Vazamento de dados de pacientes: o que a clínica deve fazer em três dias úteis (LGPD art. 48, Resolução CD/ANPD 15/2024)

A recepção não abre a agenda, o sistema de prontuário responde com erro e alguém percebe que os arquivos foram copiados. Nas horas seguintes a clínica tem duas preocupações que correm juntas: recuperar a operação e cumprir prazos legais que já começaram a contar. O segundo ponto costuma ser o esquecido, e é o que gera sanção.

Vazamento de dados de pacientes não é apenas um problema de tecnologia. Para a Lei Geral de Proteção de Dados, a clínica ou o hospital é o controlador dos dados, e sobre o controlador recaem deveres com prazo curto, forma definida e registro obrigatório. Este artigo explica o que a lei exige, em que ordem, e o que reduz a exposição da instituição.

Por que quase todo vazamento em clínica entra na regra de comunicação obrigatória

A LGPD não manda comunicar todo incidente. O art. 48 exige a comunicação quando o incidente puder acarretar risco ou dano relevante aos titulares. O que define esse conceito é o Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024.

Pelo art. 5º do Regulamento, há risco ou dano relevante quando o incidente puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver ao menos um destes critérios:

1. dados pessoais sensíveis;
2. dados de crianças, de adolescentes ou de idosos;
3. dados financeiros;
4. dados de autenticação em sistemas;
5. dados protegidos por sigilo legal, judicial ou profissional;
6. dados em larga escala.

Aqui está o ponto que a maioria das clínicas não percebe. O art. 5º, II, da LGPD classifica o dado referente à saúde como dado pessoal sensível. E o prontuário é dado protegido por sigilo profissional. Uma base de pacientes atinge dois critérios da lista ao mesmo tempo, e normalmente também o de larga escala.

Na prática, o vazamento de base de pacientes raramente é daqueles casos em que a instituição pode concluir que não havia dever de comunicar. Partir do pressuposto contrário, e depois ter que justificar o silêncio à ANPD, é a posição mais frágil possível.

O prazo é de três dias úteis, e ele conta do conhecimento

O art. 6º do Regulamento fixa o prazo de três dias úteis para a comunicação à ANPD. O § 1º esclarece de quando esse prazo corre: do conhecimento, pelo controlador, de que o incidente afetou dados pessoais.

Essa redação tem duas consequências práticas.

A primeira é que o relógio não espera o laudo da perícia digital nem o fim da investigação interna. Ele começa quando a clínica sabe que dados pessoais foram afetados, ainda que não saiba quantos nem quais.

A segunda é que a comunicação incompleta é prevista pela própria norma. O § 3º do art. 6º permite complementar as informações, de maneira fundamentada, em até vinte dias úteis contados da comunicação. Ou seja, a norma prefere a comunicação tempestiva e imperfeita à comunicação tardia e completa.

Um detalhe relevante para clínicas menores: o § 8º do art. 6º determina que os prazos contam em dobro para os agentes de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Verificar o enquadramento antes é útil, mas contar com ele sem conferir é arriscado.

O que a comunicação à ANPD precisa conter

O § 2º do art. 6º lista doze informações. Entre elas, a descrição da natureza e da categoria de dados afetados, o número de titulares atingidos, as medidas técnicas e de segurança adotadas antes e depois do incidente, os riscos e possíveis impactos, a data da ocorrência e a do conhecimento, os dados do encarregado, a identificação do operador quando aplicável e a descrição do incidente com a causa principal, quando for possível identificá-la.

Dois pontos merecem atenção da direção da clínica.

O primeiro é que a comunicação é feita por formulário eletrônico da ANPD (§ 4º) e deve ser apresentada pelo encarregado, acompanhada de documento que comprove o vínculo, ou por representante constituído com poderes de representação (§ 5º). Instituição que nunca indicou encarregado, obrigação prevista no art. 41 da LGPD, chega nesse momento sem quem assine.

O segundo é que a norma pede as medidas de segurança adotadas antes do incidente. Essa pergunta transforma a comunicação em um retrato do nível de governança da clínica. É por isso que o trabalho preventivo tem valor concreto: ele é justamente o que a instituição terá para mostrar no pior dia.

O paciente também precisa ser avisado

O art. 9º do Regulamento trata da comunicação ao titular, com o mesmo prazo de três dias úteis contados do conhecimento. O conteúdo mínimo inclui a natureza e a categoria dos dados afetados, as medidas de segurança utilizadas, os riscos e possíveis impactos, a data do conhecimento e um contato para informações.

