Os três primeiros dias de um vazamento

O relógio não começa quando o dado vaza. Começa quando a clínica descobre. E a maior parte das clínicas descobre a resolução da ANPD no mesmo dia em que descobre o vazamento — o que significa que o prazo já está correndo enquanto alguém procura no Google o que fazer.

A Resolução CD/ANPD nº 15/2024 diz, no art. 6º: o controlador comunica o incidente à ANPD “no prazo de três dias úteis”, contados “do conhecimento pelo controlador de que o incidente afetou dados pessoais” (§1º). O art. 9º dá o mesmo prazo para avisar os pacientes. Três dias úteis é tempo suficiente para quem tem um plano na gaveta, e nenhum para quem vai escrever o plano depois de precisar dele.

Este texto é o plano.

O que conta como incidente

A resolução define incidente de segurança como “qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais” (art. 3º, XII). Vale desmontar a frase, porque ela é mais ampla do que “hacker”:

• Confidencialidade — alguém viu o que não devia. A planilha de pacientes enviada por e-mail para o destinatário errado. O celular com o WhatsApp do consultório perdido num táxi. A ex-funcionária que ainda entra no prontuário.
• Integridade — o dado foi alterado sem autorização. A prescrição editada por alguém que não era o médico; o prontuário adulterado.
• Disponibilidade — o dado deixou de estar acessível. O ransomware que trancou o computador da recepção; o backup que não existia quando o disco queimou.
• Autenticidade — não dá mais para saber se o dado é o que diz ser.

O notebook furtado com o prontuário local é incidente. A conta de e-mail invadida é incidente. O envelope de exames entregue na casa errada é incidente. “Confirmado” é a palavra que separa o incidente da suspeita: o que a resolução regula é o que a clínica sabe que aconteceu.

Relevante ou não: o teste do art. 5º

Nem todo incidente precisa ser comunicado — só o que “possa acarretar risco ou dano relevante aos titulares” (LGPD, art. 48). A resolução diz o que isso significa, e o teste tem duas partes cumulativas (art. 5º): o incidente precisa poder “afetar significativamente interesses e direitos fundamentais dos titulares” e envolver pelo menos um dos seis critérios:

Critério (art. 5º)	No consultório, isso é…
I — dados pessoais sensíveis	Todo dado de saúde. Qualquer prontuário, laudo, receita, foto clínica, lista de pacientes por diagnóstico.
II — dados de crianças, adolescentes ou idosos	A ficha da pediatria; a agenda da geriatria; o cadastro de qualquer paciente menor de 18 ou maior de 60.
III — dados financeiros	Cartão salvo no sistema, boleto, dado bancário de reembolso.
IV — dados de autenticação em sistemas	Senhas do prontuário, do e-mail, da nuvem — inclusive as salvas em navegador.
V — dados protegidos por sigilo legal, judicial ou profissional	O sigilo médico. Todo dado clínico entra aqui também.
VI — dados em larga escala	Número significativo de titulares, volume, duração, extensão geográfica (§2º).

Um consultório quase sempre satisfaz I e V pela natureza do dado. A pergunta que resta é a primeira parte do teste: o incidente pode afetar significativamente direitos? A resolução exemplifica (§1º): impedir o exercício de direitos ou o uso de um serviço, ou ocasionar dano material ou moral — “discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade”. Um prontuário psiquiátrico exposto é discriminação em potencial. Uma lista de pacientes de uma clínica de fertilidade é dano à imagem em potencial.

Na dúvida, a resolução resolve pelo registro: o incidente não comunicado também precisa ser registrado, com os motivos da ausência de comunicação (art. 10, §1º, VIII). Decidir não comunicar é uma decisão que fica escrita.

Dia 1: conter e anotar

O primeiro dia tem dois verbos, nessa ordem.

