A 2ª Turma Criminal do Tribunal de Justiça do Distrito Federal e dos Territórios (TJDFT) manteve a condenação de dois homens que invadiram o sistema do Hospital Santa Marta, em Taguatinga, e exigiram 43 bitcoins para não divulgar dados de pacientes. A decisão, unânime, foi divulgada pelo tribunal nesta quarta-feira (16).
As penas confirmadas são de oito anos e quatro meses e de nove anos e quatro meses de reclusão, em regime inicial fechado. O colegiado negou tanto os recursos das defesas quanto o do Ministério Público, que pedia penas maiores.
Os dois foram condenados por invasão de dispositivo informático, extorsão e atentado contra a segurança de serviço de utilidade pública. Um deles responde ainda por armazenamento de material pornográfico envolvendo criança ou adolescente, condenação também mantida.
Do banco de dados ao pedido de resgate
Segundo a denúncia, a dupla acessou sem autorização um banco de dados secundário do hospital e obteve documentos e informações de pacientes. Na sequência, passou a exigir o pagamento em criptomoeda sob ameaça de publicar o material.
A acusação descreveu ainda uma segunda frente do ataque: os réus tentaram convencer funcionários da instituição a fornecer senhas de acesso que permitiriam instalar um ransomware, tipo de programa que criptografa arquivos e pode paralisar sistemas inteiros. No caso de um hospital, o alvo inclui prontuário, agendamento e exames.
As teses que a Turma rejeitou
As defesas alegaram insuficiência de provas sobre a autoria, ausência de perícia conclusiva quanto à invasão e o fato de o programa malicioso nunca ter sido executado, o que afastaria o crime contra serviço de utilidade pública. Um dos réus sustentou coação moral irresistível, sob a alegação de que colaborou com o grupo por ameaça de exposição de conteúdo íntimo. Os desembargadores consideraram as teses não comprovadas e contrárias ao conjunto de provas.
Sobre a invasão, o colegiado registrou que a lei não exige a superação de mecanismo de segurança para configurar o crime: basta o acesso não autorizado com finalidade ilícita. Sobre a extorsão, entendeu que a exibição de dados reais de pacientes deu credibilidade à ameaça, independentemente de a dupla ter ou não capacidade técnica de executar o ransomware.
“A ameaça de divulgação dos dados efetivamente obtidos e de comprometimento dos sistemas hospitalares foi séria e objetivamente idônea para configurar a extorsão”, diz o acórdão.
A Turma também reconheceu a autonomia entre os três crimes e afastou a possibilidade de um absorver o outro, o que manteve a soma das penas. O pedido do Ministério Público para aumentar as penas-base de todos os delitos foi rejeitado.
O que o caso mostra sobre dados de paciente
O julgamento fixa alguns pontos práticos para quem opera sistemas de saúde no DF:
- Base secundária também guarda dado sensível e responde pelo mesmo nível de proteção
- A ameaça de vazamento basta para configurar extorsão, mesmo sem o ataque ter sido concluído
- A tentativa de obter senha com funcionário, chamada de engenharia social, foi tratada como parte da execução do crime
- Dado de saúde tem proteção reforçada na Lei Geral de Proteção de Dados, que o classifica como dado pessoal sensível
O processo tramita sob o número 0717957-14.2022.8.07.0007. Contra decisão de segunda instância cabem recursos aos tribunais superiores, restritos a questões de direito, sem reexame de provas. O hospital não divulgou manifestação sobre o julgamento.
Leia também: Golpe do videogame: TJDFT mantém condenação de quatro por extorsão.
