As Primeiras Horas Decidem o Tamanho do Problema
Vazamento de dado em clínica quase nunca começa com um ataque sofisticado. Começa com um notebook levado no assalto, uma planilha enviada ao destinatário errado ou um exame anexado na conversa da pessoa errada no aplicativo de mensagens.
O que separa um susto administrativo de uma crise é o comportamento das primeiras horas. Clínicas que têm um roteiro definido agem em paralelo: alguém contém, alguém registra e alguém avisa a direção. Clínicas sem roteiro perdem tempo discutindo de quem é a culpa.
Existe um agravante próprio da saúde. O artigo 5º, inciso II, da Lei 13.709/2018 classifica dado referente à saúde como dado pessoal sensível, o que empurra o tratamento para o regime mais rígido do artigo 11. Informação clínica exposta não volta atrás, e é isso que torna o assunto urgente.
A boa notícia é que o roteiro é curto. Conter o acesso indevido, preservar as evidências, avaliar o risco para o paciente e comunicar dentro do prazo. O resto é execução organizada, sem improviso.
Antes de qualquer coisa, uma definição prática ajuda. Incidente de segurança é qualquer situação em que informação de paciente sai do controle da clínica, seja por acesso indevido, perda, destruição ou envio ao destinatário errado. Não precisa haver invasão nem má intenção para o episódio contar.
Isso derruba uma crença comum na recepção. O funcionário que manda o exame de um paciente para o número errado no aplicativo acha que cometeu um deslize de rotina, não um incidente. Enquanto essa leitura permanecer, a direção da clínica só vai ficar sabendo dos casos que viraram reclamação.
O Prazo é de 3 Dias Úteis, e Não de 72 Horas
Este é o ponto em que a maior parte do conteúdo brasileiro erra. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, fixa o prazo de 3 dias úteis para a comunicação de incidente de segurança, nos artigos 6º e 9º.
O número de 72 horas vem do regulamento europeu de proteção de dados. Ele foi repetido tantas vezes em traduções e resumos que passou a circular como se fosse regra brasileira. Não é, e a diferença entre contar em horas corridas e contar em dias úteis muda o planejamento da resposta.
Um cuidado adicional: prazo curto não é convite para improvisar a comunicação. A clínica precisa apurar o que aconteceu para conseguir descrever o incidente de forma útil, e isso exige que a apuração comece imediatamente, não no terceiro dia.
A comunicação à autoridade é feita pelo canal próprio da ANPD para incidentes de segurança. Vale localizar esse caminho antes de precisar dele, porque procurar procedimento no meio da crise custa horas que a clínica não tem.
A Comunicação é Dupla: ANPD e Paciente
O artigo 48 da LGPD impõe comunicação em duas frentes. Uma para a Autoridade Nacional de Proteção de Dados e outra para o titular dos dados, que na clínica é o paciente.
Muita gente cumpre só a primeira. Comunica o órgão, monta a pasta de documentos e deixa o paciente descobrir por conta própria. Esse é o erro que costuma custar mais caro, porque a confiança se perde na forma como a notícia chega, não no fato em si.
Aviso ao paciente pede linguagem simples e direta. Explique o que aconteceu, quais informações estavam envolvidas, o que a clínica já fez e o que ele pode fazer para se proteger. Texto jurídico decorado, cheio de citação de artigo, aumenta a sensação de que algo está sendo escondido.
Registre também a comunicação em si. Data, meio utilizado, conteúdo enviado e a lista de quem foi avisado. Se houver questionamento depois, essa documentação é a defesa mais concreta que a clínica tem.
| Momento | O que fazer | O que não fazer |
|---|---|---|
| Descoberta | Avisar imediatamente a direção da clínica e a pessoa responsável pelo assunto. | Tentar resolver sozinho para evitar constrangimento. |
| Contenção | Cortar o acesso indevido, trocar senhas e isolar o equipamento envolvido. | Formatar máquina ou reinstalar sistema antes de preservar evidências. |
| Avaliação | Levantar quais dados e quantos pacientes foram alcançados. | Estimar por impressão, sem consultar registros e logs. |
| Comunicação | Comunicar à ANPD e aos pacientes afetados, dentro do prazo de 3 dias úteis. | Avisar só o órgão e deixar o paciente saber por terceiros. |
| Depois | Corrigir a causa e documentar todas as medidas adotadas. | Apagar registros de atendimento envolvidos no episódio. |
Contenção: o Que Fazer Antes de Comunicar
Contenção é interromper a exposição. Se um acesso indevido continua ativo enquanto a clínica escreve a comunicação, o incidente ainda está crescendo enquanto o documento é redigido.
As medidas iniciais costumam ser simples. Revogar credencial suspeita, trocar senhas de sistema, desconectar da rede o equipamento envolvido, cortar acesso de quem não faz mais parte da equipe e suspender integrações que estejam replicando os dados.
