Vazamento de dados clínicos: de quem é a responsabilidade e o que fazer nas primeiras horas
O prazo é de 3 dias úteis — e quem comunica é você, mesmo que a falha tenha sido do fornecedor. O passo a passo da Resolução ANPD 15/2024 aplicado à realidade de um consultório de saúde mental.
Resposta direta
Diante de um incidente de segurança que possa acarretar risco ou dano relevante aos pacientes, o controlador — você, médico ou clínica — deve comunicar a ANPD e os titulares afetados em até 3 dias úteis, contados de quando tomou conhecimento de que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024). Para agentes de tratamento de pequeno porte, esse prazo é dobrado (Resolução CD/ANPD nº 2/2022) — com uma ressalva importante: a duplicação não se aplica quando houver risco à integridade física ou moral das pessoas. E o ponto que mais surpreende: o dever de comunicar continua sendo do controlador mesmo quando a falha aconteceu no fornecedor.
Por que em saúde mental o risco é sempre "relevante"
A resolução só obriga a comunicar incidentes com potencial de risco ou dano relevante — e é justamente aí que o prontuário psiquiátrico se destaca. Diagnóstico de saúde mental ainda produz discriminação concreta: no trabalho, em contratação de seguro, em disputas familiares e de guarda. Somado ao dever de sigilo, que é anterior à LGPD e tem sanção ética própria, a régua prática fica clara: na dúvida sobre a relevância, trate como relevante.
As primeiras horas, em ordem
Contenha — revogue acessos comprometidos, troque senhas, encerre sessões ativas, isole o que puder ser isolado. Antes de entender tudo, pare o sangramento;
Registre desde o primeiro minuto — data e hora do conhecimento, o que se sabe, o que ainda não se sabe, cada decisão tomada. O prazo conta a partir do conhecimento, e esse registro é a sua linha do tempo defensável;
Acione o fornecedor por escrito — se a suspeita envolve o sistema, peça posição formal: o que ocorreu, quais dados, quantos titulares, quais medidas. Você vai precisar dessas respostas para comunicar;
Avalie o risco — que dados vazaram (identificação? diagnóstico? evolução clínica?), quantos pacientes, os dados eram legíveis ou criptografados, há risco de discriminação;
Comunique — ANPD, pelo canal oficial de Comunicado de Incidente de Segurança, e os titulares afetados;
Corrija a causa — e documente a correção. Incidente que se repete deixa de ser acidente.
Não sei tudo ainda. Espero para comunicar?
Não. A Resolução 15/2024 previu exatamente esse cenário: a comunicação pode ser feita em etapas — uma preliminar, dentro do prazo, com o que se sabe, e uma complementar, em até 20 dias úteis contados do protocolo da primeira, desde que a impossibilidade de comunicar tudo de uma vez seja justificada. Perder o prazo por estar "apurando" é um erro evitável.
O que dizer ao paciente
A comunicação ao titular não é um comunicado jurídico — é um ato de cuidado. O que ela precisa conter, em linguagem que a pessoa entenda:
O que aconteceu, sem jargão e sem minimizar;
Quais dados dele foram afetados — especialmente se havia conteúdo clínico;
Quais riscos concretos ele corre e o que pode fazer (trocar senhas, desconfiar de contatos que citem o tratamento);
O que você já fez e como falar com você;
Um pedido de desculpas honesto. A relação terapêutica se sustenta em confiança — e confiança sobrevive melhor à falha admitida do que à falha descoberta.
Prevenção que reduz o tamanho do problema
Autenticação em dois fatores em tudo — a maioria dos incidentes de consultório começa em credencial, não em invasão sofisticada;
Um login por pessoa — senha compartilhada com a secretária inviabiliza saber quem acessou o quê;
Acesso mínimo necessário — recepção precisa de agenda e cadastro, não do conteúdo clínico;
Cuidado com os canais paralelos — o vazamento clássico não vem do sistema: vem do PDF no WhatsApp, do e-mail com anexo para o endereço errado, do print no grupo;
Criptografia — dado ilegível para quem o obteve muda a avaliação de risco do incidente.
Perdi o notebook com o sistema aberto. É incidente?
É um incidente de segurança, sim — e a pergunta seguinte é sobre risco: havia sessão ativa? O disco era criptografado? Havia arquivos locais com dados de pacientes? Registre, avalie e, se houver risco relevante, comunique.
Mandei um laudo para o paciente errado. Preciso comunicar à ANPD?
Envio a destinatário errado é incidente. Em saúde mental, um único documento clínico exposto pode causar dano relevante — o que empurra o caso para o dever de comunicar. Comunique também o titular afetado e registre a apuração.
O fornecedor disse que o problema foi dele. Isso me tira da linha?
Não. O operador tem deveres próprios e responde por eles, mas o dever de comunicar à ANPD e aos titulares é do controlador. Cobre do fornecedor as informações — e comunique você.
Sou consultório individual: tenho prazo dobrado?
Agentes de tratamento de pequeno porte têm prazos dobrados pela Resolução CD/ANPD nº 2/2022, o que costuma alcançar consultórios pequenos. Mas a flexibilização não vale quando há risco à integridade física ou moral — e não dispensa nenhuma das demais obrigações da lei. Na prática: conte com 3 dias úteis e comemore se sobrar prazo.
Fontes consultadas
Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança (prazo de 3 dias úteis; critério de risco ou dano relevante; comunicação preliminar e complementar em até 20 dias úteis).
Lei nº 13.709/2018 (LGPD) — Arts. 46 a 48 (segurança e comunicação de incidente) e Art. 11 (dados sensíveis).
Conteúdo revisado em 23 de agosto de 2026 pelo responsável técnico (psiquiatra, CRM-MG 58241 · RQE 37921). Incidentes concretos merecem apoio jurídico especializado — este texto é orientação geral e não substitui assessoria.