A norma exige linguagem simples e comunicação direta e individualizada quando for possível identificar os pacientes (§ 1º), por telefone, e-mail, mensagem ou carta (§ 2º). Se a comunicação individualizada for inviável, ou se os titulares não puderem ser identificados, a clínica deve divulgar o incidente por seus canais, como site e redes sociais, mantendo o aviso visível por no mínimo três meses (§ 3º).

Há ainda uma exigência que passa despercebida: o § 4º manda juntar ao processo uma declaração de que a comunicação aos pacientes foi feita, com os meios utilizados, em até três dias úteis contados do término do prazo anterior.

Vale registrar o § 5º do art. 9º. Incluir, no aviso ao paciente, recomendações capazes de reverter ou mitigar os efeitos do incidente pode ser considerado boa prática para fins do art. 52, § 1º, IX, da LGPD. É um dos poucos pontos em que a norma diz, com todas as letras, o que joga a favor da instituição na dosimetria da sanção.

O registro do incidente vale mesmo quando não há comunicação

O art. 10 do Regulamento é o mais esquecido e o mais barato de cumprir. O controlador deve manter o registro do incidente de segurança, inclusive daquele que não foi comunicado à ANPD e aos titulares, pelo prazo mínimo de cinco anos.

O registro deve conter, no mínimo, a data de conhecimento, a descrição geral das circunstâncias, a natureza e a categoria dos dados, o número de titulares afetados, a avaliação do risco e dos possíveis danos, as medidas de correção e mitigação, a forma e o conteúdo da comunicação quando houver, e os motivos da ausência de comunicação quando for o caso.

Repare no último item. Se a clínica decidiu não comunicar, a decisão precisa estar escrita e fundamentada no registro. A ausência de comunicação não documentada é o que abre caminho para o procedimento de apuração previsto no art. 3º, XVI, do Regulamento, instaurado justamente para apurar incidente que não foi comunicado.

Além disso, o art. 8º autoriza a ANPD a pedir, a qualquer tempo, informações adicionais, incluindo o registro das operações de tratamento, o relatório de impacto à proteção de dados pessoais e o relatório de tratamento do incidente.

Quem responde quando o sistema é de um fornecedor

Esta é a dúvida mais frequente da direção clínica: se o software de prontuário é de terceiro, e foi ele que sofreu o ataque, a responsabilidade não seria dele?

A resposta exige separar dois papéis. A clínica que define por que e como os dados dos seus pacientes são tratados é controladora. A empresa que trata os dados por conta da clínica é operadora. O dever de comunicar previsto no art. 48 da LGPD e no art. 4º do Regulamento é do controlador, e não se transfere por contrato.

Quanto à reparação, o art. 42, § 1º, I, da LGPD prevê que o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação de proteção de dados ou quando não seguir as instruções lícitas do controlador, hipótese em que se equipara ao controlador. O inciso II estende a solidariedade aos controladores diretamente envolvidos no tratamento do qual decorreram os danos.

Dois complementos importam à instituição. O § 2º do art. 42 permite ao juiz inverter o ônus da prova em favor do paciente quando a alegação for verossímil ou houver hipossuficiência probatória. E o § 4º assegura a quem reparou o dano o direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.

Traduzindo para a operação: a clínica comunica, responde e depois cobra do fornecedor. Um contrato que não trate de responsabilidade, cooperação em incidente, prazos de notificação do fornecedor à clínica e direito de auditoria transforma esse regresso em uma segunda disputa, do zero.

O sigilo médico corre por fora, e não foi revogado pela LGPD

A instituição que só olha para a ANPD esquece a metade da exposição. As normas do Conselho Federal de Medicina continuam valendo e têm outra lógica de responsabilização, que é pessoal.

O Código de Ética Médica, aprovado pela Resolução CFM nº 2.217/2018, veda ao médico, no art. 73, revelar fato de que tenha conhecimento em virtude do exercício da profissão, salvo por motivo justo, dever legal ou consentimento por escrito do paciente. O art. 85 veda permitir o manuseio e o conhecimento dos prontuários por pessoas não obrigadas ao sigilo profissional quando sob sua responsabilidade.

O art. 87, § 2º, é direto sobre a custódia: o prontuário estará sob a guarda do médico ou da instituição que assiste o paciente. E o art. 89 veda ao médico liberar cópias do prontuário que estejam sob sua custódia, exceto para atender ordem judicial, para a própria defesa do médico ou quando autorizado por escrito pelo paciente.

Some a isso a Resolução CFM nº 1.821/2007, que estabelece o prazo mínimo de vinte anos, a partir do último registro, para a preservação dos prontuários em papel não digitalizados, e condiciona o uso de sistemas informatizados ao atendimento do Nível de Garantia de Segurança 2 (NGS2), conforme o Manual de Certificação para Sistemas de Registro Eletrônico em Saúde da SBIS e do CFM.