Aqui entra um erro técnico comum. A vontade natural é formatar a máquina e recomeçar limpo. Só que isso destrói registros que explicam o que aconteceu, e sem eles a clínica não consegue descrever o incidente nem provar que agiu.
Envolva o fornecedor do sistema desde o início. Prontuário eletrônico, agenda e faturamento costumam ser serviços contratados, e o histórico de acessos normalmente está do lado do fornecedor. Peça esse levantamento por escrito, com data e hora.
Contenção também tem uma parte humana. Oriente a equipe a não comentar o episódio com pacientes, colegas de outras clínicas ou em grupos de mensagem, enquanto a apuração corre. Versão desencontrada circulando pela cidade complica a comunicação oficial que vem depois.
O Que Registrar Enquanto o Incidente Ainda Está Quente
Memória de crise é ruim. Passados dez dias, ninguém lembra a hora exata em que percebeu o problema nem quem foi avisado primeiro. Por isso o registro tem que ser feito durante, não depois.
Abra um documento único e cronológico assim que a suspeita aparecer. Anote data e hora de cada passo, quem participou, o que foi decidido e por quê. Uma linha por evento é suficiente, desde que a linha exista.
Guarde também os anexos: prints de tela, e-mails trocados, protocolos abertos com o fornecedor e o relatório de acessos. Esse conjunto é o que sustenta a versão da clínica se houver reclamação de paciente ou questionamento da autoridade.
Vale um alinhamento com o contador e com o advogado da clínica logo no primeiro dia. Não porque o incidente seja tributário, mas porque decisões tomadas sob pressão tendem a gerar efeitos em contratos, em seguros e na relação com operadoras.
Por Que Não Se Apaga Prontuário Depois de um Incidente
Existe uma reação instintiva perigosa: apagar o que vazou para reduzir o rastro. Ela não resolve o incidente e cria um problema novo, de outra natureza.
A Lei 13.787/2018 estabelece prazo mínimo de 20 anos, contados do último registro, para a guarda do prontuário do paciente. O parágrafo 5º do artigo 6º deixa claro que a regra vale para o prontuário em qualquer suporte, físico ou eletrônico.
A Resolução CFM nº 1.821/2007 vai além no meio eletrônico. O artigo 7º determina guarda permanente para o prontuário eletrônico que atenda aos requisitos da própria resolução, enquanto o artigo 8º fixa 20 anos, a partir do último registro, para o prontuário em papel.
Repare em um detalhe importante: nenhuma dessas regras foi criada pela LGPD. A lei de proteção de dados não instituiu prazo de guarda de prontuário. Quem afirma que a LGPD manda guardar por dez anos está inventando, e esse número aparece com frequência em conteúdo reciclado.
O efeito prático dessa combinação é claro. Depois de um incidente, a clínica precisa preservar o registro do atendimento pelo prazo que a norma de prontuário exige e, ao mesmo tempo, corrigir a falha que permitiu a exposição. São dois movimentos distintos, e apagar o histórico não substitui o conserto da causa.
Sanções e o Plano de Resposta que Toda Clínica Deveria Ter
O artigo 52 da LGPD lista as sanções administrativas aplicáveis. Entre elas está a multa simples de até 2 por cento do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil, no último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 por infração.
Duas ressalvas do texto quase sempre somem nas manchetes: o cálculo exclui os tributos e o teto é por infração. Citar apenas o número redondo de 50 milhões assusta o gestor de clínica sem informá-lo.
Para a clínica típica de Taubaté ou Pindamonhangaba, o dano relevante costuma ser outro. Paciente que descobre que o resultado do exame dele circulou fora do lugar dificilmente volta, e comenta. Reputação em cidade média se constrói devagar e se perde rápido.
Por isso o melhor investimento é o plano feito antes. Ele cabe em duas páginas e evita a paralisia do primeiro dia. Use o checklist abaixo como ponto de partida e adapte ao tamanho da sua operação.
- ✓Definir quem recebe o aviso interno de incidente e quem decide, com nome e telefone.
- ✓Manter uma lista atualizada dos sistemas que guardam dado de paciente e dos respectivos fornecedores.
- ✓Localizar previamente o canal da ANPD para comunicação de incidente de segurança.
- ✓Trabalhar sempre com o prazo de 3 dias úteis da Resolução CD/ANPD nº 15/2024, e não com 72 horas.
- ✓Ter um modelo de aviso ao paciente em linguagem simples, pronto para ser adaptado.
- ✓Registrar o incidente em documento cronológico desde a primeira suspeita.
- ✓Preservar evidências antes de formatar equipamento ou reinstalar sistema.
- ✓Revisar imediatamente acessos de ex-funcionários e de prestadores desligados.
- ✓Nunca apagar registro de atendimento, porque a guarda do prontuário é obrigação legal.
- ✓Revisar contratos com fornecedores de software quanto à responsabilidade e ao suporte em incidentes.
