CLINITRAQuando ocorre um incidente de dados na clínica, o profissional de saúde tem um prazo muito curto para agir: para incidentes com risco relevante aos titulares, a regulamentação da ANPD estabelece comunicação em até 72 horas. Nem todo incidente precisa ser notificado, mas todos precisam ser avaliados. Entender o que fazer nas primeiras horas evita que um problema técnico vire um problema legal.
O que conta como incidente de dados
Um incidente de dados é qualquer evento que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais dos seus pacientes. Na prática, isso inclui situações bem diferentes entre si:
Acesso não autorizado: alguém que não deveria acessou os dados dos pacientes. Pode ser um ex-funcionário que ainda tinha acesso ao sistema, um familiar que viu o prontuário de outra pessoa ou um invasor externo.
Perda de dados: notebook roubado com informações de pacientes, arquivo deletado sem backup, HD corrompido com prontuários.
Vazamento acidental: envio de dados de um paciente para o e-mail errado, compartilhamento de arquivo com destinatário incorreto, arquivo de dados exposto publicamente por configuração errada de permissão.
Ataque de ransomware: sistema invadido e dados criptografados pelos atacantes, geralmente com pedido de resgate.
Exposição por sistema terceiro: o sistema de gestão que você usa sofreu uma violação e os dados dos seus pacientes foram expostos. Nesse caso, a responsabilidade de notificação é compartilhada entre o sistema e o profissional.
Nem todo incidente precisa ser notificado: como avaliar
Antes de sair notificando, é preciso avaliar o risco real do incidente. A obrigação de notificar a ANPD e os pacientes existe quando o incidente "pode acarretar risco ou dano relevante aos titulares" (LGPD Art. 48).
Os fatores que aumentam o risco:
Tipo de dado exposto: dados de saúde são sempre considerados sensíveis. Um incidente que expõe prontuários psicológicos, registros de fisioterapia ou qualquer informação clínica tem risco elevado por definição.
Quantidade de pacientes afetados: 1 paciente exposto é diferente de 500.
Se os dados estavam criptografados: dados criptografados com padrão forte (AES-256, por exemplo) expostos a um invasor são praticamente inúteis sem a chave. A criptografia não elimina a obrigação de avaliar, mas pode reduzir o nível de risco.
Probabilidade de uso malicioso: os dados foram acessados por alguém com intenção clara de usá-los, ou foi um acidente sem exposição a terceiros?
Se o incidente envolve dados de saúde de pacientes e há dúvida sobre o risco, o caminho mais seguro é notificar.
O que fazer nas primeiras 72 horas
O tempo importa. Quanto mais rápido você agir nas primeiras horas, maior a chance de conter o problema antes que ele se agrave.
1. Conter o incidente (primeiras horas)
O primeiro passo é parar o vazamento ou o acesso não autorizado. Dependendo do que aconteceu, isso pode significar:
Trocar senhas imediatamente
Revogar acessos de pessoas não autorizadas
Desconectar o sistema da internet temporariamente
Contatar o suporte do sistema de gestão
2. Documentar o que aconteceu
Anote tudo antes que os detalhes sumam: quando você descobriu, o que estava exposto, quais dados, quantos pacientes, qual foi a causa provável. Esse registro é necessário tanto para a notificação quanto para a sua própria análise.
3. Avaliar o risco
Com as informações coletadas, avalie se o incidente se enquadra na obrigação de notificação: dados de saúde foram expostos? Quantos pacientes? Os dados estavam criptografados? Existe risco real de dano?
4. Notificar a ANPD se necessário
Para incidentes com risco relevante, a comunicação à ANPD deve acontecer o mais rápido possível, dentro das 72 horas a partir da descoberta. Se a investigação ainda está em andamento, é possível fazer uma notificação preliminar e complementar com mais informações depois.
5. Comunicar os pacientes afetados
Se há risco real para os titulares, os pacientes precisam ser informados. A comunicação deve ser clara, direta e sem minimizar o problema.
6. Preservar evidências
Não apague logs, arquivos de sistema ou qualquer registro do que aconteceu. Essas evidências podem ser necessárias em investigação posterior.
