme conhecer essas informações.

A Cegedim diz que ajudou os médicos afetados, como controladores de dados nos termos do RGPD, a notificar a CNIL e a informar seus pacientes. Segundo a CNIL, o controlador deve notificá-la em até 72 horas após tomar conhecimento de uma violação e, quando o risco for alto, informar as pessoas afetadas.

O operador (o fornecedor do software) deve alertar o controlador imediatamente ao descobrir uma violação. Verifique seu contrato: em quantas horas, e por qual contato, o fornecedor vai avisá-lo?

Qualquer informação sobre a saúde ou a vida privada do paciente pertence à parte adequada do prontuário médico, não ao comentário administrativo. Escreva uma regra de uma página sobre o que pode e o que não pode entrar nos campos de comentário, e compartilhe-a com a recepção e com médicos substitutos.

Você pode começar relendo os campos de comentário de algumas dezenas dos seus próprios pacientes para ver o que já está lá.

Como as contas passaram a ser usadas não foi publicado, mas o impacto atingiu contas individuais de médicos.

• Não compartilhe um mesmo login entre recepção e médicos
• Ative a autenticação multifator para todos, se o software oferecer
• Desative a conta de quem saiu no mesmo dia

Para escolher um método, veja Como escolher a autenticação multifator.

O que a Cegedim detectou foi comportamento anormal de solicitações nas contas dos médicos. Um consultório pequeno não consegue manter monitoramento próprio, então faça ao fornecedor três perguntas:

1. Há um alerta quando uma conta abre muito mais prontuários de pacientes do que o normal?
2. O consultório é avisado quando o alerta dispara?
3. O consultório pode ver o histórico de acesso da própria conta?

Por exemplo, um médico que atende algumas dezenas de pacientes por dia nunca deveria ter uma conta lendo milhares de registros. Um limite definido em um volume que nenhuma consulta humana poderia produzir é uma primeira regra realista.

Além de notificar a CNIL, organizações de saúde podem recorrer ao CERT Santé, a equipe de resposta a incidentes de segurança do setor de saúde (portal de notificação: signalement.social-sante.gouv.fr). Uma página única dizendo quem reporta o quê, onde e em quantas horas evita hesitação quando o fornecedor ligar.