O prazo é de 3 dias úteis — e quem comunica é você, mesmo que a falha tenha sido do fornecedor. O passo a passo da Resolução ANPD 15/2024 aplicado à realidade de um consultório de saúde mental.
Diante de um incidente de segurança que possa acarretar risco ou dano relevante aos pacientes, o controlador — você, médico ou clínica — deve comunicar a ANPD e os titulares afetados em até 3 dias úteis, contados de quando tomou conhecimento de que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024). Para agentes de tratamento de pequeno porte, esse prazo é dobrado (Resolução CD/ANPD nº 2/2022) — com uma ressalva importante: a duplicação não se aplica quando houver risco à integridade física ou moral das pessoas. E o ponto que mais surpreende: o dever de comunicar continua sendo do controlador mesmo quando a falha aconteceu no fornecedor.
A resolução só obriga a comunicar incidentes com potencial de risco ou dano relevante — e é justamente aí que o prontuário psiquiátrico se destaca. Diagnóstico de saúde mental ainda produz discriminação concreta: no trabalho, em contratação de seguro, em disputas familiares e de guarda. Somado ao dever de sigilo, que é anterior à LGPD e tem sanção ética própria, a régua prática fica clara: na dúvida sobre a relevância, trate como relevante.
Não. A Resolução 15/2024 previu exatamente esse cenário: a comunicação pode ser feita em etapas — uma preliminar, dentro do prazo, com o que se sabe, e uma complementar, em até 20 dias úteis contados do protocolo da primeira, desde que a impossibilidade de comunicar tudo de uma vez seja justificada. Perder o prazo por estar "apurando" é um erro evitável.
A comunicação ao titular não é um comunicado jurídico — é um ato de cuidado. O que ela precisa conter, em linguagem que a pessoa entenda:
As garantias técnicas que aplicamos (criptografia, segregação por profissional, registro de acesso) estão detalhadas na nossa página sobre LGPD no prontuário de saúde mental, e a discussão sobre onde os dados ficam está em onde ficam os dados do seu prontuário.
É um incidente de segurança, sim — e a pergunta seguinte é sobre risco: havia sessão ativa? O disco era criptografado? Havia arquivos locais com dados de pacientes? Registre, avalie e, se houver risco relevante, comunique.
Envio a destinatário errado é incidente. Em saúde mental, um único documento clínico exposto pode causar dano relevante — o que empurra o caso para o dever de comunicar. Comunique também o titular afetado e registre a apuração.
Não. O operador tem deveres próprios e responde por eles, mas o dever de comunicar à ANPD e aos titulares é do controlador. Cobre do fornecedor as informações — e comunique você.
Agentes de tratamento de pequeno porte têm prazos dobrados pela Resolução CD/ANPD nº 2/2022, o que costuma alcançar consultórios pequenos. Mas a flexibilização não vale quando há risco à integridade física ou moral — e não dispensa nenhuma das demais obrigações da lei. Na prática: conte com 3 dias úteis e comemore se sobrar prazo.
Conteúdo revisado em 23 de agosto de 2026 pelo responsável técnico (psiquiatra, CRM-MG 58241 · RQE 37921). Incidentes concretos merecem apoio jurídico especializado — este texto é orientação geral e não substitui assessoria.
← Todos os artigos · Conheça os planos do CliniqMais
CliniqMais — prontuário eletrônico para psiquiatria e saúde mental no Brasil