Incidente de dados · LGPD
Vazou. E agora?
HD roubado, WhatsApp da clínica clonado, laudo enviado pro paciente errado. A LGPD dá um prazo curto pra agir: 3 dias úteis.
Sexta-feira à noite, alguém arromba a clínica e leva o computador da recepção — com a ficha de 2.000 pacientes dentro. Ou a secretária envia a tomografia de um paciente para o e-mail de outro com nome parecido. Ou o WhatsApp da clínica é clonado e o golpista vê todo o histórico de laudos. Os três são incidentes de dados — e os três disparam o mesmo relógio no momento em que você descobre.
A comunicação preliminar à ANPD tem prazo de 3 dias úteis e não exige todos os detalhes. A complementar, em até 20 dias úteis, traz a causa raiz e as correções. A regra está na Resolução CD/ANPD nº 2/2022.
Notificar ou não? Os cenários da clínica
A obrigação se aplica quando há risco relevante ao paciente. Para dados de saúde, o limiar é quase sempre atingido:
| Cenário | Notificar a ANPD? |
|---|---|
| HD com prontuários roubado | Sim — 3 dias úteis |
| Laudo enviado ao paciente errado | Sim — risco relevante |
| WhatsApp da clínica clonado | Sim — histórico exposto |
| E-mail interno digitado errado, sem dado de saúde | Avalie e documente |
Na dúvida, documente a avaliação de risco — ela é a sua justificativa diante da ANPD.
Passo a passo de um caso real
Segunda de manhã, a clínica descobre que o computador da recepção foi levado. Dia 0. Conter: registra o B.O., troca as senhas de todos os sistemas que estavam logados, verifica se havia backup. Avaliar: eram 2.000 fichas, com nome, CPF e histórico — dado de saúde, sem criptografia. Risco relevante, sem dúvida. Notificar: até o 3º dia útil, comunica a ANPD pelo gov.br com o que já sabe; nos 20 dias seguintes, complementa com a causa e as correções. Em paralelo, avisa os 2.000 pacientes por e-mail e SMS. Doloroso, mas é exatamente o roteiro que evita a sanção agravada.
O plano de resposta em 3 passos
- Conter. Isole o sistema, troque senhas, registre o B.O. se houve roubo. Se um e-mail foi para o destinatário errado, contate-o e peça a exclusão.
- Avaliar. Quais dados, quantos pacientes, qual a natureza. Documente desde o minuto zero — data, hora, quem descobriu, como.
- Notificar. Havendo risco relevante, comunique a ANPD em 3 dias úteis e os pacientes, com linguagem clara e sem jargão.
Prevenir é muito mais barato que notificar
A maioria dos incidentes em clínica nasce de coisas simples — e evitáveis:
- Criptografia e senha em todo dispositivo com prontuário.
- Backup diário em nuvem, com teste de restauração de vez em quando.
- Dois fatores no e-mail e no sistema de prontuário.
- Nada de dado clínico no WhatsApp pessoal — só em canais com controle de acesso.
- Revisar acessos quando alguém sai da equipe.
Não notificar é infração autônoma — e elimina o atenuante da cooperação espontânea. A clínica que omite leva sanção mais pesada do que a que avisou.
Perguntas rápidas
Qual o prazo para notificar a ANPD?
3 dias úteis para a comunicação preliminar e 20 dias úteis para a complementar, contados do conhecimento do incidente.
HD com prontuários roubado conta?
Sim. É incidente com risco relevante. Registre o B.O., notifique a ANPD em até 3 dias úteis e avise os pacientes.
E se eu não tiver todos os detalhes em 3 dias?
A ANPD prefere comunicação incompleta no prazo a completa fora do prazo. Envie o que tiver e complemente depois.
Esteja pronto antes do incidente
Registre suas medidas de segurança e tenha o dossiê pronto pra apresentar à ANPD.
Começar grátis Planos a partir de R$ 99,90/mês