Privacy Commissioner da Nova Zelândia ordena que o portal de pacientes Manage My Health e a Health NZ corrijam falhas de segurança
Em 23 de setembro de 2026, o Privacy Commissioner da Nova Zelândia anunciou notificações de conformidade que obrigam a Health NZ e o portal de pacientes Manage My Health a corrigir falhas de segurança que ele constatou na época do incidente cibernético sofrido pela Manage My Health no final de dezembro de 2025. A Health NZ deve fazer suas alterações até 29 de janeiro de 2027, e a Manage My Health deve concluir tudo até 31 de agosto de 2027.
As notificações seguem o Relatório da Fase 1 do Commissioner, de maio de 2026. Ele identificou sete áreas em que as proteções de segurança eram ineficazes, e a Manage My Health já melhorou três delas: a eficácia dos controles de autenticação multifator (MFA), a restrição do acesso dos usuários às informações e o controle de acessos externos não autorizados. A notificação da Health NZ trata da regra 5(1)(b), que exige que o órgão faça tudo o que estiver razoavelmente ao seu alcance para impedir uso ou divulgação não autorizados antes de entregar informações de saúde a um prestador de serviços.
Equipes de privacidade de organizações de saúde que repassam informações de pacientes a prestadores devem verificar e documentar o que fazem para impedir o uso indevido desses dados antes que o prestador os receba.
O Commissioner afirmou que informações de saúde são, por natureza, dados pessoais sensíveis, e que a violação afetou muitas pessoas, whānau e comunidades.
Notificações de Conformidade do OPC sob o Health Information Privacy Code
- Quem isso vincula
- A Health NZ e a Manage My Health, na Nova Zelândia, devem implementar alterações obrigatórias de segurança sob o Health Information Privacy Code.
- O que mudou
- O Commissioner passou das constatações a notificações de conformidade vinculantes, e as duas organizações agora têm prazos fixos para cumprir a regra de segurança do Código.
- O que verificar
- Equipes de privacidade que apoiam um portal de pacientes ou plataforma semelhante devem testar primeiro as mesmas três áreas: MFA, limites ao acesso de usuários e controles de acesso externo.
- O que isso não significa
- Esta medida fiscalizatória não altera as regras legais que regem a divulgação de dados de saúde fora das relações com prestadores de serviços.
Envie isto para sua equipe
O Commissioner destacou os Māori de Northland, onde vivem 90% dos pacientes afetados que tiveram seus dados roubados.