Vazaram dados de pacientes da clínica: o que fazer nos três primeiros dias úteis

Por Ramon Martins Andrade, advogado (OAB/RJ 188.374)

A clínica tem três dias úteis para comunicar o incidente à Agência Nacional de Proteção de Dados (ANPD) e aos próprios pacientes, sempre que ele puder trazer risco ou dano relevante a essas pessoas. O prazo corre do momento em que a clínica sabe que dados pessoais foram afetados, não do fim da investigação. Sem risco relevante não há comunicação, mas há registro escrito, guardado por pelo menos cinco anos.

Um esclarecimento de nome: a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) fala em “autoridade nacional”, mas o órgão, na redação dada pela Lei 15.352/2026, chama-se Agência Nacional de Proteção de Dados, com a mesma sigla. Prazo e conteúdo estão no Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), vigente.

O laudo no e-mail errado também é incidente

O Regulamento define incidente de segurança como “qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais”. O servidor trancado por um programa que exige resgate entra aí, e também o laudo enviado ao paciente errado e a planilha de diagnósticos deixada num link aberto: erro humano e falha de configuração cabem na mesma definição que a invasão. Quem comunica é o controlador, que diante do paciente é a clínica, ainda que a falha tenha nascido no fornecedor do sistema.

Dado de saúde não obriga, sozinho, a comunicar

O art. 5º do Regulamento exige duas coisas ao mesmo tempo. O incidente precisa poder “afetar significativamente interesses e direitos fundamentais dos titulares” e, “cumulativamente”, envolver ao menos um critério de uma lista que inclui dados sensíveis, dados sob sigilo profissional e dados em larga escala. Dado referente à saúde é sensível por definição legal, e o prontuário está sob sigilo profissional: numa clínica, o segundo requisito está quase sempre preenchido.

A decisão fica, então, no primeiro: o incidente pode causar discriminação, dano à imagem, fraude ou roubo de identidade? Um arquivo cifrado cuja chave não foi comprometida pesa menos que uma planilha legível exposta na internet, e a própria LGPD manda considerar as medidas que tornem os dados ininteligíveis para terceiros (art. 48, § 3º). A meu ver, quando o que vazou foi diagnóstico legível ligado a nome, a dúvida deve ser resolvida a favor da comunicação: é difícil sustentar, depois, que a exposição de uma doença não podia afetar significativamente o paciente.

Não comunicar é legítimo quando o risco não é relevante, mas a decisão fica escrita: o registro é devido “inclusive daquele não comunicado à ANPD e aos titulares, pelo prazo mínimo de cinco anos”, e deve trazer a avaliação do risco e os motivos da ausência de comunicação.

Os três dias úteis, tarefa por tarefa

O prazo é contado “do conhecimento pelo controlador de que o incidente afetou dados pessoais” (art. 6º, § 1º). Quem espera o laudo técnico completo arrisca perdê-lo, e o Regulamento já prevê a saída: comunica-se com o que se sabe e complementa-se, de forma fundamentada, em vinte dias úteis.

Conter e preservar. Isolar o sistema sem apagar os rastros do que aconteceu.
Anotar o dia em que a clínica soube. É dele que o prazo corre.
Dimensionar. Que dados, de quantos pacientes, desde quando, e se estavam cifrados.
Avaliar o risco e decidir por escrito. A decisão de não comunicar também se fundamenta.
Comunicar à ANPD. Pelo formulário eletrônico da Agência, por meio do encarregado ou de representante com poderes, com a prova desse vínculo enviada no mesmo prazo. O formulário pede a natureza dos dados, o número de pacientes, as medidas de segurança de antes e de depois, os riscos e a causa, se identificada.
Avisar os pacientes. No mesmo prazo, em “linguagem simples e de fácil entendimento”, um a um, pelos meios que a clínica já usa. O aviso público, visível por no mínimo três meses, só cabe quando o individual é inviável.
Fechar o ciclo. Juntar ao processo na ANPD, em até três dias úteis depois do fim do prazo, a declaração de que os pacientes foram avisados, e abrir o registro de cinco anos.

Com dado de saúde, o aviso tem um cuidado a mais: informar o que houve sem repetir o diagnóstico por um canal inseguro. O dano de uma revelação indevida é o que aparece na divulgação de diagnóstico de HIV.

Cumprir prazo de notificação no meio de um ataque é difícil em qualquer lugar. Neprash e colegas, em estudo de coorte publicado na JAMA Health Forum em 2022, contaram 374 ataques com sequestro de dados a hospitais, clínicas e outros serviços de saúde dos Estados Unidos entre 2016 e 2021. Quase metade interrompeu o atendimento, e ao longo do período os ataques ficaram mais propensos a ultrapassar os prazos obrigatórios de notificação. O estudo é americano; serve como medida da dificuldade, não como retrato do Brasil.

A clínica pequena tem prazo em dobro?

O Regulamento conta em dobro os prazos dos agentes de tratamento de pequeno porte, categoria da Resolução CD/ANPD nº 2/2022 que inclui microempresas e empresas de pequeno porte. Só que essa resolução retira o benefício de quem realiza “tratamento de alto risco”, e define alto risco pela soma de um critério geral (larga escala, ou tratamento que possa afetar significativamente os titulares) com um específico, entre os quais o uso de dados sensíveis.

Clínica trata dado sensível todos os dias; resta o critério geral. Penso que a clínica não deve se planejar contando com seis dias úteis: prontuário é exatamente o tipo de dado cujo tratamento pode afetar significativamente o titular, e quem dirá se o benefício valia é a Agência, depois do prazo. Um consultório de poucos pacientes, longe da larga escala, pode sustentar o contrário, e a tese é defensável; mas é tese para apresentar já tendo comunicado em três dias.

O que o paciente pode exigir

O paciente, avisado ou não, pode pedir à clínica a confirmação do tratamento e o acesso aos seus dados; a declaração completa deve vir em até quinze dias (LGPD, arts. 18 e 19). A reparação é outra conversa. A lei manda indenizar quem causa dano ao tratar dados em violação à legislação, mas vazamento, por si, não é indenização: é preciso dano, demonstrado. E a multa que a ANPD aplique à clínica não se converte em indenização ao paciente, diferença que aparece também no artigo sobre a multa ao TikTok.

O prazo se cumpre antes do incidente

A LGPD considera irregular o tratamento que “não fornecer a segurança que o titular dele pode esperar”. Na clínica, isso vira papel: encarregado indicado, contrato com o fornecedor de sistema obrigando a aviso imediato de incidente e um roteiro que diga quem decide e quem assina a comunicação. Onde há mais de um dono, essa atribuição pertence ao contrato entre os sócios.

Se o incidente já aconteceu, entre em contato trazendo três informações: o dia em que a clínica soube, que dados saíram e de quantos pacientes. O paciente pode trazer o aviso que recebeu.

Três dias úteis não bastam para descobrir quem é o encarregado, onde está o contrato do sistema e quem tem senha de quê. Bastam para quem já sabia. Por isso considero que o Regulamento cobra menos velocidade do que preparo: a clínica que só se organiza quando a tela trava já está, na prática, fora do prazo.

Ramon Martins Andrade (OAB/RJ 188.374) é advogado formado pela UFRJ em 2011, com mestrados pela Université Sorbonne Nouvelle e pela EGN (Marinha do Brasil). Atualmente pesquisador em Direitos Humanos e Saúde pela ENSP/Fiocruz.