Diante de um vazamento de dados de pacientes, a clínica precisa conter o incidente, avaliar o risco e, se ele puder causar dano relevante, comunicar a ANPD e os pacientes afetados em 3 dias úteis a partir do momento em que soube que dados pessoais foram atingidos. A regra está no art. 48 da LGPD e na Resolução CD/ANPD nº 15/2024. Como dados de saúde são sensíveis, um vazamento em clínica raramente fica fora dessa obrigação.
O incidente pode ter muitas formas: um notebook furtado com a agenda, um e-mail com exames enviado ao paciente errado, um sistema de prontuário invadido, uma planilha compartilhada por engano em um grupo de mensagens. Nos primeiros dias, a reação costuma ser de pânico ou de silêncio, e as duas atrapalham. Este texto explica o que a lei exige, em que ordem agir e quais erros aumentam o problema.
O que conta como vazamento de dados de pacientes?
Vazamento é um tipo de incidente de segurança: qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. Não é preciso haver um ataque hacker. Um documento entregue à pessoa errada, um acesso indevido de um funcionário curioso ou um backup perdido também contam.
A LGPD obriga o controlador, que no consultório é o médico ou a clínica que decide como os dados são tratados, a adotar medidas de segurança para proteger os dados (art. 46). Quando o incidente acontece no sistema de um fornecedor, como o software de prontuário ou de agendamento, o fornecedor atua como operador, mas a comunicação à ANPD continua sendo dever do controlador. Por isso, os contratos com fornecedores devem prever que eles avisem a clínica de qualquer incidente sem demora.
Quando é obrigatório comunicar à ANPD e aos pacientes?
A comunicação é obrigatória quando o incidente pode acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 (art. 5º) considera relevante o incidente que possa afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolva pelo menos um destes critérios: dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação, dados protegidos por sigilo profissional ou dados em larga escala.
Dados de saúde são sensíveis pela LGPD e, no consultório, também estão cobertos pelo sigilo médico. Na prática, um vazamento de prontuários, exames ou diagnósticos tende a preencher os critérios da resolução. A análise ainda depende de saber se o incidente pode afetar significativamente os pacientes, por exemplo expondo diagnósticos, permitindo fraudes ou causando discriminação. Essa avaliação deve ser registrada por escrito, mesmo quando a conclusão for de que não é preciso comunicar.
| Exigência | Regra | Norma |
|---|---|---|
| Prazo para comunicar a ANPD | 3 dias úteis do conhecimento de que dados pessoais foram afetados | Res. 15/2024, art. 6º |
| Prazo para comunicar os pacientes | 3 dias úteis, em linguagem simples e de forma individual, quando possível | Res. 15/2024, art. 9º |
| Complementar informações | Até 20 dias úteis da comunicação | Res. 15/2024, art. 6º, § 3º |
| Registro do incidente | Guardar por no mínimo 5 anos, mesmo se não comunicado | Res. 15/2024, art. 10 |
| Agente de pequeno porte | Prazo em dobro, salvo risco à integridade física ou moral dos titulares | Res. 2/2022, art. 14, II |
A comunicação à ANPD é feita por formulário eletrônico disponibilizado pela própria autoridade. Se você precisa de apoio para avaliar o incidente e redigir as comunicações dentro do prazo, pode buscar advogados especializados em LGPD e compliance em saúde.
O que fazer nos primeiros dias?
O prazo é curto, então a ordem das ações importa. Um roteiro prático:
- Contenha o incidente: bloqueie acessos, troque senhas, desconecte o equipamento afetado, peça a retirada do conteúdo exposto.
- Registre a data e a hora em que a clínica soube do incidente, porque é daí que o prazo conta.
- Levante os fatos: quais dados, de quantos pacientes, desde quando e por qual falha.
- Avalie o risco com base nos critérios da resolução e documente a conclusão.
- Comunique a ANPD e os pacientes no prazo, se o risco for relevante, e complemente as informações depois, se necessário.
- Corrija a causa e revise contratos, acessos e treinamentos.
A comunicação aos pacientes deve dizer, em linguagem simples, o que aconteceu, quais dados foram afetados, quais riscos existem, o que a clínica está fazendo e como obter mais informações (art. 9º). Ela deve ser direta e individual, por telefone, e-mail, mensagem ou carta, sempre que for possível identificar os afetados.
Imagine que...
Imagine que a recepcionista da sua clínica envia, por engano, uma planilha com nome, telefone e motivo da consulta de 300 pacientes para um grupo de mensagens de fornecedores. Ela percebe o erro em uma hora e apaga a mensagem, mas alguns participantes já tinham baixado o arquivo.
Você registra o horário em que soube do incidente, pede por escrito aos participantes do grupo que apaguem o arquivo e confirmem a exclusão, e levanta quais dados estavam na planilha. Como ela revela motivos de consulta, que são dados de saúde cobertos pelo sigilo, a avaliação conclui que há risco relevante. Em três dias úteis, a clínica comunica a ANPD pelo formulário e envia aos pacientes uma mensagem individual explicando o ocorrido e o contato para dúvidas. Depois, restringe o acesso a planilhas, cria um procedimento para envio de arquivos e treina a equipe. Todo o processo fica documentado no registro de incidentes.
Quais são as consequências de um vazamento?
As consequências podem vir de várias frentes ao mesmo tempo. A ANPD pode aplicar sanções que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados (art. 52 da LGPD). Os pacientes podem pedir indenização na Justiça. E, como os dados estão cobertos pelo sigilo profissional, o caso pode gerar apuração ética no CRM, já que o Código de Ética Médica proíbe revelar fato conhecido em razão da profissão (art. 73) e obriga o médico a orientar a equipe a respeitar o sigilo (art. 78).
A forma como a clínica reage pesa em todas essas frentes. A LGPD manda considerar, na avaliação da gravidade, se havia medidas técnicas que tornavam os dados ininteligíveis, como criptografia (art. 48, § 3º). Comunicar no prazo, conter rápido e corrigir a causa mostra boa-fé; esconder o incidente costuma agravar a situação quando ele vem à tona. Se o caso já gerou reclamação de paciente ou notificação, vale encontrar um advogado de direito médico para conduzir as respostas de forma coordenada.
Erros comuns
O erro mais frequente é demorar para agir enquanto se tenta descobrir "tudo" sobre o incidente, perdendo o prazo de três dias úteis. A comunicação pode ser feita com as informações disponíveis e complementada depois. Outro erro é concluir, sem análise, que não é preciso comunicar, e não registrar essa decisão. Também é comum culpar o fornecedor e esperar que ele resolva, esquecendo que a obrigação de comunicar é da clínica. Por fim, muitas clínicas não têm contrato com o fornecedor de sistema prevendo aviso imediato de incidentes, o que atrasa tudo. Veja o guia sobre LGPD para médicos e clínicas.