Conter. Interromper o que ainda está acontecendo: trocar a senha da conta invadida, revogar o acesso de quem não devia ter, desligar da rede a máquina com ransomware (desligar da rede — não desligar a máquina, que pode apagar evidência), bloquear o celular perdido remotamente, pedir ao destinatário errado que apague o e-mail e confirme por escrito. O que se contém no primeiro dia é o que não vai precisar ser comunicado como “ainda em curso”.

Anotar. A hora em que a clínica soube, quem soube, como soube. É o dado que define o prazo, e é o dado que ninguém lembra três dias depois. No mesmo registro: o que aconteceu, até onde se sabe; o que foi feito para conter; quem foi avisado. Não apagar logs, não “limpar” o computador, não reinstalar o sistema antes de guardar uma cópia do estado em que ele estava. A evidência de hoje é o item III da comunicação de depois-de-amanhã (“as medidas técnicas e de segurança utilizadas… antes e após o incidente”).

Avisar quem precisa saber dentro de casa. O responsável técnico, o encarregado de dados (se houver), o fornecedor do sistema afetado — que, se o contrato foi bem feito, tem obrigação de ajudar e prazo para responder. O post sobre as doze perguntas ao fornecedor explica por que o canal de incidentes se combina antes de precisar dele.

Dia 2: entender o tamanho

A comunicação à ANPD exige doze informações (art. 6º, §2º), e quase todas são respostas à mesma pergunta: o que exatamente foi afetado?

• Que dados — natureza e categoria (I). Dado de saúde? Cadastro? Financeiro? Foto?
• Quantos titulares — e, entre eles, quantas crianças, adolescentes e idosos (II). Aqui a clínica costuma descobrir que não sabe: a planilha tinha quantas linhas? O backup era de que data?
• Qual o risco para essas pessoas (IV) — discriminação, fraude, exposição.
• Quando aconteceu, se for possível saber, e quando a clínica soube (VII).
• Qual a causa, se for possível identificá-la (XI).
• Quem é o operador, quando houver (X) — o fornecedor do prontuário, a empresa de backup, o serviço de transcrição.

O segundo dia é o dia de responder o que dá para responder e de escrever “não foi possível determinar” no que não dá — a resolução aceita isso (o inciso VII diz “quando possível determiná-la”). O que ela não aceita é a resposta que muda depois porque ninguém conferiu.

Se a clínica não consegue fechar o tamanho em dois dias, a comunicação vai mesmo assim, incompleta, e a complementação segue em até vinte dias úteis (art. 6º, §3º). Comunicar tarde para comunicar completo é a escolha errada: os motivos da demora entram no formulário (inciso V).

Dia 3: comunicar, ou registrar por que não

À ANPD, por formulário eletrônico (art. 6º, §4º), enviado pelo controlador por meio do encarregado, com documento que comprove o vínculo (§5º). O consultório de pequeno porte, dispensado de encarregado pela Resolução CD/ANPD nº 2/2022, comunica por quem o representa — e tem o prazo em dobro.

Aos pacientes, no mesmo prazo (art. 9º), com sete informações: o que foi afetado, as medidas de proteção, os riscos, os motivos da demora se houver, o que está sendo feito para reverter, a data em que a clínica soube, e um contato. A comunicação precisa usar “linguagem simples e de fácil entendimento” e chegar “de forma direta e individualizada” (§1º) — telefone, e-mail, mensagem ou carta (§2º). Se não for possível identificar os afetados, aviso público no site e nos canais da clínica, visível por no mínimo três meses (§3º).

O que não fazer nos três dias:

• Avisar o paciente antes de saber o tamanho. “Pode ser que seus dados tenham vazado” gera medo e nenhuma ação. A comunicação existe para que a pessoa possa se proteger; sem saber do quê, ela não serve.
• Prometer que “nada vazou”. Se a clínica ainda não sabe, não diz. A frase que tranquiliza hoje é a que compromete na complementação de daqui a vinte dias.
• Apagar rastros. Formatar, reinstalar, excluir a conta invadida. Limpa o problema e a prova ao mesmo tempo.
• Deixar o fornecedor comunicar por você. O dever é do controlador. O operador ajuda; não substitui.