Como notificar a ANPD
A notificação é feita pelo portal da ANPD em gov.br/anpd. O formulário pede:
Data e hora da descoberta do incidente
Tipo de dado afetado (dados de saúde, dados de contato, financeiros)
Número aproximado de titulares afetados
Descrição do que aconteceu
Medidas tomadas para conter o incidente
Contato do responsável pelo tratamento
Se a investigação ainda está em andamento quando você notifica, informe isso. A ANPD aceita notificações preliminares com complementação posterior.
O que comunicar aos pacientes
A comunicação com os pacientes precisa ser clara e útil, não tranquilizadora a ponto de ser vaga. Inclua:
O que aconteceu, em linguagem simples
Quais dados foram afetados
O que você já fez para resolver
O que o paciente pode fazer para se proteger (trocar senha se for o caso, ficar atento a usos indevidos dos dados)
Canal de contato para dúvidas
Evite linguagem excessivamente técnica ou jurídica. O paciente precisa entender o que aconteceu com os dados dele.
Como evitar que aconteça de novo
Depois que o incidente estiver resolvido, a análise de causa raiz é o passo mais importante. Algumas perguntas para guiar:
O incidente teria acontecido se os dados estivessem criptografados por campo?
Havia acessos desnecessários de pessoas sem necessidade de ver os dados?
Existia autenticação de dois fatores no sistema?
Os backups estavam funcionando e foram testados?
O sistema de gestão tem trilha de auditoria que registra quem acessou o quê?
A maioria dos incidentes em consultórios e clínicas pequenas tem causas evitáveis: senha fraca, acesso compartilhado, sistema sem criptografia adequada, backup inexistente.
Checklist: resposta a incidente de dados
Incidente contido: acessos revogados, senhas trocadas, sistema isolado se necessário
Documentação feita: o quê, quando, quais dados, quantos pacientes, causa provável
Avaliação de risco concluída: dados de saúde expostos? Criptografia presente? Risco real?
Notificação à ANPD enviada dentro de 72 horas (se risco relevante)
Pacientes afetados comunicados de forma clara e útil
Evidências preservadas: logs, registros, capturas de tela
Análise de causa raiz realizada
Medidas preventivas implementadas para evitar recorrência
Perguntas frequentes
Preciso notificar a ANPD para qualquer incidente? Não. A obrigação existe quando o incidente pode causar risco ou dano relevante aos titulares. Um arquivo enviado para o e-mail errado mas recuperado imediatamente, sem possibilidade de uso pelo destinatário, tem risco muito menor do que um banco de dados com prontuários acessado por invasor externo.
E se o sistema de gestão que uso for invadido? Você continua sendo responsável pelos dados dos seus pacientes como controlador de dados. Entre em contato imediatamente com o fornecedor para entender o escopo do incidente, e tome as medidas de notificação necessárias em paralelo.
O que acontece se eu não notificar dentro do prazo? Notificação tardia sem justificativa pode ser considerada infração à LGPD e resultar em advertência ou multa pela ANPD. A boa-fé e as medidas tomadas para conter o incidente são consideradas no processo.
Preciso de advogado para notificar a ANPD? Não é obrigatório. O formulário da ANPD foi desenhado para ser preenchido pelo próprio responsável pelo tratamento. Para incidentes mais complexos ou com grande número de afetados, apoio jurídico é recomendável.
Dados criptografados expostos precisam ser notificados? Depende do nível de criptografia e do contexto. Dados com criptografia forte (AES-256 por campo, com chave gerenciada separadamente) expostos a um invasor têm risco muito reduzido porque são ilegíveis sem a chave. Mesmo assim, avalie e documente a justificativa.
Um dos maiores fatores de proteção contra incidentes graves é a criptografia por campo dos dados dos pacientes: mesmo que o banco de dados seja acessado indevidamente, os prontuários são ilegíveis sem a chave. O Clinitra implementa AES-256-GCM por campo, com trilha de auditoria de todos os acessos e autenticação de dois fatores para operações críticas, em todos os planos. Conheça em clinitra.com.br.