O efeito prático é este: um mesmo vazamento pode gerar, ao mesmo tempo, processo sancionador na ANPD contra a pessoa jurídica, ação indenizatória individual ou coletiva, e representação no CRM contra o médico responsável. São três frentes, com três teses diferentes, e a defesa de uma pode enfraquecer a outra se não houver coordenação.

Quanto pode custar

O art. 52, II, da LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 por infração. O art. 52 também prevê advertência, multa diária, publicização da infração, bloqueio e eliminação dos dados, além de suspensão parcial do funcionamento do banco de dados e da atividade de tratamento, por até seis meses, prorrogáveis.

O § 1º do art. 52 lista os critérios de dosimetria. Entre eles estão a boa-fé do infrator, a cooperação, a adoção reiterada e demonstrada de mecanismos internos capazes de minimizar o dano, a adoção de política de boas práticas e governança e a pronta adoção de medidas corretivas.

Esses critérios explicam por que duas clínicas com o mesmo vazamento podem terminar em lugares muito diferentes. A que comunicou no prazo, documentou o incidente, tinha encarregado indicado e conseguiu mostrar governança anterior discute dosimetria. A que só reagiu depois da notícia discute a própria omissão.

O que a clínica faz nas primeiras horas

Uma sequência que organiza a resposta sem atropelar prazo:

1. Conter e preservar. Isolar o ambiente afetado e preservar evidências e logs. Registrar data e hora do conhecimento, porque é esse marco que faz o prazo correr.
2. Acionar o encarregado. Se não houver encarregado indicado, essa é a primeira lacuna a fechar, na forma do art. 41 da LGPD.
3. Classificar os dados afetados. Natureza (gerais ou sensíveis), categoria e volume, com atenção a dados de crianças, adolescentes e idosos, que são critério autônomo.
4. Decidir sobre a comunicação e escrever a fundamentação. Comunicando ou não, a decisão vai para o registro do art. 10.
5. Comunicar à ANPD pelo formulário eletrônico, dentro dos três dias úteis, ainda que com informação parcial, usando a complementação de vinte dias úteis para o resto.
6. Comunicar os pacientes em linguagem simples, de forma individualizada quando possível, com recomendações de mitigação.
7. Juntar a declaração de que a comunicação aos titulares foi feita, com os meios utilizados.
8. Revisar contratos com fornecedores de sistema, hospedagem e faturamento, e avaliar o regresso.
9. Fechar o ciclo com plano de correção documentado, porque ele é a prova de pronta adoção de medidas corretivas.

Como o escritório atua

O Dr. Alessandro Caldonazo e sua equipe técnica especializada atuam na defesa de médicos, dentistas, clínicas e hospitais. Em incidentes de segurança com dados de pacientes, o trabalho tem duas frentes.

A primeira é preventiva e vale mais do que a segunda. Envolve o mapeamento das bases de dados da instituição, a indicação e o preparo do encarregado, a revisão dos contratos com fornecedores de prontuário eletrônico e faturamento, a política de retenção compatível com o prazo do CFM e a construção do plano de resposta a incidente, para que a clínica não descubra o procedimento no dia em que precisar dele. Esse trabalho está descrito na página de segurança jurídica para clínicas de saúde, e a base do tema, na relação entre o sigilo médico e a proteção de dados, está no artigo sobre LGPD na relação entre médicos e pacientes.

A segunda é a condução do incidente já ocorrido: a análise do dever de comunicar, a redação da comunicação à ANPD e aos pacientes, a montagem do registro do art. 10, a defesa no processo sancionador e a coordenação com a defesa em eventual representação no CRM e em ação indenizatória. Você pode conhecer o escopo do atendimento na página de advogado para médicos em Campinas.

Se a sua clínica trata prontuário eletrônico e ainda não tem plano de resposta a incidente, a revisão é conversa de consultoria, com hora marcada e honorário definido. Para agendar, use o formulário do site ou o WhatsApp do escritório.

Fontes

• Lei nº 13.709/2018 (LGPD), texto integral
• Resolução CD/ANPD nº 15, de 24 de abril de 2024, Regulamento de Comunicação de Incidente de Segurança (DOU)
• ANPD, canal de comunicação de incidente de segurança
• Resolução CFM nº 2.217/2018, Código de Ética Médica
• Resolução CFM nº 1.821/2007, prontuário e preservação de documentos

Perguntas frequentes sobre vazamento de dados de pacientes e comunicação de incidente à ANPD

Postagens Recentes na Página :

Leia também: Diretor técnico de clínica: quando a responsabilidade cessa