E, se a decisão for não comunicar — porque o teste do art. 5º não fechou —, essa decisão vai para o registro, com os motivos.

A parte mais difícil do terceiro dia não é o formulário. É ligar para o paciente. Todo o resto do plano existe para que, quando essa ligação acontecer, a clínica saiba dizer o que aconteceu, o que fez e o que a pessoa pode fazer — em vez de pedir desculpas sem informação.

O que fica na gaveta

O plano de resposta cabe numa página, e a LGPD o menciona pelo nome entre as boas práticas de governança: “planos de resposta a incidentes e remediação” (art. 50, §2º, I, “g”). A página tem três blocos:

Bloco	O que está escrito	Quem preenche antes
Contatos	Responsável técnico; encarregado ou representante; fornecedor de cada sistema (canal e prazo contratual de aviso); suporte de TI; advogado, se houver	O responsável, hoje
Passos	Dia 1: conter, anotar hora do conhecimento, preservar evidência, avisar dentro de casa. Dia 2: dados, titulares, menores e idosos, risco, causa, operador. Dia 3: formulário da ANPD, comunicação aos pacientes, ou registro do motivo de não comunicar	Este post
Registro	Modelo com os oito itens do art. 10, §1º: data do conhecimento, circunstâncias, dados afetados, número de titulares, avaliação de risco, medidas, forma e conteúdo da comunicação, ou motivos da ausência dela	Uma folha em branco com oito linhas

O registro fica guardado por no mínimo cinco anos (art. 10) — inclusive o do incidente que não foi comunicado. É o documento que, se a ANPD abrir um procedimento de apuração, mostra que a clínica soube, avaliou e decidiu.

A página se revisa uma vez por ano, e sempre que um contato muda. Quem usa o Kit CFM 2.454/2026 já tem os passos de resposta na política de IA (documento 5, seção 9); este plano é a versão para qualquer incidente, não só os que envolvem IA.

O que decidir esta semana

1. Se um notebook da clínica fosse furtado hoje, alguém saberia dizer, em duas horas, o que havia nele?
2. Quem é o contato de incidente em cada fornecedor da clínica, e em quanto tempo ele se comprometeu a avisar?
3. Onde ficaria anotada a hora em que a clínica soube?
4. Existe uma lista de pacientes por aparelho e por sistema — para saber quantos avisar?
5. A página de contatos, passos e registro existe? Se não, quem escreve, e até quando?

Três dias úteis é o prazo para comunicar, não para decidir o que fazer. Quem decide antes gasta os três dias fazendo; quem decide depois gasta os três dias procurando. A diferença é uma página.

Se a sua clínica quer essa página pronta, ou acabou de precisar dela, é o tipo de plano que ajudamos a montar — antes do incidente, de preferência.

Fontes

• ANPD — Resolução CD/ANPD nº 15, de 24 de abril de 2024 (DOU): art. 3º, XII (definição de incidente); art. 5º (risco ou dano relevante — teste cumulativo e critérios I a VI); art. 6º, caput e §§1º a 5º e 8º (prazo de três dias úteis do conhecimento, conteúdo, complementação em vinte dias úteis, formulário eletrônico, encarregado, dobro para pequeno porte); art. 9º e §§1º a 3º e 6º (comunicação aos titulares); art. 10 (registro por cinco anos, inclusive do não comunicado)
• Planalto — Lei nº 13.709/2018 (LGPD), art. 48 (comunicação de incidente); art. 50, §2º, I, “g” (planos de resposta a incidentes)
• ANPD — Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (agentes de tratamento de pequeno porte; art. 14 alterado pela Res. 15/2024)
• saude.dev — Kit CFM 2.454/2026, documento 5: Política de IA do consultório (seção 9, resposta a incidentes)